WordPress向けWPvivid BackupにRCE脆弱性、最大90万サイトに影響の可能性

WPvivid Backup & MigrationにRCE脆弱性、最大90万サイトに影響の可能性

2026年1月に報告されたCVE-2026-1357は、WordPress向けプラグイン「WPvivid Backup & Migration」に影響する脆弱性である。報告によれば、本問題を悪用した場合、認証を経ないリモートコード実行（RCE）が成立する可能性がある。

当該プラグインは広く利用されており、最大で約90万のサイトが影響を受ける可能性が指摘されている。

技術的には、RSA復号処理におけるエラーハンドリングの不備およびファイルパスの正規化処理の欠如が原因とされる。これらの設計上の問題により、想定外のファイル操作やコード実行につながる恐れがある。

脆弱性の技術的要因と影響バージョン

本脆弱性は、WPvivid Backup & Migrationのバージョン0.9.123までに影響するとされている。

問題の根本原因は、復号処理に失敗した際にプロセスが適切に中断されない設計にある。暗号化ライブラリから返却された想定外の値がnullバイト文字列として扱われることで、検証処理を回避できる可能性が指摘されている。

攻撃者はこの挙動を利用し、nullバイトを含むキーでペイロードを暗号化することで、意図しないファイル操作を成立させる恐れがある。また、ファイルパスの正規化処理が不十分である点も確認されており、ディレクトリトラバーサルを組み合わせることで、公開領域へのファイル配置につながる可能性がある。

修正対応と防御強化の動き

WPvivid開発チームは、脆弱性の報告翌日となる2026年1月28日に修正版0.9.124を公開した。今回の更新では、復号処理失敗時にプロセスを確実に中断するロジックを追加し、バックアップ形式の検証を強化することで、許可されるファイル拡張子を限定する対策が導入された。

また、Wordfence は脆弱性公開直後にプレミアム利用者向けへファイアウォールルールを配布し、2026年2月21日以降は無料利用者にも順次適用する予定としている。

運用者は、速やかなバージョン更新に加え、不要なバックアップ機能の公開範囲を見直すなど、基本的なアクセス制御の再点検が求められる。

プラグイン更新の重要性

専門家は、WPvivid Backup & Migrationを利用しているサイト運営者に対し、バージョン0.9.124以降への速やかな更新を推奨している。未修正バージョンを継続利用した場合、意図しないファイル操作やコード実行につながる可能性があるためだ。

今回の事例は、WordPressプラグインの継続的なアップデート管理の重要性を改めて示している。特に企業環境では、導入済みプラグインのバージョン管理と定期的な脆弱性確認を徹底することが求められる。