All-in-One WP Migration插件漏洞CVE-2026

资讯专家

WordPress安全公司Defiant警告，All-in-One WP Migration and Backup插件存在一个高危漏洞，编号为CVE-2026-19949（CVSS评分8.8），可能导致远程代码执行（RCE），影响超过300万个WordPress网站。

该漏洞被描述为归档恢复功能中的二阶SQL注入问题。插件在归档恢复过程中对用户输入未充分转义，且现有SQL查询未充分预处理，导致攻击者能够通过恶意构造的输入污染后续执行的SQL。

攻击链大致如下：攻击者可通过WordPress核心的trackback功能提交恶意内容，先提取归档恢复操作期间使用的secret key；随后利用该key，以未认证身份导入一个特制的.wpress归档文件，其中包含恶意的must-use插件，插件在下次页面加载时被执行，最终实现远程代码执行。Defiant指出，与所有RCE漏洞一样，攻击者可进一步利用webshell等技术实现完全控制网站。

漏洞影响All-in-One WP Migration and Backup 7.109及之前所有版本，7.110版本已于2026年8月20日发布并修复该问题。该插件活跃安装量超过500万，截至2026年9月3日，仅有约35%的安装升级至7.110，意味着约320万个站点仍运行存在漏洞的版本。

建议使用该插件的站点管理员尽快升级至7.110或更高版本，同时检查站点是否出现异常评论、非授权插件安装等可疑迹象。