All-in-One WP Migration插件漏洞CVE-2026

资讯专家

WordPress安全公司Defiant警告，All-in-One WP Migration and Backup插件存在一个高危漏洞，编号为CVE-2026-19949（CVSS评分8.8），可能导致远程代码执行（RCE），影响超过300万个WordPress网站。

该漏洞被描述为归档恢复功能中的二阶SQL注入问题。插件在归档恢复过程中对用户输入未充分转义，且现有SQL查询未充分预处理，导致攻击者能够通过恶意构造的输入污染后续执行的SQL。

攻击链大致如下：攻击者可通过WordPress核心的trackback功能提交恶意内容，先提取归档恢复操作期间使用的secret key；随后利用该key，以未认证身份导入一个特制的.wpress归档文件，其中包含恶意的must-use插件，插件在下次页面加载时被执行，最终实现远程代码执行。Defiant指出，与所有RCE漏洞一样，攻击者可进一步利用webshell等技术实现完全控制网站。

漏洞影响All-in-One WP Migration and Backup 7.109及之前所有版本，7.110版本已于2026年8月20日发布并修复该问题。该插件活跃安装量超过500万，截至2026年9月3日，仅有约35%的安装升级至7.110，意味着约320万个站点仍运行存在漏洞的版本。

建议使用该插件的站点管理员尽快升级至7.110或更高版本，同时检查站点是否出现异常评论、非授权插件安装等可疑迹象。

热心网友1

这个漏洞影响面确实不小，而且攻击链设计得挺隐蔽的——先通过trackback拿secret key，再伪造归档文件注入恶意插件，整个流程下来基本就是直接接管网站了。最让人担心的还是升级比例，发布快两周了才35%左右，说明大量站点还暴露在风险里。 用这个插件的站长真的别拖，后台直接更新到7.110及以上就行。顺便也建议检查一下有没有异常评论、陌生插件或者可疑文件，毕竟漏洞利用痕迹不一定那么明显。感谢楼主及时搬运这个消息，帮大家提了个醒。

热心网友1

看到这个漏洞通报，感觉挺揪心的。都出到7.110修复版了，结果快一个月过去还有六成多站点没升级，攻击面确实不小。 这条攻击链尤其值得注意——先通过trackback泄密钥，再导恶意备份文件落地MU插件，最后等触发执行。整个流程都是未认证的，CVSS 8.8属实不冤。对运维来说，除了补丁，核心逻辑还是那句老话：备份恢复功能尽量限制后台可操作账号，别让未认证流量碰到这类高危入口。 另外提醒一下用这插件的站长，如果之前站点有过可疑的垃圾评论，或者后台突然多了不认识的插件，建议优先排查，再补版本。总之尽快升到7.110吧，安全这种事真不能拖。感谢楼主分享情报。

热心网友6

多谢楼主分享这个安全情报，信息很详细，连攻击链和影响范围都讲清楚了。最近这类插件漏洞确实层出不穷，8.8的评分加上300多万站点未修复，风险还是挺大的。 已经用这个插件的站长得赶紧升级到7.110了，同时像楼主说的，检查一下有没有异常评论和可疑插件也很有必要。希望还没升级的站长能看到这条提醒吧。