90万以上のウェブサイトにインストールされている WordPress 用 WPvivid Backup & Migration プラグインに重大な脆弱性があり、この脆弱性を悪用されると、認証なしで任意のファイルをアップロードしてリモートでコードを実行される可能性があります。
このセキュリティ問題は CVE-2026-1357 として追跡され、深刻度スコアは 9.8 です。この問題は、0.9.123までのプラグインのすべてのバージョンに影響し、ウェブサイトの完全な乗っ取りにつながる可能性があります。
この問題の深刻さにもかかわらず、WordPressのセキュリティ会社Defiantの研究者は、デフォルトではない「別のサイトからバックアップを受け取る」オプションが有効になっているサイトだけが致命的な影響を受けると述べている。
さらに、攻撃者は24時間の悪用ウィンドウを持っています。これは、他のサイトがバックアップファイルを送信するために必要な生成されたキーの有効期間です。
しかし、このプラグインはサイトの移行やホスト間のバックアップ転送によく使用されるため、ウェブサイトの管理者は少なくとも一時的にこの機能を有効にする可能性が高い。
研究者のLucas Montes (NiRoX)は、1月12日にこの脆弱性をDefiantに報告した。根本的な原因は、RSA復号化における不適切なエラー処理とパスのサニタイズの欠如です。
具体的には、「openssl_private_decrypt()」関数が失敗した場合、プラグインは実行を停止せず、代わりに失敗した結果（false）をAES（Rijndael）ルーチンに渡す。
暗号ライブラリはこれをヌル・バイトの文字列として扱い、攻撃者がプラグインが受け入れる悪意のあるペイロードを作成するために使用できる、予測可能な暗号鍵を作成します。
さらに、プラグインはアップロードされたファイル名を適切にサニタイズしておらず、ディレクトリトラバーサルを許していました。これにより、意図したバックアップディレクトリの外部にファイルを書き込んだり、悪意のある PHP ファイルをアップロードしてリモートでコードを実行したりすることが可能になります。
Defiantは1月22日、提供された概念実証のエクスプロイトの検証後、ベンダーのWPVividPluginsに通知しました。CVE-2026-1357に対処するセキュリティアップデートが1月28日にバージョン0.9.124でリリースされました。
この修正には、RSA復号化に失敗した場合に実行を停止するチェックの追加、ファイル名のサニタイズの追加、アップロードをZIP、GZ、TAR、SQLなどの許可されたバックアップファイルタイプのみに制限することなどが含まれます。
WPvivid Backup & Migration WordPress プラグインのユーザーは、脆弱性に関連するリスクを認識し、できるだけ早くバージョン 0.9.124 にアップグレードしてください。
.ia_ad { background-color：#width: 95%; max-width: 800px; margin: 15px auto; border-radius: 8px; border：1px solid #d6ddee; display: flex; align-items: stretch; padding: 0; overflow: hidden; }：0; overflow: hidden; } .ia_lef { flex: 1; max-width: 200px; height: auto; display: flex; align-items: stretch; } .ia_lef a { display: flex; width: 100%; height: 100%; } .ia_lef a img { width: 100%; height: 100%; border-radius: 8px 0 0 8px; margin: 0; display: block; } .ia_rig { flex: 2; padding：display: flex; flex-direction: column; justify-content: center; } .ia_rig h2 { font-size: 17px !important; font-weight: 700; color：#line-height: 1.4; font-family：margin: 0 0 14px 0; } .ia_rig p { font-weight: bold; font-size: 14px; margin: 0 0 clamp(6px, 2vw, 14px) 0; } .ia_button { background-color：#border：1px solid #3b59aa; color: black; text-align: center; text-decoration: none; border-radius: 8px; display: inline-block; font-size: 16px; font-weight: bold; cursor: pointer; padding：width: fit-content; } .ia_button a { text-decoration: none; color: inherit; display: block; } @media (max-width: 600px) { .ia_ad { flex-direction: column; align-items: center; } .ia_lef { max-width: 100%; } .ia_lef a img { border-radius: 8px 8px 0 0; } .ia_rig { padding：15px;
width: 100%;
}
.ia_button {
width: 100%;
margin: 0px auto;
}
}
ITインフラの未来はここにある
現代のITインフラは、手作業のワークフローでは対応できないほど高速に動いています。
この新しいTinesガイドでは、チームが隠れた手作業の遅延を削減し、自動応答によって信頼性を向上させ、すでに使用しているツールの上にインテリジェントなワークフローを構築して拡張する方法をご紹介します。
Comments