8月中旬、あるセキュリティ研究者が、CMSで広く使用されているバックアップ・転送プラグインに高度なSQLインジェクション脆弱性を発見し、CVE‑2026‑19949として登録された。この脆弱性により、認証不要の攻撃者がリモートでコードを実行し、サイトを乗っ取ることが可能になる。

問題は、プラグインがアーカイブ復元時にエスケープ文字を正しく処理しないことに起因する。攻撃者は公開コメントを通じて用意したデータを注入し、管理者がバックアップのエクスポート・インポートを行う際にコードを実行させる。脆弱性はバージョン7.109までの全てに影響し、7.110で修正されたが、更新されたのは約35％にとどまり、残りの3.25百万サイトは依然として脆弱なままである。

このことは、プラグインの定期的なバックアップ・復元機能がリスクを不可避にすることを示す。無効化されたバージョンでも一時的に有効化すると攻撃にさらされる可能性がある。プラグインは500万以上のアクティブインストールがあり、サイト所有者やホスティング事業者が速やかに更新を適用することが重要だ。