WordPressのバックアッププラグイン「Backuply」に、データベースの復元処理を悪用して管理者権限を取得される可能性がある脆弱性が報告されました。
10月15日にWordfenceが公表したCVE-2026-93953は、CVSS 8.0と評価されています。
Wordfence
Backuplyとは？
Backuplyは、WordPressのファイルやデータベースをバックアップし、必要に応じて復元できるプラグインです。Google Drive、FTP、SFTP、Amazon S3などへのバックアップ保存や、サイト移転・複製にも利用できます。
サーバー障害やサイト改ざんに備えたデータ保護を、WordPressの管理画面から実施できることがメリットです。
今回の脆弱性と想定リスク
今回の問題は「二次SQLインジェクション」と呼ばれるものです。
購読者以上の権限を持つユーザーが、自分のプロフィール欄へ不正な内容を保存し、その内容を含むデータベースのバックアップを管理者が復元すると、不正なSQLが実行される可能性があります。
悪用された場合、ユーザー登録設定を変更され、管理者権限を持つアカウントの作成につながります。
ただし、プロフィールを書き換えただけで直ちに攻撃が成立するわけではありません。 不正な内容を含むバックアップの復元が必要です。
Wordfence
+1
影響バージョンと確認・対策
1.5.8以前が対象で、10月1日公開の1.5.9で修正されています。
利用中の場合は1.5.9以降へ更新してください。特に過去のバックアップを復元する場合は、バックアップ作成時点のデータに不審な内容が含まれていないか注意が必要です。
更新後はバックアップの作成・保存先への転送・復元機能を確認しましょう。過去に不審な復元操作があった場合は、管理者ユーザー一覧と新規登録時のデフォルト権限も点検してください。
利用規模： 有効インストール数600,000以上（2026年10月16日確認）。
WordPress.org
+1
公式リンク： WordPress.org — Backuply ／ Wordfenceによる調査報告