WordPressのバックアップ・復元プラグイン「Backuply」に、SQLインジェクションの脆弱性が報告されました。
2026年10月15日にWordfenceが公開したCVE-2026-93953は、CVSS 8.0と評価されています。
今回の問題は、通常のサイト閲覧だけで攻撃が成立するものではなく、管理者がデータベースのバックアップを復元する操作が関係しています。
Backuplyとは？
Backuplyは、WordPressサイトのファイルやデータベースをバックアップし、復元やサーバー移転を行うプラグインです。
Google Drive、Dropbox、Amazon S3、FTP・SFTPなどへのバックアップ保存に対応しています。
サイト更新前のバックアップ、障害からの復旧、サーバー移転などに利用でき、WordPressの管理画面からバックアップ作業を行える点がメリットです。
WordPress.org公式の有効インストール数は600,000以上です（2026年10月20日確認）。
今回の脆弱性について
問題は、データベースのバックアップを復元する際のSQL処理にあります。
攻撃者がWordPressのユーザーアカウントを持っている場合、プロフィールの自己紹介欄に不正なデータを保存できます。
そのデータを含むバックアップを管理者が復元すると、不正なSQLが実行される可能性があります。
悪用された場合、WordPressのユーザー登録設定や初期権限が変更され、管理者アカウントの不正作成につながるおそれがあります。
ただし、攻撃には購読者以上のアカウントと、その後の管理者によるバックアップ復元が必要です。実際の攻撃・侵害事例は今回確認できていません。
影響バージョンと対策
対象はBackuply 1.5.8以前で、2026年10月1日に公開された1.5.9で修正されています。開発元の公式変更履歴にも復元処理のセキュリティ修正が記載されています。
WordPress.org
利用中の場合は、まず1.5.9以降へ更新してください。更新後はバックアップの作成、保存先との接続、バックアップ一覧などを確認しましょう。
復元操作を予定している場合は、特に注意が必要です。復元対象のデータの安全性を確認し、可能であれば検証環境で復元テストを行うことをおすすめします。
また、WordPressの「設定 → 一般」で新規ユーザー登録と初期権限を確認し、想定外に管理者権限が付与される設定になっていないか点検しましょう。
まとめ
バックアップはWordPressの安全な運用に欠かせませんが、復元処理にもセキュリティ上の注意点があります。
今回の脆弱性は、管理者による復元操作という条件が必要なため、直ちにすべての導入サイトが乗っ取られる問題ではありません。
一方で、条件が成立した場合の影響は大きいため、Backuplyを使用している場合は修正版への更新をおすすめします。
公式・一次情報