CVE-2026-1357 -- WPvivid RCE

WPvivid Backup & Migration における未認証リモートコード実行（RCE）

800%2C000-brightgreen?style=for-the-badge" alt="Installs">

800,000〜900,000以上の WordPress サイトに影響する重大な脆弱性
未認証での任意 PHP アップロード → サーバー完全侵害

---

🌩️ 概要

CVE-2026-1357（CVSS 9.8 – Critical）は、Migration, Backup, Staging – WPvivid Backup & Migration プラグイン（≤ 0.9.123）に影響します。

• プラグイン → WPvivid Backup & Migration
• 影響を受けるバージョン → ≤ 0.9.123
• 修正版 → 0.9.124（2026年1月28日頃リリース）
• 攻撃経路 → ネットワーク
• 複雑度 → 低
• 必要な権限 → なし
• ユーザー操作 → なし
• 影響 → リモートコード実行（機密性・完全性・可用性への影響: 高）

この脆弱性は、プラグインのオプション機能「別サイトからのバックアップ受信」（wpvivid_action=send_to_site 経由）に存在します。この機能が有効な場合、未認証の攻撃者は任意のファイル（最も危険なのは PHP ウェブシェル）を /wp-content/uploads/ などの Web からアクセス可能な場所にアップロードできます。

🛠️ 根本原因（連鎖する脆弱性）

→ 攻撃者は Null 鍵で暗号化したペイロードを作成 → 「認証」をバイパス → 書き込み可能な任意の場所に .php ファイルを書き込む

🔥 影響

• 未認証での Web サーバーユーザー（通常 www-data）によるリモートコード実行
• サイト全体の乗っ取り: バックドア、データ窃取、ランサムウェア、改ざん
• 開示直後（2026年2月）に公開 PoC が出現
• 悪用の容易さと導入サイト数の多さにより、現実世界でのリスクが高い

注記: 悪用には、「バックアップ受信」機能が有効（デフォルトでは無効）であることと、有効かつ有効期限切れでない API トークン（最大 24 時間の有効期間）が必要です。

📅 タイムライン

🛡️ 緩和策と堅牢化

直ちに実施すべき対応
WPvivid Backup & Migration ≥ 0.9.124 にアップグレード（修正内容: 復号失敗時の適切な処理、ファイル名のサニタイズ、ファイルタイプの制限）。

一時的な回避策（アップグレードが遅れる場合）:

• プラグイン設定で「別サイトからのバックアップ受信」を無効化
• 不要であればプラグインを無効化・削除
• /wp-admin/admin-ajax.php への action=wpvivid_send_to_site を含む POST をブロック（WAF / .htaccess 経由）

インシデント発生後の確認

• /wp-content/uploads/（およびその他の書き込み可能なディレクトリ）に不審な .php ファイルがないか検索
• アクセスログで admin-ajax.php への異常な POST を確認
• ウェブシェルをスキャンし、認証情報をローテーションし、侵害された場合はクリーンなバックアップから復元

一般的なベストプラクティス

• WordPress コア、テーマ、プラグインを常に最新版に保つ
• セキュリティプラグイン（Wordfence、Sucuri など）を利用
• ファイル権限を制限し、XML-RPC を未使用なら無効化

🔗 参考情報

• NVD 公式エントリ

• Wordfence アドバイザリ（詳細な開示情報）

• プラグインページ

• Nuclei テンプレート: projectdiscovery/nuclei-templates に公式収録（v10.4.0 で追加）

---

_{早期にパッチ • 頻繁にパッチ • 安全を維持}