サイトのバックアップに使っているプラグインの名前が、ニュースに出ていました。
「All-in-One WP Migration and Backup」です。
WordPressのサイトを丸ごと保存したり、別のサーバーへ引っ越したりするときの定番で、世界で500万サイト以上に入っています。
結論から書きます。
入っているなら、まずバージョン7.110に更新してください。
使っていないなら、停止ではなく削除します。
バックアップのために入れているだけなら、別のプラグインに替えるという方法もあります。
この記事でわかることは4つです。
- 今回の脆弱性で何が起きるのか
- なぜ「バックアップした瞬間」に発動するのか
- 自分のサイトが危ないかを確かめる手順
- UpdraftPlusに乗り換えるという選択肢と、その限界
何が起きたのか
2026年9月のはじめ、All-in-One WP Migration and Backup に深刻な脆弱性が公表されました。
脆弱性（ぜいじゃくせい）とは、プログラムの作りの穴のことです。
攻撃者はそこを突いて、本来できないはずのことをします。
| プラグイン名 | All-in-One WP Migration and Backup |
| 管理番号 | CVE-2026-19949 |
| 深刻度 | 10段階で8.8（High） |
| 影響を受ける版 | 7.109 以前のすべて |
| 修正された版 | 7.110（2026年8月20日公開） |
| まだ直っていないサイト | 約320万件（利用者の約64%） |
修正版そのものは、公表より前の8月20日に出ています。
それでも3件に2件は、まだ更新されていません。
怖いのは、引き金を引くのが管理者だということ
この脆弱性が動くのは、攻撃者が何かを送った瞬間ではありません。
順番はこうです。
- 攻撃者が、公開中の記事に細工した「トラックバック」を送る
- その内容はデータベースに保存されるだけで、この時点では何も起きない
- 管理者がプラグインでバックアップの書き出しや復元を実行する
- そのとき仕込まれた命令が動き、サイトの合鍵にあたる文字列が外から読める場所に書き出される
- 合鍵を手に入れた攻撃者は、ログインせずにサイトへファイルを読み込ませられる
トラックバックは、他のブログから「あなたの記事を紹介しました」と通知を送る昔からの機能です。
誰でも外から送れます。
つまり、仕掛けは先に置かれています。
「そろそろバックアップを取っておこう」と管理者が押したボタンが、発火装置になります。
普段からこまめにバックアップを取っている人ほど、先に踏むことになります。
自分のサイトを確かめる手順
3分で終わります。
- WordPressの管理画面にログインする
- 左のメニューから「プラグイン」を開く
- 一覧の中に「All-in-One WP Migration」があるか探す
- あれば、名前の下に出ている「バージョン」の数字を見る
数字が 7.110 より小さければ、更新が必要です。
「更新」のリンクが出ていれば、それを押します。
一覧に無ければ、このプラグインは入っていません。
そして、ここでもう1つ見てほしいことがあります。
使っていないプラグインは、停止ではなく削除してください。
停止しただけでは、プログラムのファイルはサーバーに残ります。
残っている以上、そのファイルの穴を突かれる可能性は消えません。
危なかったのは、このプラグインだけではありません
今回のニュースだけを見ると、特定のプラグインの問題に見えます。
ただ、この夏はWordPress本体のほうも続いていました。
2026年7月、認証なしでサーバー上のプログラムを実行できてしまう組み合わせが公表されました。
CVE-2026-63030 と CVE-2026-60137 です。
対象は WordPress 7.0.0〜7.0.1、6.9.0〜6.9.4、6.8.0〜6.8.5 でした。
さくらインターネットも利用者向けに注意喚起を出しています。
続く8月7日には、WordPress 7.0.3 が公開されました。
ここで11件の脆弱性が修正されています。
その中には、ログイン画面にアクセスするだけで踏んでしまう種類のものが含まれていました。
ログイン画面は、誰でも開けます。
アスタでは、20弱のサイトでバージョンを上げました
この一連の発表を受けて、管理しているサイトを順番に見ていきました。
WordPress本体と、その土台になっているPHPの両方です。
PHPは、WordPressを動かしているプログラミング言語です。
古いままだと、WordPressを最新にしても動かなかったり、PHP側の穴が残ったりします。
いちばん古いサイトは、PHPが5系のままでした。
5系はとっくにサポートが終わっていて、穴が見つかっても直されません。
これを現在の推奨である8.3.33まで上げました。
作業そのものは1サイトずつ確認しながら進めるだけです。
ただ、誰も見ていなければ、何年でもそのまま動き続けます。
放置したサイトで、実際に何が起きるか
乗っ取られたサイトは、多くの場合すぐには壊れません。
見た目はそのままで、裏側だけが使われます。
- 知らない言語のページが大量に作られ、検索結果に出る
- 別のサイトを攻撃するための踏み台にされる
- 訪問者にウイルスを配る経路にされる
- ブラウザに「危険なサイト」と警告が出て、誰も開けなくなる
- 検索結果から丸ごと消える
気づくきっかけは、お客様からの「サイトが見られないんですが」という連絡だったりします。
そこから戻す作業は、更新をしておくより何倍も手間がかかります。
きれいなバックアップが残っていなければ、作り直しになることもあります。
バックアップのプラグインを選び直すという方法
ここからは、更新のその先の話です。
All-in-One WP Migration は、引っ越しのための道具として広まりました。
サイトを丸ごと1つのファイルにまとめて、別のサーバーで読み込ませる。
この手軽さが強みです。
ただ、日々のバックアップに使うとなると、話が変わります。
UpdraftPlusは、無料でドメインの置き換えができます
以前は「引っ越しならAll-in-One WP Migration」でした。
UpdraftPlusで別のドメインに移すと、データベースの中に古いURLが残ってしまったからです。
その差は、もうありません。
2023年8月のバージョン1.23.8で、移行機能が無料版に入りました。
公式のお知らせにも「Migration is now free!」と書かれています。
復元するときに古いURLを探して新しいURLに書き換える機能が、無料版に含まれています。
WordPress公式のプラグインページにも、別のサーバーやドメインへ移行できると明記されています。
戻すときに、対象を選べます
もう1つ違うのが、戻し方です。
All-in-One WP Migration は、サイト全体を1つのファイルにまとめる方式です。
戻すときも基本は丸ごと上書きになります。
UpdraftPlusは、データベース・プラグイン・テーマ・アップロードした画像などを分けて保存します。
復元の画面で、戻したいものだけにチェックを入れられます。
たとえば「プラグインを更新したら表示が崩れた」というとき。
プラグインだけを昨日の状態に戻せば済みます。
記事や問い合わせのデータは今日のまま残ります。
丸ごと戻す方式だと、今日書いた記事も一緒に消えます。
| All-in-One WP Migration | UpdraftPlus | |
|---|---|---|
| 保存の形 | サイト全体で1ファイル | 種類ごとに分けて保存 |
| 戻し方 | 基本は丸ごと上書き | 戻す対象を選べる |
| ドメインの置き換え | できる | できる（2023年に無料化） |
| 自動で定期バックアップ | 有料 | 無料 |
| サイズの上限 | 無料版は上限あり | 分割されるので上限なし |
| クラウドへの保存 | 有料 | 無料（Googleドライブなど） |
日々のバックアップという用途で見ると、無料でできる範囲が広いのはUpdraftPlusです。
有料版でないとできないこともあります
乗り換えを勧める以上、できないことも書いておきます。
UpdraftPlusの無料版では、次のことができません。
- WordPress本体のファイルや、WordPressの外にあるファイルの保存
- テーマやプラグインを1つずつ選んでの復元（種類ごとの選択まで）
- サイトからサイトへの直接移行
- マルチサイトへの復元
- 前回から変わった分だけを保存する増分バックアップ
普通の企業サイト1つを守る用途なら、無料版で足ります。
UpdraftPlusなら安全、という話ではありません
UpdraftPlusにも、過去に脆弱性は見つかっています。
300万サイトに入っているプラグインですから、これからも狙われます。
替えても、更新を見ていなければ同じことが起きます。
入れる数を減らし、入れたものは更新する。
結局はここに戻ります。
今回替えるかどうかは、「引っ越しの道具を、引っ越しが終わったあとも入れっぱなしにしていないか」という話です。
私は6サイトからアンインストールしました
今回のニュースを見て、過去の案件を見返しました。
ドメインの移管とサーバー移行を頼まれたサイトが、6件ほどありました。
そのときにAll-in-One WP Migrationを入れて、引っ越しに使っています。
移行が終わったあと、そのまま残っていました。
もう使う予定はありません。
6サイトすべてで削除しました。
新しく作るサイトでは、以前からUpdraftPlusで統一しています。
ドメインの置き換えができるようになった時点で、引っ越し用に別のプラグインを入れる理由が無くなったからです。
今日できる3つの確認
ここまでを、確認の順番にまとめます。
- プラグイン一覧を開き、All-in-One WP Migration があれば7.110に更新する
- 使っていないプラグインとテーマを、停止ではなく削除する
- WordPress本体のバージョンを見て、最新でなければ更新する
3つ目は、管理画面の「ダッシュボード」→「更新」で見られます。
そのうえで、もう1つだけ。
バックアップは、取れているかより「戻せるか」が大事です。
取ったつもりで中身が空だった、という話は珍しくありません。
一度、テスト用の場所で戻してみると分かります。
まとめ
- All-in-One WP Migration の 7.109 以前に、深刻な脆弱性がある
- 発動するのは、管理者がバックアップや復元を実行した瞬間
- 入っているなら7.110に更新する
- 使っていないなら、停止ではなく削除する
- この夏はWordPress本体にも、認証なしで実行される脆弱性が出ていた
- UpdraftPlusは無料でドメインの置き換えができ、戻す対象も選べる
- ただし、どのプラグインにも脆弱性は出る
WordPressは、ほぼ毎月どこかで穴が見つかっています。
作ったときのまま置いておくと、その分だけ直っていない穴が積み上がります。
WordPressの日常的な守り方は、別の記事にまとめています。
WordPressセキュリティ対策｜改ざん・乗っ取りを防ぐ最低限の備え
サイトの運用まわりの記事は、まとめページから探せます。
参考にした情報
- WordPressの人気バックアッププラグインに重大な脆弱性、320万サイト以上が未修正（TECH+）
- WordPress backup plugin flaw exposes millions of sites to takeover attacks（BleepingComputer・英語）
- WordPress 7.0.3 リリース（WordPress.org 日本語）
- WordPress の脆弱性にご注意ください（さくらインターネット）
- UpdraftPlus Releases Free WordPress Migration Features（公式・英語）
- UpdraftPlus（WordPress.org プラグインページ）
サイトの更新を、誰の仕事にするか
あなたの会社のサイトは、いま誰が更新していますか。
次のどれかに心当たりがあれば、一度話を聞かせてください。
- 制作会社に作ってもらったが、契約が終わってから誰も触っていない
- 管理画面に入るIDとパスワードが、どこにあるか分からない
- バックアップが取れているかどうか、確かめたことがない
30分のオンライン相談で、いまのサイトがどういう状態かを一緒に見ます。
すぐに相談するほどではないという方は、メルマガでも同じような話を書いています。
いま受け取れる特典は、全部で8つ。すべて無料です。
- AIが作る見た目を選べる デザイン様式50 … 名前をひとつ添えるだけで、サイトも資料も50通りに。
- AIの仕上がりを毎回そろえる 型プロンプト … コピペするだけ・作成フォーム付き。
- ChatGPT超入門ガイド … 「何ができるの？」がスッキリ分かる入門書。
- AIで仕事をラクにする 業務改善チェックリスト … “任せられる仕事”を見つける。
- 今日から使えるAI活用シーン10選 … まねするだけ。
- NotebookLMでスライドを作ろう … 資料づくりを10倍速に。
- 撮った動画を“見返せる資産”に変える 手順書 … 文字起こし→目次→字幕まで。
- AI活用ガイドブック（全70ページ） … 登録＋3分のアンケートで無料（Kindleでは980円）。
この記事は役に立ちましたか？
コメント