Ця стаття має на меті попередити вас про CVE-2026-19949 — критичну вразливість типу SQL Injection у популярному плагіні All-in-One WP Migration and Backup для WordPress. Проблема зачіпає версії 7.109 і нижче та може бути використана неавторизованим зловмисником через функцію відновлення сайту з архіву.

Розробник уже випустив виправлення. Користувачам плагіна рекомендується якнайшвидше оновити All-in-One WP Migration до версії 7.110 або новішої.

Коротко: що потрібно знати

  • Плагін: All-in-One WP Migration and Backup
  • CVE: CVE-2026-19949
  • Тип: Unauthenticated Second-Order SQL Injection
  • Пов’язана функція: відновлення WordPress із архіву
  • Уразливі версії: 7.109 і нижче
  • Виправлена версія: 7.110
  • CVSS: 8.8 (High)
  • Аутентифікація: не потрібна
  • Потенційний наслідок: витік даних із бази даних та можливість подальшого виконання довільного коду

За даними Wordfence, уразливість була виявлена дослідником Jack Taylor і пов’язана з недостатньою обробкою даних, які використовуються під час відновлення архіву.

Що таке All-in-One WP Migration?

All-in-One WP Migration and Backup — популярний плагін WordPress, призначений для міграції, резервного копіювання та відновлення сайтів.

Він дозволяє переносити WordPress між серверами, створювати резервні копії та відновлювати сайт із раніше створеного архіву без необхідності вручну переносити файли та таблиці бази даних.

За інформацією сторінки плагіна в офіційному каталозі WordPress, All-in-One WP Migration використовується на десятках мільйонів сайтів по всьому світу. Саме масштаб поширення плагіна робить уразливість особливо важливою для адміністраторів WordPress.

У чому полягає CVE-2026-19949?

Вразливість CVE-2026-19949 належить до класу SQL Injection — атак, за яких зловмисник може впливати на SQL-запити, що виконуються сервером.

У цьому випадку проблема пов’язана з функцією відновлення сайту з архіву. За даними Wordfence та NIST, плагін недостатньо екранує параметр, отриманий від користувача, а наявний SQL-запит не забезпечує достатнього захисту від маніпуляції вхідними даними.

Особливу небезпеку становить те, що для експлуатації вразливості не потрібен обліковий запис WordPress.

Тобто проблема належить до категорії unauthenticated vulnerabilities: потенційний атакуючий не повинен спочатку отримати права адміністратора або навіть створити користувача на сайті.

Що означає Second-Order SQL Injection?

CVE-2026-19949 описується як Second-Order SQL Injection.

На відміну від класичної SQL Injection, де шкідливий параметр може бути використаний безпосередньо під час обробки HTTP-запиту, при second-order SQL injection небезпечні дані спочатку можуть бути збережені або переміщені в іншу частину системи.

Пізніше ці дані використовуються іншим компонентом у SQL-запиті без належної підготовки.

У випадку All-in-One WP Migration проблема пов’язана саме з ланцюжком обробки даних під час restore операції.

Це важливий момент для адміністраторів: навіть якщо сайт не виконує звичайні операції, пов’язані з міграцією щодня, встановлена уразлива версія плагіна все одно створює потенційний ризик.

Чи може атака призвести до захоплення сайту?

Коротко – Так. База даних WordPress містить значну кількість критично важливої інформації: облікові записи користувачів, налаштування сайту, службові ключі, конфігурацію плагінів та інші дані.

За інформацією Wordfence, успішна експлуатація CVE-2026-19949 може дозволити отримати доступ до чутливої інформації з бази даних. У ланцюжку атаки це може бути використано для подальшої компрометації WordPress і віддаленого виконання коду.

Саме тому Wordfence оцінює цю проблему з CVSS 8.8.

Для власника сайту це означає, що проблему не варто розглядати як звичайний «баг плагіна». Уразливість потенційно може стати початковою точкою повної компрометації WordPress-сайту.

Які версії All-in-One WP Migration уразливі?

Уразливість CVE-2026-19949 присутня у версіях:

All-in-One WP Migration and Backup 7.109 і нижче.

Виправлення було включене у:

All-in-One WP Migration and Backup 7.110.

Цю інформацію підтверджують Wordfence, NVD та інші бази даних уразливостей.

Таблиця версій

ВерсіяСтатус
7.109 і нижче❌ Уразлива
7.110✅ Виправлена
Новіші версії✅ Виправлення має бути присутнім

Якщо на сайті встановлена версія 7.109 або старіша, її необхідно оновити.

Як перевірити версію плагіна?

У панелі адміністратора WordPress відкрийте “Плагіни – встановлені плагіни” (Plugins → Installed Plugins), знайдіть All-in-One WP Migration and Backup та перевірте номер встановленої версії.

Якщо використовується версія 7.109 або нижче, оновіть плагін. Для сайтів, якими керує команда або хостинг-провайдер, рекомендується також перевірити всі WordPress-інсталяції централізовано (що ми робимо регулярно для своїх клієнтів 🙂 ).

Що робити адміністраторам WordPress?

1. Оновіть плагін

Найважливіший крок — оновити All-in-One WP Migration and Backup до версії 7.110 або новішої.

Не відкладайте оновлення до планового обслуговування, особливо якщо плагін встановлений на production-сайті.

2. Перевірте резервні копії

Після оновлення перевірте, чи працює створення та відновлення резервних копій.

При цьому не варто використовувати неперевірені архіви або backup-файли, отримані з невідомих джерел.

3. Перевірте сайт на ознаки компрометації

Якщо на сайті тривалий час працювала уразлива версія плагіна, одного оновлення може бути недостатньо.

Рекомендується перевірити:

  • журнали веб-сервера;
  • журнали WordPress;
  • незвичайні запити до endpoint’ів плагіна;
  • нових користувачів WordPress;
  • зміни в адміністративних облікових записах;
  • незнайомі PHP-файли;
  • зміни в wp-config.php;
  • модифікації файлів тем і плагінів;
  • підозрілі cron-задачі;
  • незвичайну активність у базі даних.

Особливу увагу варто приділити сайтам, де одночасно спостерігалися підозрілі PHP-файли, невідомі адміністративні користувачі або інші ознаки веб-шелів.

4. Перевірте інші вразливості плагіна

CVE-2026-19949 — не єдина проблема безпеки, яка цього року була виявлена в All-in-One WP Migration.

У базі Wordfence також зазначені попередні уразливості цього плагіна, зокрема CVE-2026-12898 та CVE-2026-17533. Вони стосуються інших класів проблем і були виправлені в попередніх оновленнях.

Тому адміністратору важливо перевірити не лише конкретний CVE, а й переконатися, що використовується актуальна версія плагіна.

Чи достатньо просто оновити плагін?

Якщо сайт використовував уразливу версію, оновлення є обов’язковим першим кроком, але воно не відповідає на питання, чи була вразливість використана раніше.

Якщо є підстави вважати, що сайт міг бути атакований, необхідно провести окрему перевірку.

Наприклад, варто порівняти:

  • час появи підозрілих запитів;
  • web server access logs;
  • PHP error logs;
  • зміни файлів;
  • зміни користувачів;
  • зміни в базі даних;
  • появу невідомих scheduled tasks;
  • мережеві з’єднання від PHP-процесів.

Особливо важливо це для сайтів, які містять персональні дані, платіжну інформацію, комерційну інформацію або використовуються для роботи бізнесу.

Чому ця вразливість небезпечна саме для WordPress?

WordPress має величезну екосистему плагінів, а плагіни часто отримують доступ до бази даних, файлів і внутрішніх API сайту. У результаті вразливість у популярному плагіні може створити значно більший ризик, ніж здається з опису конкретної функції.

У випадку CVE-2026-19949 поєднання трьох факторів особливо важливе:

  1. плагін широко використовується;
  2. уразливість може експлуатуватися без автентифікації;
  3. наслідки можуть виходити за межі звичайного витоку даних і призвести до подальшого виконання коду.

Саме тому власникам WordPress-сайтів варто ставитися до цього оновлення як до пріоритетного security patch.

Висновок

CVE-2026-19949 — серйозна вразливість безпеки All-in-One WP Migration and Backup, яку не варто залишати без уваги.

Якщо ваш WordPress-сайт використовує All-in-One WP Migration версії 7.109 або нижче, оновіть плагін до 7.110 або новішої версії. Для клієнтів нашого хостингу WordPress ми додатково допомагаємо з цим, а також вони можуть оновлювати плагіни прямо з панелі хостингу в кілька кліків.

Для сайтів, на яких уразлива версія використовувалася протягом тривалого часу, рекомендується додатково перевірити журнали та файлову систему на ознаки компрометації.

Оновлення плагінів залишається одним із найпростіших і водночас найважливіших заходів для захисту WordPress від відомих атак.

FAQ: CVE-2026-19949 та All-in-One WP Migration

Що таке CVE-2026-19949?

CVE-2026-19949 — це уразливість SQL Injection у плагіні All-in-One WP Migration and Backup для WordPress. Вона пов’язана з функцією відновлення сайту з архіву та може експлуатуватися без автентифікації.

Які версії All-in-One WP Migration уразливі?

Уразливими є версії 7.109 і нижче. Виправлення доступне у версії 7.110.

Яка оцінка CVSS для CVE-2026-19949?

Вразливість має оцінку CVSS 8.8 і класифікується як високосерйозна.

Чи потрібен обліковий запис WordPress для атаки?

Ні. Вразливість класифікується як unauthenticated, тобто для потенційної експлуатації не потрібна автентифікація користувача.

Як виправити CVE-2026-19949?

Оновіть All-in-One WP Migration and Backup до версії 7.110 або новішої.

Чи потрібно перевіряти сайт після оновлення?

Якщо сайт використовував уразливу версію, особливо протягом тривалого часу, рекомендується додатково перевірити access logs, файли WordPress, адміністративні облікові записи та інші ознаки можливої компрометації.

Чи безпечно використовувати All-in-One WP Migration після оновлення?

Відоме виправлення для CVE-2026-19949 було включене у версію 7.110. Однак, як і для будь-якого WordPress-плагіна, рекомендується підтримувати його в актуальному стані та своєчасно встановлювати security updates.