Prime Moverのバックアップ・移行処理で不正なコメントがPHPオブジェクトインジェクションにつながるCVE-2026-115806。修正版2.2.2をめぐる公式変更履歴と脆弱性DBの表記差も検証。
30秒でわかる / THE SIGNAL
Prime Mover 2.2.1以前にCRITICAL（CVSS 9.8）の脆弱性。攻撃者が細工したコメントを投稿し、管理者が後にバックアップ・復元すると危険な処理が実行され得る。開発元は2.2.2で修正したと説明しているが、一部脆弱性DBには修正版未記載のため追加確認も必要。
守るためのバックアップが攻撃のきっかけになる
WordPressのバックアップ・移行プラグイン「Prime Mover – Backup and Migration」にCVE-2026-115806が公表された。深刻度はCRITICAL、CVSS v3.1で9.8。影響するのは2.2.1以前。未認証の攻撃者がコメント機能を通じて細工したデータを保存し、管理者が後にエクスポートや復元を行うと、プラグイン内部で危険なPHPオブジェクト復元処理が実行される恐れがある。
原因はコメントのデータを無制限に復元する処理
コメント本文に埋め込まれたbase64形式のPHPシリアライズデータを、移行時の検索・置換処理がクラス制限なしでunserialize()へ渡す。プラグインに同梱されたFreemiusライブラリに悪用可能なオブジェクト連鎖があり、追加のプラグインやテーマがなくてもコード実行などにつながり得る。攻撃者がコメントを保存でき、管理者がそのデータを含む移行処理を行うことが成立条件だ。すべてのWordPressサイトが直ちに攻撃されるという意味ではない。
2.2.2で修正を表明。ただし情報源に差がある
WordPress公式プラグインページの変更履歴では、2.2.2についてunserialize処理を強化してオブジェクトインジェクションを防止したと開発元が説明する。一方、脆弱性情報データベースには修正版未記載の例が残る。これは2.2.2の修正が無効と証明されたわけではないが、独立した修正検証が済んだとも断定できない。運営者は2.2.2以上へ更新し、提供元の追加情報を追う。
管理者が今確認したいこと
プラグインの導入有無とバージョンを確認する。影響範囲に該当する場合は更新を優先し、更新前のバックアップ・移行作業は慎重に判断する。不審なコメントや過去の移行作業も点検し、重要データは信頼できる別の手段で保全したい。公式情報から実際の悪用・侵入成功は確認できない。
WORK SIGNALの視点｜保守作業も攻撃対象になる
バックアップは事故への備えだが、外部から受け取ったデータを後から一括処理する仕組みでもある。平常時の表示だけでなく、移行・復旧という非日常の操作も攻撃対象になる。更新担当者、実行前の確認項目、復旧手順まで含めて保守体制を設計したい。