WordPressプラグイン「InstaWP Connect」にデータベース接続情報が漏えいする脆弱性

この脆弱性が悪用された場合、以下のような被害が想定されます。

移行を開始すると、データベースの接続情報と認証値をまとめて暗号化したファイルが、作業用フォルダーに保存されます。
このとき、暗号を解くための鍵となるランダムな文字列が、そのままファイル名にも使われていました。

本来この鍵は外部に知られないことを前提とした値です。しかし作業用フォルダーには一覧表示を防ぐファイル（index.php や .htaccess）が置かれていなかったため、一覧表示が有効なサーバーではファイル名から鍵を読み取れる状態になっていました。

攻撃の流れは、おおまかに次のとおりです。

• フォルダーの一覧表示からファイル名を読み取る
• ファイル名をもとに、暗号を解く鍵を組み立てる
• 暗号化ファイルをダウンロードし、中身を復元する
• 復元した接続情報と認証値を使ってアクセスする

また、このファイルは移行が正常に完了した場合には削除されていましたが、中断・失敗・時間切れで終わった場合には削除されず、フォルダー内に残ることがありました。この場合、情報が見える状態が移行の終了後も続きます。

対策版では、次の3点が実施されています。

• 作業用フォルダーに一覧表示を防ぐファイルを設置し、暗号化ファイルやデータベースの書き出しファイルへの直接アクセスを拒否する
• すでに移行や同期を実行済みのサイトにも、管理画面へのアクセス時やプラグイン更新時に上記の設定を適用する
• 移行がどのような結果で終わった場合でも、暗号化ファイルを削除する

CWE-200 情報漏えい（暗号鍵の露出） 

該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。

1. プラグインの更新
   • 速やかに、プラグインを対策バージョン（0.1.3.7 以降）へ更新してください。更新すると、作業用フォルダーへの保護設定が自動的に適用されます。
2. 被害確認
   • ブラウザのアドレス欄に「https://（サイトのURL）/wp-content/instawpbackups/」と入力して開いてみてください。
     ・ファイルの一覧が表示される場合、本脆弱性の前提条件が成立している状態です。速やかに更新を行ってください。
     ・更新後は、何も表示されない空白のページになります。これが正常な状態です。
     ・「404 Not Found」や「403 Forbidden」が表示される場合は、フォルダーが存在しないか一覧表示が無効になっているため、影響を受ける可能性は低いと考えられます。
   • FTPやサーバーのファイルマネージャーで同じフォルダーを開き、「options-」で始まる .txt ファイルが残っていないか確認してください。残っている場合は、過去の移行が中断したまま情報が残り続けている可能性があります（更新後は自動的に削除されます）。
   • サーバーのアクセスログを確認できる場合は、「instawpbackups」および「options-」という文字列を含むリクエストがないか検索してください。心当たりのないアクセスがあれば、情報が読み取られた可能性があります。
3. 情報が読み取られた可能性がある場合
   • データベースのパスワードを変更し、wp-config.php の設定も合わせて更新してください。
   • データベースの内容には利用者アカウントの情報も含まれるため、管理者アカウントのパスワードも変更することを推奨します。
4. 追加のセキュリティ対策
   • サーバーの設定で、フォルダー内の一覧表示（ディレクトリリスティング）を無効にしてください。本脆弱性は一覧表示が有効であることが前提のため、無効化はそのまま予防につながります。設定方法はご利用のサーバーによって異なりますので、契約先のサポートへご確認ください。

⇒心当たりのないアクセス履歴や、フォルダー内に不審なファイルが確認された場合は、WordPressの専門家などへの相談を推奨します。

InstaWP Connect – 1-click WP Staging & Migration 0.1.3.6 までのバージョン

CVE-2026-13457
（公開日 2026年8月11日 更新日 2026年8月11日）

基本値: 7.5 (重要)  　[Wordfence]

CVE-2026-13457 悪用確率 0.62% （上位53%） 2026年8月12日時点 

（今後30日以内に悪用される確率 )