WordPressサイトのバックアップ・移行を行うプラグイン「Duplicator – Backups & Migration Plugin」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 1.5.17 までのすべてのバージョンです。
本脆弱性を悪用された場合、ログインしていない第三者がサイトに文字列を仕込むことで、管理者がサイトを移行・復元した際に、移行先のサーバー上で任意のコマンドが実行される可能性があります。
対策として、バージョン 5.0.0 以降への更新を推奨します。
脆弱性詳細
本脆弱性は、バックアップ（パッケージ）に同梱されるインストーラーが、移行先でデータベース内のURLなどを書き換える処理に存在します。
第三者がサイトに保存した文字列は、移行・復元を行うまでは無害ですが、移行先でこの書き換え処理が行われる際にプログラムとして動作してしまいます。
想定される被害
攻撃が成功した場合、以下のような被害が想定されます。
- 移行先サーバーでの任意のコマンド実行
- インストーラーを動かしている移行先サーバー上で、攻撃者が指定したコマンド（サーバーへの命令）が実行される可能性があります。
- その結果、ファイルの改ざんや不正なプログラムの設置などにより、移行先のサイトを乗っ取られるおそれがあります。
被害発生の条件
以下の条件がすべてそろった場合に、被害が発生する可能性があります。
- 第三者が、攻撃用の文字列をサイトのデータベースに保存する（ログインは不要）
- その後に、管理者が Duplicator 1.5.17 以下でバックアップ（パッケージ）を作成する
- 管理者がそのパッケージを使って、サイトの移行・復元（インストーラーの実行）を行う
なお、文字列が保存される前に作成したパッケージや、移行・復元を行わない場合は、本脆弱性は発動しません。
技術的な詳細
本来の動作
- Duplicator のインストーラーは、移行先でデータベースを復元した後、旧サイトのURLやフォルダの場所を新しいものへ一括で書き換えます。
- WordPress では、設定などの複雑なデータを「シリアライズ」という形式（データを1つの文字列にまとめる形式）で保存しています。書き換えによって文字数がずれると、このデータが壊れてしまいます。
- そのため、インストーラーは書き換え後の値がシリアライズ形式として正しいかを確認し、必要に応じて修復しています。
問題点：データを復元する処理の制限不足
- この確認のために、インストーラーは文字列を実際にデータへ戻す処理（デシリアライズ）を、復元できるデータの種類を制限せずに行っていました。
- シリアライズ形式の文字列には、「どの種類のプログラム部品（オブジェクト）として復元するか」という指定を含めることができます。制限がない場合、この指定どおりにプログラム部品が作られ、その部品が持つ処理が自動的に動くことがあります（いわゆる「PHPオブジェクトインジェクション」）。
- 確認の対象は、データベース内の書き換え対象となる文字列を含むすべての値で、誰が保存した値かは区別されていませんでした。Base64（データを英数字に変換する方式）で変換された値も、元に戻したうえで確認の対象となっていました。
- さらに、インストーラーには通信用のライブラリ（Requests 1.7）が同梱・自動で読み込まれており、このライブラリの部品を組み合わせることで、任意のコマンド実行につながる状態でした。
攻撃の大まかな流れ
※ 模倣防止のため詳細は省略します。
- 攻撃者が、ログインせずに書き込める箇所（コメント欄など）から、細工した文字列を投稿する
- 管理者がパッケージを作成し、そのパッケージで移行・復元を行う
- 移行先でURLの書き換えが行われる途中で、細工した文字列がプログラム部品として復元され、コマンドが実行される
対策版での修正
バージョン 5.0.0 では、次の修正が行われています。
- デシリアライズの際に、プログラム部品（オブジェクト）を作らない設定で処理するよう変更
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新とパッケージの作り直し
- 速やかに、プラグインを対策バージョン（5.0.0 以降）へ更新してください。
- インストーラーはパッケージの中に含まれるため、1.5.17 以下で作成したパッケージには、修正前のインストーラーが入ったままです。更新後にパッケージを作り直し、古いパッケージは移行・復元に使わないでください。
- 被害確認
- Duplicator 1.5.17 以下で作成したパッケージで移行・復元を行ったことがなければ、本脆弱性による被害は発生していません。
- 移行元サイトに攻撃用の文字列が投稿されていないか確かめる場合は、WordPress 管理画面の「コメント」（承認待ち・スパムを含む）で「
Requests_」を検索し、該当するコメントがないか確認してください。該当する場合は、攻撃用の文字列が投稿された可能性があります。
※ 文字列が英数字に変換（Base64）された状態で投稿されている場合は、この検索では見つからないことがあります。 - 古いパッケージで移行・復元を行ったことがある場合は、移行先のサイトについて以下を確認してください。
- 「ユーザー」→「ユーザー一覧」で権限を「管理者」に絞り込み、身に覚えのない管理者アカウントがないか
- 「プラグイン」一覧に、身に覚えのないプラグインがないか
- レンタルサーバーなどのウイルス・改ざんチェック機能で、不審なファイルが検出されないか
- セキュリティ対策の強化
- WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）を導入していれば、コメント投稿などで送られる不審な文字列の遮断に有効です。ただし、WAFですべての攻撃を確実に防げるわけではないため、根本的な対策となるプラグインの更新とパッケージの作り直しを優先してください。
⇒ 不審なファイルやアカウントが確認された場合は、WordPressの専門家などへの相談を推奨します。
影響を受けるバージョン
Duplicator – Backups & Migration Plugin 1.5.17 までのバージョン
Duplicator Pro 4.6.10 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-82814 
（公開日 2026年10月21日 更新日 2026年10月21日）
脆弱性の深刻度 (CVSS v3)
基本値: 8.8 (重要) [Wordfence]
※ 「被害発生の条件」に挙げた、管理者による移行・復元が行われた場合が対象です。
脆弱性脅威度(EPSS)
CVE-2026-82814 悪用確率 0.53% （上位56%） 2026年10月21日時点
参考
Duplicator <= 1.5.17 and Duplicator Pro <= 4.6.10 – Unauthenticated PHP Object Injection
Wordfence Argus Discovers High Severity Unauthenticated PHP Object Injection in Duplicator
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
Duplicator プラグインをご利用中のお客様には、
対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
本記事の作成について
本記事は、対象プラグインの公開ソースコードおよびバージョン間の差分を解析し、その結果に基づいて作成しています。
解析および文章作成の過程では生成AIを利用し、内容は当社の担当者が確認したうえで公開しています。
