WordPressサイトのバックアップ・移行を行うプラグイン「Prime Mover – Backup and Migration」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 2.2.1 までのすべてのバージョンです。
本脆弱性を悪用された場合、ログインしていない第三者がコメント欄などに文字列を仕込むことで、管理者がサイトを復元・移行した際に、サイトの設定値が不正に書き換えられる可能性があります。
対策として、バージョン 2.2.2 以降への更新を推奨します。
脆弱性詳細
本脆弱性は、バックアップを復元・移行する際に、データベース内の旧サイトのURLなどを新しいものへ書き換える処理に存在します。
ログインしていない第三者がコメント欄などに保存した文字列が、この書き換え処理の途中でプログラムとして動作してしまいます。
想定される被害
攻撃が成功した場合、以下のような被害が想定されます。
- サイト設定値の不正な書き換え
- 復元・移行先のサイトで、WordPressの設定値（データベースに保存されているサイトの各種設定）が、攻撃者の指定した内容で上書きされる可能性があります。
- 書き換えられる設定によっては、ユーザーの権限設定が変更されて本来の権限を超えた操作が可能になったり、サイトが正常に動作しなくなったりするおそれがあります。
被害発生の条件
以下の条件がすべてそろった場合に、被害が発生する可能性があります。
- サイトでコメントなど、ログインせずに書き込める機能が有効になっている
- 第三者が、攻撃用の文字列をコメントとして投稿する
- その後に、管理者がそのコメントを含むバックアップを、Prime Mover 2.2.1 以下で復元・移行する
なお、復元・移行を行わない場合は、本脆弱性は発動しません。
技術的な詳細
本来の動作
- Prime Mover は、バックアップを復元した後、データベース内の旧サイトのURLなどを新しいものへ一括で書き換えます。
- WordPress では、設定などの複雑なデータを「シリアライズ」という形式（データを1つの文字列にまとめる形式）で保存しているため、書き換えの際にはこの文字列をいったん元のデータに戻して（デシリアライズして）から処理しています。
問題点：データを復元する処理の制限不足
- このデシリアライズを、復元できるデータの種類を制限せずに行っていました。
- シリアライズ形式の文字列には、「どの種類のプログラム部品（オブジェクト）として復元するか」という指定を含めることができます。制限がない場合、この指定どおりにプログラム部品が作られ、その部品が持つ処理が動くことがあります（いわゆる「PHPオブジェクトインジェクション」）。
- 書き換えの対象は復元したデータベース内のすべての値で、コメントのように第三者が投稿した値も区別なく処理されていました。また、Base64（データを英数字に変換する方式）で変換された値も、元に戻したうえで処理の対象となっていました。
- さらに、Prime Mover に同梱されているライブラリ（Freemius SDK）の部品を組み合わせることで、WordPressの設定値を書き換える処理を動かせる状態でした。そのため、他のプラグインやテーマの有無にかかわらず、攻撃が成立し得る状態でした。
攻撃の大まかな流れ
※ 模倣防止のため詳細は省略します。
- 攻撃者が、細工した文字列を英数字に変換したうえでコメントとして投稿する
- 復元・移行時のURL書き換え処理で、その文字列が元に戻され、プログラム部品として復元される
- 同梱ライブラリの処理が呼び出され、サイトの設定値が上書きされる
対策版での修正
バージョン 2.2.2 では、次の修正が行われています。
- デシリアライズの際に、プログラム部品（オブジェクト）を作らない設定で処理するよう変更
- ユーザー情報の復元など、同様の処理を行う他の箇所も同じく修正
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（2.2.2 以降）へ更新してください。
- 問題は復元・移行を行う側の処理にあるため、特に復元・移行先のサイトで、作業前に必ず更新してください。更新後であれば、以前に作成したバックアップを使っても本脆弱性は発動しません。
- 被害確認
- Prime Mover 2.2.1 以下で復元・移行を行ったことがなければ、本脆弱性による被害は発生していません。
- 攻撃用の文字列が投稿されていないか確かめる場合は、WordPress 管理画面の「コメント」（承認待ち・スパムを含む）で、意味のある文章がなく英数字の羅列だけで構成されたコメントがないか確認してください。「
Tzo」や「YTo」で検索すると見つけやすくなります。該当するコメントがあれば、削除してください。
※ 復元・移行を行ったサイトにも同じコメントが残っているため、移行元・移行先の両方で確認してください。 - 2.2.1 以下で復元・移行を行ったことがある場合は、復元・移行先のサイトについて以下を確認してください。
- 「ユーザー」→「ユーザー一覧」で、身に覚えのない管理者アカウントや、権限の表示がおかしいユーザーがないか
- 管理画面のメニューや設定画面が表示されない、サイトの表示が崩れるなど、復元直後から不自然な動作がないか
- セキュリティ対策の強化
- コメント機能を使っていない場合は、「設定」→「ディスカッション」でコメントを受け付けない設定にすると、攻撃の起点を減らせます。なお、コメントを承認制にしても、投稿されたコメントはデータベースに保存されるため、本脆弱性への対策としては十分ではありません。
- WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）を導入していれば、コメント投稿などで送られる不審な文字列の遮断に有効です。ただし、WAFですべての攻撃を確実に防げるわけではないため、根本的な対策となるプラグインの更新を優先してください。
⇒ 不審なアカウントや設定の変更が確認された場合は、WordPressの専門家などへの相談を推奨します。
影響を受けるバージョン
Prime Mover – Backup and Migration 2.2.1 までのバージョン
脆弱性情報 (CVE-ID)
未採番
脆弱性の深刻度 (CVSS v3)
基本値: 9.8 (緊急) 
[Wordfence]
※ 「被害発生の条件」に挙げた、管理者による復元・移行が行われた場合が対象です。
脆弱性脅威度(EPSS)
CVE-IDが採番されていないため、算出されていません。
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
Prime Mover プラグインをご利用中のお客様には、
対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
本記事の作成について
本記事は、対象プラグインの公開ソースコードおよびバージョン間の差分を解析し、その結果に基づいて作成しています。
解析および文章作成の過程では生成AIを利用し、内容は当社の担当者が確認したうえで公開しています。
