WordPressのバックアップ・移行プラグイン「Duplicator」と有料版の「Duplicator Pro」に、ログインしていない人でも仕込める脆弱性（CVE-2026-82814）が見つかりました。セキュリティ会社Wordfenceが米国時間2026年10月20日に公表したもので、深刻度はCVSS 8.8（高）です。コメント欄などから送られた値がデータベースに残り、管理者があとでそのサイトを移行したときに動き出すというものです。対象は無料版の1.5.17以前とPro版の4.6.10以前で、9月8日に公開された5.0.0で修正されています。
この記事の要点
- WordPressのバックアップ・移行プラグインDuplicator（無料版1.5.17以前）とDuplicator Pro（4.6.10以前）に、CVSS 8.8（高）の脆弱性CVE-2026-82814があります。WordPress.orgでの有効インストール数は100万以上です。
- ログインしていない攻撃者がコメント欄などに値を仕込んでおくと、管理者がそのあとに作ったパッケージでサイトを移行・インポートしたときに動きます。バックアップを作るだけでは動きません。
- Wordfenceによると、無料版ではOSのコマンドを実行されるおそれがあり、Pro版ではwp-config.phpなどのファイルを消され、条件がそろうとサイトを乗っ取られるおそれがあります。
- 無料版・Pro版とも、9月8日に公開された5.0.0で修正されています。WordPress.orgの最新版は5.0.6です。
- Duplicatorの版が5.0.0以上か確かめましょう。古い版で作ったパッケージで移行する前に、更新した版でパッケージを作り直してください。
何が見つかったか
| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-82814 |
| 深刻度 | CVSS 3.1で8.8（High／高） |
| 種類 | 認証なしのPHPオブジェクトインジェクション（CWE-502：信頼できないデータのデシリアライズ） |
| 対象 | Duplicator（無料版）1.5.17以前、Duplicator Pro 4.6.10以前 |
| 修正版 | 5.0.0（2026年9月8日公開）。無料版・Pro版とも |
| 利用規模 | WordPress.orgでの有効インストール数は100万以上 |
| 発見 | Wordfenceの調査チーム（Alex Thomas氏と、AIを使った調査の仕組み「Wordfence Argus」） |
| 公表 | 米国時間2026年10月20日（Wordfence） |
Duplicatorは5.0.0から、無料版とPro版が同じ仕組みと同じ版番号で出るようになりました。そのため、無料版は1.5.17から、Pro版は4.6.10から、どちらも5.0.0に上がっています。
どんな脆弱性か
Duplicatorは、サイトのファイルとデータベースを「パッケージ」にまとめ、別の場所に移すためのインストーラーを付けて書き出すプラグインです。移行するときは、データベースの中の古いURLなどを新しいものに書き換えます。Wordfenceの説明によると、影響を受ける版では、この書き換えの途中で、データベースに入っている値を安全でないやり方で読み込んでいました。
そのため、ログインしていない攻撃者がふつうのコメントとして値を送っておくと、その値がデータベースに残ります。承認待ちのコメントもデータベースには保存されるため、コメントを承認制にしていても防げないとしています。この値は送られた時点では何もしませんが、管理者がそのあとにパッケージを作り、それを使ってサイトを移行・インポートしたときに動き出します。
無料版とPro版で、起きうることが違う
| 版 | Wordfenceが確かめたこと |
|---|---|
| 無料版（1.5.17以前） | 攻撃者が選んだOSのコマンドを、Webサーバーの権限で実行される |
| Pro版（4.6.10以前） | 攻撃者が選んだファイルを消される。wp-config.phpが消されると、WordPressの初期設定の画面が開く。攻撃者が先にその画面に行き、自分のデータベースをつなぐと、サイトの乗っ取りやPHPのコードの実行につながる |
動く条件
- 攻撃者が値を仕込んだあとに、管理者がパッケージを作ること
- 管理者がそのパッケージで、データベースの書き換えをともなう通常の移行やインポートをすること
- バックアップを作るだけでは動きません。Wordfenceは、Duplicatorの「復元（Restore）」や「リカバリー」のモードでは、この動きを確かめていないとしています。
- Pro版でファイルを消すには、そのファイルがあり、インストーラーを動かしているPHPがそのフォルダを書き換えられる必要があります。
修正と経緯
| 日付 | できごと |
|---|---|
| 2026年8月30日 | Wordfenceが脆弱性を見つける |
| 8月31日 | Wordfenceが開発元に詳細を伝える |
| 9月2日 | 開発元が報告を受け取ったと返答 |
| 9月8日 | 開発元が5.0.0を公開 |
| 9月25日 | 開発元が、5.0.0に修正が入っているとWordfenceに伝える |
| 10月9日 | Wordfenceが修正を確かめる |
| 10月15日 | Wordfenceが、有料版の利用者向けにこの脆弱性専用のファイアウォールのルールを配る |
| 10月20日（米国時間） | Wordfenceが公表 |
| 11月14日（予定） | 無料版のWordfenceにも専用のルールが届く |
Wordfenceは、無料版の5.0.0で修正を直接確かめ、Pro版も5.0.5で同じ修正を確かめたとしています。Pro版の5.0.0にも同じ修正が入っていることは、開発元が確認したとしています。開発元の変更履歴の5.0.0の欄には、「同梱しているPHPとJavaScriptの部品を、公表済みのセキュリティの問題に対応するよう更新した」と書かれていますが、このCVEの番号は書かれていません。
古いパッケージには注意
プラグインを更新しても、すでに作ったパッケージは作り直されません。古いパッケージは、作ったときの版のインストーラーをそのまま持っています。Wordfenceによると、保存しておくだけでは問題は起きませんが、影響を受ける版で作ったパッケージを使って通常の移行やインポートをすると、古いインストーラーの問題のある部分が動くことがあります。Wordfenceの確認では、Pro版5.0.5の「インポート」で、4.6.10で作ったパッケージを使うと、問題の部分が動きました。一方、Pro版5.0.5の自動の「復元」では動きませんでした。
読者がすること
| すること | やり方 |
|---|---|
| 版を確かめる | WordPressの管理画面の「プラグイン」で、Duplicatorの版が5.0.0以上か確かめる。Duplicator Proも同じく5.0.0以上か確かめる |
| 更新する | 5.0.0より前なら、最新版に更新する。WordPress.orgの最新版は5.0.6（2026年10月14日公開） |
| 移行の前にパッケージを作り直す | 古い版で作ったパッケージで移行やインポートをする前に、更新した版でパッケージを作り直す。古いパッケージは、復元用に残しておいてもよいとWordfenceはしている |
| 使わないインストーラーを消す | 公開された場所に置いたままの、もう使わないインストーラーのファイルは消す |
Wordfenceは、コメントを受け付けないようにすると、今回確かめた入り口はふさげるが、ほかの入力から入る値もあるため、更新の代わりにはならないとしています。
バックアップ系のプラグインでは、10月21日にUpdraftPlusの運営元への不正アクセスも明らかになっています（UpdraftPlusの記事）。
出典
- Wordfence「Wordfence Argus Discovers High Severity Unauthenticated PHP Object Injection in Duplicator」（2026年10月20日）
- CVE.org「CVE-2026-82814」
- Wordfence Intelligence「Duplicator <= 1.5.17 and Duplicator Pro <= 4.6.10 - Unauthenticated PHP Object Injection」
- WordPress.org「Duplicator – Backups & Migration Plugin」
- Duplicator「Changelog」
