Faille SQLi critique dans le plugin WordPress All-in-One WP Migration expose 5 millions de sites

📰 Contexte

Publié le 2 septembre 2026 par Bill Toulas sur BleepingComputer, cet article rapporte la divulgation d’une vulnérabilité critique d’injection SQL affectant le plugin WordPress All-in-One WP Migration and Backup, développé par ServMask. Le plugin compte plus de 5 millions d’installations actives.

🔍 Détails de la vulnérabilité

• CVE : CVE-2026-19949
• Type : Injection SQL de second ordre (second-order SQL injection)
• Sévérité : Haute
• Versions affectées : All-in-One WP Migration and Backup jusqu’à la version 7.109 incluse
• Version corrigée : 7.110 (publiée le 20 août 2026)
• Découvreur : Jack Taylor, signalé via Wordfence (branche cybersécurité de Defiant) le 15 août 2026

⚙️ Mécanisme d’exploitation

La faille résulte d’un traitement incorrect des barres obliques inversées et des guillemets échappés lors de la réécriture du contenu de la base de données pendant la restauration d’une archive.

Chaîne d’exploitation :

1. Un attaquant non authentifié injecte des données malveillantes via les trackbacks WordPress
2. Les données restent dormantes jusqu’à ce qu’un administrateur exporte puis importe le site (opération courante avec ce plugin)
3. L’exécution du SQL injecté expose la clé secrète d’importation (ai1wm_secret_key) via un commentaire public
4. L’attaquant récupère cette clé et importe une archive .wpress malveillante contenant du code exécutable
5. L’exécution de code à ce niveau de privilège peut mener à la prise de contrôle complète du site

📊 Impact

• 5 millions d’installations actives au total
• Seulement ~35% des utilisateurs ont mis à jour vers la version corrigée
• Environ 3,25 millions de sites restent vulnérables
• Un plugin désactivé mais vulnérable présente un risque moindre, mais reste exploitable s’il est temporairement réactivé

🗓️ Chronologie

• Mi-août 2026 : Découverte par Jack Taylor
• 15 août 2026 : Divulgation à ServMask via Wordfence
• 20 août 2026 : Correctif publié dans la version 7.110
• 2 septembre 2026 : Publication de l’article et du rapport Wordfence

📌 Type d’article

Article de presse spécialisée à visée informationnelle, signalant une vulnérabilité activement non patchée sur des millions de sites WordPress avec divulgation coordonnée.

🧠 TTPs et IOCs détectés

TTP

• T1190 — Exploit Public-Facing Application (Initial Access)
• T1059 — Command and Scripting Interpreter (Execution)
• T1505.003 — Server Software Component: Web Shell (Persistence)
• T1078 — Valid Accounts (Defense Evasion)

IOC

• CVEs : CVE-2026-19949 — NVD · CIRCL

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 3 septembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

🟢 Indice de vérification factuelle : 71/100 (haute)

• ✅ bleepingcomputer.com — source reconnue (liste interne) (20pts)
• ✅ 10625 chars — texte complet (fulltext extrait) (15pts)
• ✅ 1 IOC(s) (6pts)
• ⬜ pas d’IOC vérifié (0pts)
• ✅ 4 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ✅ 1/1 CVE(s) confirmée(s) (CIRCL) (5pts)

🔗 Source originale : https://www.bleepingcomputer.com/news/security/wordpress-backup-plugin-flaw-exposes-millions-of-sites-to-takeover-attacks/