Un restore normale può diventare takeover su WordPress
Wordfence segnala che CVE-2026-19949 colpisce All-in-One WP Migration and Backup fino alla 7.109, con correzione nella 7.110. Il plugin ha oltre cinque milioni di installazioni attive e circa il 35% risulta già aggiornato; il resto resta su release vulnerabili.
La falla è una second-order SQL injection: durante il restore il plugin rilegge male backslash e virgolette, e dati piantati prima tornano a essere trattati come SQL quando un amministratore importa o ripristina un archivio. Da lì si può esporre la secret import key e caricare un archivio .wpress malevolo, fino al controllo completo del sito senza autenticazione.
Per chi usa questo plugin, il punto non è solo la patch ma il fatto che il rischio si attiva su un’operazione di routine. Un backup compromesso può restare silente finché non viene ripristinato, quindi l’esposizione supera il solo componente di backup e arriva all’intero sito WordPress.