## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-0XBLACKASH-CVE-2026-1357
# CVE-2026-1357 -- WPvivid RCE
### WPvivid Backup & Migration における未認証リモートコード実行（RCE）
  800%2C000-brightgreen?style=for-the-badge" alt="Installs">
**800,000〜900,000以上の WordPress サイトに影響する重大な脆弱性**
_未認証での任意 PHP アップロード → サーバー完全侵害_
* * *
## 🌩️ 概要
**CVE-2026-1357** （CVSS 9.8 – Critical）は、**Migration, Backup, Staging – WPvivid Backup & Migration** プラグイン（≤ 0.9.123）に影響します。
* **プラグイン** → WPvivid Backup & Migration
* **影響を受けるバージョン** → ≤ 0.9.123
* **修正版** → 0.9.124（2026年1月28日頃リリース）
* **攻撃経路** → ネットワーク
* **複雑度** → 低
* **必要な権限** → なし
* **ユーザー操作** → なし
* **影響** → リモートコード実行（機密性・完全性・可用性への影響: 高）
この脆弱性は、プラグインのオプション機能「別サイトからのバックアップ受信」（`wpvivid_action=send_to_site` 経由）に存在します。この機能が有効な場合、未認証の攻撃者は任意のファイル（最も危険なのは PHP ウェブシェル）を `/wp-content/uploads/` などの Web からアクセス可能な場所にアップロードできます。
## 🛠️ 根本原因（連鎖する脆弱性）
      
→ 攻撃者は Null 鍵で暗号化したペイロードを作成 → 「認証」をバイパス → 書き込み可能な任意の場所に `.php` ファイルを書き込む
## 🔥 影響
* **未認証** での Web サーバーユーザー（通常 `www-data`）によるリモートコード実行
* サイト全体の乗っ取り: バックドア、データ窃取、ランサムウェア、改ざん
* 開示直後（2026年2月）に公開 PoC が出現
* 悪用の容易さと導入サイト数の多さにより、現実世界でのリスクが高い
**注記** : 悪用には、「バックアップ受信」機能が有効（デフォルトでは無効）であることと、有効かつ有効期限切れでない API トークン（最大 24 時間の有効期間）が必要です。
## 📅 タイムライン
日付| イベント
---|---
## 🛡️ 緩和策と堅牢化
**直ちに実施すべき対応**
**WPvivid Backup & Migration ≥ 0.9.124** にアップグレード（修正内容: 復号失敗時の適切な処理、ファイル名のサニタイズ、ファイルタイプの制限）。
**一時的な回避策** （アップグレードが遅れる場合）:
* プラグイン設定で「別サイトからのバックアップ受信」を無効化
* 不要であればプラグインを無効化・削除
* `/wp-admin/admin-ajax.php` への `action=wpvivid_send_to_site` を含む POST をブロック（WAF / .htaccess 経由）
**インシデント発生後の確認**
* `/wp-content/uploads/`（およびその他の書き込み可能なディレクトリ）に不審な `.php` ファイルがないか検索
* アクセスログで `admin-ajax.php` への異常な POST を確認
* ウェブシェルをスキャンし、認証情報をローテーションし、侵害された場合はクリーンなバックアップから復元
**一般的なベストプラクティス**
* WordPress コア、テーマ、プラグインを常に最新版に保つ
* セキュリティプラグイン（Wordfence、Sucuri など）を利用
* ファイル権限を制限し、XML-RPC を未使用なら無効化
## 🔗 参考情報
* NVD 公式エントリ
* Wordfence アドバイザリ（詳細な開示情報）
* プラグインページ
* Nuclei テンプレート: projectdiscovery/nuclei-templates に公式収録（v10.4.0 で追加）
* * *
早期にパッチ • 頻繁にパッチ • 安全を維持
