CVE-2026-19949: Kritische SQL-Injection in All-in-One WP Migration and Backup

Das WordPress-Plugin All-in-One WP Migration and Backup ist von einer kritisch eingestuften Sicherheitslücke betroffen, die unter der Kennung CVE-2026-19949 geführt wird. Laut einem Wordfence-Bericht erreicht die Schwachstelle einen CVSS-Wert von 8.8 (High). Betroffen sind alle Versionen des Plugins bis einschließlich 7.109, das bei über 5 Millionen aktiven WordPress-Installationen im Einsatz ist. Version 7.110 schließt die Lücke und sollte auf allen betroffenen Systemen zeitnah eingespielt werden. Der Angriffspfad führt über eine unauthentifizierte, sogenannte Second-Order-SQL-Injection, bei der ein Angreifer keinerlei Zugangsdaten benötigt, um präparierte Trackback-Daten an einem öffentlich erreichbaren Beitrag zu hinterlegen.

Gesichert ist nach aktueller Quellenlage, dass die Schadnutzlast zunächst inaktiv in der Datenbank verbleibt und erst dann gefährlich wird, wenn ein Administrator später einen Export oder einen Import beziehungsweise eine Wiederherstellung mit dem Plugin durchführt. Ein Fehler bei der Prüfung von String-Grenzen kann dabei dazu führen, dass eingeschleuste Daten als ausführbarer SQL-Code interpretiert werden. Darüber lässt sich der geheime Schlüssel des Plugins auslesen, was in Kombination mit einem präparierten Archiv bis zur Remotecodeausführung reichen kann. Unsicher beziehungsweise nicht belegt ist nach den vorliegenden Berichten, ob die Lücke bereits aktiv ausgenutzt wird. Eine Nutzeraktion durch einen Administrator beim Backup- oder Restore-Vorgang ist für die vollständige Ausnutzung notwendig, was die Dringlichkeit nicht mindert, da Trackbacks öffentlich und ohne Anmeldung erreichbar sind. Admins sollten die installierte Plugin-Version umgehend prüfen und das Update auf 7.110 priorisieren, bevor der nächste geplante Export oder Restore-Vorgang ansteht.

Was ist passiert?

Sicherheitsforscher haben in All-in-One WP Migration and Backup eine Schwachstelle in der Verarbeitung von Trackback-Daten identifiziert. Trackbacks sind eine ältere WordPress-Funktion, über die andere Webseiten automatisiert auf einen Beitrag verweisen können. Diese Schnittstelle ist standardmäßig öffentlich erreichbar und erfordert keine Authentifizierung. Ein Angreifer kann eine speziell präparierte Zeichenkette als Trackback an einen beliebigen öffentlichen Beitrag senden. Die Daten werden zunächst unauffällig in der WordPress-Datenbank gespeichert und lösen zu diesem Zeitpunkt noch keinen Schaden aus.

Kritisch wird es laut den vorliegenden Berichten erst im zweiten Schritt: Sobald ein Administrator das Plugin für einen Export der Seite oder für einen Import beziehungsweise eine Wiederherstellung eines Backups nutzt, verarbeitet der betroffene Code die zuvor abgelegten Trackback-Daten erneut. Dabei kommt es laut Berichten zu einer fehlerhaften Prüfung von String-Grenzen, wodurch aus den eingeschleusten Zeichenketten ausführbarer SQL-Code werden kann. Dieses Muster wird als Second-Order-SQL-Injection bezeichnet, weil die eigentliche schädliche Wirkung zeitlich und funktional von der ursprünglichen Eingabe getrennt ist.

Wer ist betroffen?

Betroffen sind alle WordPress-Installationen, auf denen das Plugin All-in-One WP Migration and Backup in einer Version bis einschließlich 7.109 aktiv ist. Nach Angaben aus dem WordPress-Plugin-Verzeichnis zählt das Plugin über 5 Millionen aktive Installationen und gehört damit zu den am weitesten verbreiteten Backup-Lösungen für WordPress überhaupt. Version 7.110 behebt die beschriebene Schwachstelle und steht zum Update bereit.

• WordPress-Seiten mit aktivem Plugin All-in-One WP Migration and Backup in Version 7.109 oder älter
• Öffentlich erreichbare Beiträge mit aktivierten Trackbacks beziehungsweise Pingbacks
• Installationen, bei denen regelmäßig Exporte oder Restores über das Plugin durchgeführt werden
• Multisite-Umgebungen mit dem Plugin in mehreren Subseiten
• Agenturen und Dienstleister, die das Plugin standardmäßig für Kundenmigrationen einsetzen

Nicht unmittelbar betroffen sind Installationen, auf denen das Plugin bereits auf Version 7.110 aktualisiert wurde, sowie Seiten, auf denen Trackbacks und Pingbacks vollständig deaktiviert sind und auf denen zusätzlich keine älteren, potenziell bereits kompromittierten Datenbankeinträge mehr vorhanden sind.

Wie kritisch ist das?

Wordfence bewertet CVE-2026-19949 mit einem CVSS-Wert von 8.8 und damit als High. Die Kombination aus fehlender Authentifizierung für den ersten Schritt und der potenziellen Möglichkeit, über den ausgelesenen Secret Key des Plugins und ein präpariertes Archiv Remotecodeausführung zu erreichen, macht die Lücke technisch schwerwiegend. Gleichzeitig ist die vollständige Ausnutzung an eine Nutzeraktion eines Administrators gebunden, konkret an die Durchführung eines Exports oder eines Imports beziehungsweise Restores. Diese Voraussetzung senkt die Wahrscheinlichkeit einer automatisierten Massenausnutzung etwas, ändert aber nichts daran, dass der erste Schritt, das Ablegen der Schadnutzlast per Trackback, unauthentifiziert und ohne Interaktion des Opfers möglich ist.

Aus den vorliegenden Quellen lässt sich keine Aussage zu einer bereits aktiv laufenden Ausnutzung in freier Wildbahn ableiten. Eine solche Behauptung wird an dieser Stelle bewusst nicht aufgestellt, solange keine belastbare Quelle dies bestätigt. Dennoch gilt die Lücke wegen der großen Verbreitung des Plugins und der Möglichkeit einer unauthentifizierten Erstauslösung als dringend zu behebende Schwachstelle.

Was sollten Admins jetzt tun?

• Installierte Version von All-in-One WP Migration and Backup im WordPress-Backend unter Plugins direkt prüfen
• Bei Version 7.109 oder älter unverzüglich auf Version 7.110 aktualisieren
• Vor dem nächsten geplanten Export oder Restore das Update priorisiert einspielen
• Trackbacks und Pingbacks deaktivieren, sofern sie nicht zwingend benötigt werden
• Datenbank auf ungewöhnliche oder verdächtige Trackback-Einträge sichten, insbesondere bei älteren, öffentlich erreichbaren Beiträgen
• Nach dem Update ein frisches, kontrolliertes Backup erstellen und dieses gesondert prüfen, bevor es als Wiederherstellungsgrundlage dient
• Zugriffslogs auf ungewöhnliche Trackback-Anfragen an Beitrags-URLs kontrollieren
• Bei Multisite-Umgebungen alle Subseiten einzeln auf die Plugin-Version prüfen
• Änderungsprotokoll (Changelog) des Plugins nach dem Update auf weitere sicherheitsrelevante Hinweise sichten
• Bei Verdacht auf bereits erfolgte Kompromittierung den Plugin-Secret-Key rotieren und betroffene Backups nicht ungeprüft wiederherstellen

Einordnung für Unternehmen

Für kleine und mittlere Unternehmen, die WordPress als Content-Management-System einsetzen, gehört ein zuverlässiges Backup-Plugin häufig zur Grundausstattung. Gerade deshalb wirkt sich eine Schwachstelle in einem derart verbreiteten Werkzeug potenziell breit aus. Die Tatsache, dass der Angriff in zwei Phasen abläuft und die zweite Phase eine bewusste Handlung eines Administrators voraussetzt, verschafft betroffenen Betrieben ein Zeitfenster, in dem eine Aktualisierung noch vor einer möglichen Ausnutzung greifen kann. Wer Backup- und Restore-Prozesse ohnehin regelmäßig plant, sollte diesen Termin nutzen, um zusätzlich die Plugin-Version zu kontrollieren. Für Agenturen und Dienstleister, die das Plugin standardmäßig bei Migrationen für mehrere Kunden einsetzen, empfiehlt sich eine zentrale Prüfliste, damit keine Installation übersehen wird.

Quellen

• Toolslib Blog: CVE-2026-19949 All-in-One WP Migration SQL Injection Update
• BleepingComputer: WordPress backup plugin flaw exposes millions of sites to takeover attacks
• CVEfeed: Detailseite zu CVE-2026-19949

Passende Anleitungen auf S-EDV

• WordPress WP-Cron: echte Cronjobs einrichten – hilfreich, um zeitgesteuerte Backups und Update-Prüfungen zuverlässig laufen zu lassen.
• WordPress-Debug-Modus und Error-Logs: Fehler beheben – nützlich, um nach einem Plugin-Update oder Restore ungewöhnliches Verhalten zu diagnostizieren.
• WordPress 7.1 Update: Anleitung für Admins – ergänzender Überblick zu aktuellen WordPress-Kernupdates für Administratoren.