La faille porte le numéro CVE-2026-19949, un score CVSS de 8.8 et un rayon qui couvre environ 3,2 millions de sites WordPress encore non corrigés en ce début septembre 2026. Le plugin concerné, All-in-One WP Migration and Backup édité par ServMask, totalise plus de 5 millions d’installations actives et sert quotidiennement à sauvegarder, migrer, restaurer des bases de données entières. C’est précisément dans cette mécanique de restauration d’archives que le chercheur Jack Taylor a découvert, mi-août, une injection SQL de second ordre permettant à terme l’exécution de code arbitraire et la prise de contrôle totale d’un site.
L’attaque fonctionne selon une chorégraphie en plusieurs temps. L’attaquant envoie d’abord deux trackbacks vers un article public du site cible, chacun contenant un antislash terminal suivi d’une URL piégée. Ces données, insuffisamment échappées par le plugin, restent inertes dans la base… jusqu’à ce qu’un administrateur lance une importation d’archive. Le plugin réécrit alors les URL et les préfixes de tables, et les entrées malveillantes sont promues au rang de requêtes SQL exécutables. La valeur de la clé secrète du plugin (ai1wm_secret_key), normalement gardienne de l’opération d’import, se retrouve inscrite dans un commentaire public approuvé, récupérable via l’API REST des commentaires WordPress. L’attaquant n’a plus qu’à importer un fichier .wpress contenant un must-use plugin vérolé, exécuté automatiquement au chargement de page suivant, ouvrant la voie à des webshells et à une compromission intégrale.
Jack Taylor a signalé la vulnérabilité le 14 août 2026 via le programme de bug bounty de Defiant (éditeur de Wordfence), qui a transmis l’information à ServMask dès le lendemain. Le correctif est arrivé dans la version 7.110, publiée le 20 août, soit cinq jours après la divulgation au développeur. Toutes les versions jusqu’à la 7.109 incluse demeurent vulnérables.
Au 3 septembre, seuls 35 % des sites équipés du plugin avaient effectué la mise à jour vers la 7.110, laissant environ 3,2 millions d’installations exposées à une exploitation active. Un plugin désactivé réduit certes la surface d’attaque, mais une réactivation temporaire (fréquente lors des opérations de migration) suffit à rouvrir la brèche. La dormance du vecteur d’attaque, qui patiente sagement dans la base de données jusqu’à la prochaine restauration, rend la menace particulièrement sournoise pour les administrateurs qui ignorent héberger des trackbacks empoisonnés.
Les administrateurs WordPress disposant de ce plugin, qu’il soit actif ou non, devraient forcer immédiatement la mise à jour vers la 7.110, activer les mises à jour automatiques et supprimer les extensions inutilisées. Cinq millions de sites dépendent d’un outil de migration qui, le temps d’une restauration de routine, peut transformer une sauvegarde en cheval de Troie.
