Sårbarheten i All-in-One WP Migration utlöses först när du flyttar sajten

Använder du All-in-One WP Migration and Backup för att flytta eller återställa WordPress? Uppdatera tillägget på sajten där du ska importera innan du börjar. Version 7.109 och äldre har ett säkerhetshål som kan utlösas när ett arkiv återställs. Rättningen finns från version 7.110, enligt Wordfences genomgång.

Har du inte tillägget berörs du inte av just detta fel. Har du det installerat behöver du uppdatera det även om nästa flytt ligger längre fram. En brandvägg ersätter inte rättningen.

Gör detta före nästa import

1. Öppna Tillägg i WordPress på målsajten och kontrollera versionen.
2. Uppdatera till den senaste tillgängliga versionen. 7.110 är minimiversionen som rättar just CVE-2026-19949.
3. Fortsätt sedan med flytten. Webguide.se:s WordPress-flyttguide hjälper dig att testa sajten innan DNS-bytet.

Källorna om rättningen och tilläggets ändringslogg kontrollerades den 7 oktober 2026. Välj senaste versionen i WordPress, eftersom senare utgåvor även kan innehålla andra rättningar.

Skadlig kod planteras i en kommentar, långt innan den gör skada

Sårbarheten är vad säkerhetsforskare kallar en andra ordningens SQL-injektion (second-order SQL injection). Den skadliga texten utlöser inget direkt när den skickas in, utan lagras först på ett ställe i databasen och blir farlig långt senare när ett helt annat program läser och bearbetar den.

Enligt Wordfence går angreppet via trackback, en äldre funktion i WordPress-kärnan för att pinga andra bloggar, som inte kräver inloggning. Skickar man två trackbacks till ett publikt inlägg som tar emot sådana pingar går det att smuggla in text i kommentarsfältet, där bloggnamnet avslutas med ett omvänt snedstreck (backslash) och webbadressen bär den skadliga koden. WordPress-kärnan lagrar detta rakt av i databasens kommentarstabell, som kommentarsförfattare och författarwebbadress, utan att kontrollera det omvända snedstrecket eller adressen närmare.

Sedan händer ingenting. Kommentaren ligger orörd i databasen ända tills en administratör gör precis det som är hela poängen med tillägget, nämligen exporterar sajten och importerar den igen, till exempel vid en flytt till nytt webbhotell. Säkerhetskopiering och återställning är själva syftet med tillägget, en rutinåtgärd enligt Wordfence. Den injicerade koden körs ändå först när åtgärden faktiskt genomförs.

Vi har jämfört källkoden, rättningen är en enda rad

Vid import skriver All-in-One WP Migration om den gamla webbadressen till den nya, sats för sats, genom hela databasen. Det sköts av funktionen replace_table_values() i klassen Ai1wm_Database, som använder ett reguljärt uttryck för att avgöra var i varje SQL-sats en citerad textsträng börjar och slutar.

Vi har hämtat både version 7.109 och 7.110 ur WordPress officiella versionsarkiv för tillägget och lagt filen lib/vendor/servmask/database/class-ai1wm-database.php sida vid sida. Hela skillnaden mellan den sårbara och den rättade versionen är en enda rad kod i det reguljära uttrycket.

I 7.109 tittar uttrycket bara ett tecken bakåt för att avgöra om ett citattecken hör till texten eller markerar strängens slut. Två omvända snedstreck i rad, som den planterade kommentaren innehåller, tolkas då fel, eftersom uttrycket tror att det första omvända snedstrecket skyddar citattecknet och läser vidare in i nästa sträng. Det är därför det planterade omvända snedstrecket i bloggnamnet spelar roll. I 7.110 räknar det nya uttrycket omvända snedstreck korrekt och tappar aldrig bort var strängen slutar.

Resultatet av det ursprungliga felet är att en angripare kan få ut ai1wm_secret_key, hemligheten som skyddar tilläggets egen importfunktion mot obehöriga. Med nyckeln i handen går det att skicka in ett eget arkiv med körbar kod och i praktiken ta över sajten.

En flyttnyhet, inte bara en tilläggsnyhet

Vi skriver ofta om att flytta WordPress till nytt webbhotell. Migreringstillägg av det här slaget är precis den typen av verktyg vi själva brukar peka på i vår guide till att flytta WordPress utan att det går sönder. Sårbarheten ligger och väntar tyst tills exakt det steg som en flytt eller en återställning alltid innehåller, att skriva om den gamla adressen till den nya.

Det gör också att den vanliga rekommendationen att sätta upp en brandvägg (web application firewall) inte täcker hela bilden. Nyttolasten kommer inte in via ett anrop som går att stoppa i farans stund, den ligger redan lagrad som en helt vanlig kommentarsrad i den egna databasen. En brandväggsregel kan i bästa fall fånga planteringsförsöket via trackbacken, men skyddet mot att den någonsin utlöses ligger i vilken version av tillägget som används vid importen.

Det är versionen du importerar med som avgör

Rättningen sitter i importsteget, i just den funktion som skriver om webbadresser. Har du ett gammalt exportarkiv (en .wpress-fil) som skapades före den 20 augusti kan det mycket väl bära med sig den planterade textraden i kommentarstabellen. Det är ändå ingen anledning att slänga arkivet.

Importerar du det gamla arkivet med tillägget i version 7.110 eller senare hanteras textsträngen korrekt, och den skadliga koden kommer aldrig till körning. Faran uppstår bara om importen görs med ett tillägg som fortfarande står kvar på 7.109 eller tidigare. Uppdatera därför tillägget till minst 7.110 innan nästa import, oavsett hur gammalt exportarkivet är.

Den som snabbläser ändringsloggar för att avgöra vad som är akut hittar ingen ledtråd här. Hela texten för 7.110 lyder "Find and replace on values ending in a backslash. Special thanks to Jack Taylor for responsibly disclosing this issue", utan ett ord om säkerhet eller SQL-injektion. Tacket till forskaren står där, men den som prioriterar efter hur allvarligt loggen låter lägger den här sist i kön.

Tidslinjen

Från rapport till rättning tog det sex dagar, men Wordfence publicerade sin fullständiga genomgång först två veckor senare.

ServMask agerade snabbt genom hela kedjan, tre dagar från rapport till bekräftelse och ytterligare tre dagar till en färdig rättning. Wordfences fördröjning på 30 dagar för gratisversionen är inte ett tecken på slarv, utan en öppet kommunicerad del av affärsmodellen där betalande kunder får skyddet tidigare.

Historisk nedladdningsstatistik visar inte hur många som har uppdaterat

Webguide.se hämtade WordPress egen nedladdningsstatistik för tillägget den 15 september 2026. Räknat från rättningsdagen 20 augusti till och med 14 september summerar nedladdningarna till 2 355 087, med två tydliga toppar. Den första kommer den 20 och 21 augusti, med 584 631 respektive 682 598 nedladdningar när den automatiska uppdateringen gick ut till servrarna. Den andra, mindre toppen ligger den 3 september på 199 340 nedladdningar, dagen efter att internationella medier började skriva om saken. Därefter har nivån legat mellan 15 000 och 35 000 nedladdningar per dygn.

Nedladdningar är inte samma sak som uppdaterade installationer. Samma sajt kan hämta tillägget flera gånger, och statistiken skiljer inte nya installationer från uppdateringar. Underlaget slutar den 14 september och kan inte visa hur många sajter som kör en rättad version i dag. Vi använder det därför inte för att uppskatta andelen sårbara sajter.

Så kontrollerar du din egen sajt

Det handlar om att kolla en versionssiffra och tänka igenom rutinerna kring flytt och säkerhetskopiering.

• Öppna Tillägg i wp-admin och se vilken version av All-in-One WP Migration and Backup som är installerad. Allt till och med 7.109 är berört av detta fel. Välj den senaste tillgängliga versionen; 7.110 är den första med rättningen.
• Uppdatera till minst 7.110 innan du gör nästa export eller import, inte efteråt.
• Ligger tillägget bara kvar sedan en flytt för länge sedan utan att användas mellan gångerna, finns ingen anledning att ha det installerat i onödan. Se vår genomgång av hur du rensar tillägg du inte längre behöver.
• Har du gamla .wpress-arkiv sparade, importera dem bara med en rättad version av tillägget.
• Trackbacks och pingbacks är själva vägen in. Att stänga av dem i WordPress inställningar tar bort en av vägarna, men ersätter inte uppdateringen. Har en trackback redan planterats i databasen ligger den kvar tills den skrivs över eller städas bort.

En rutin för säkerhetskopiering som bara sparar filen missar den här typen av fel. Hela kedjan kring export och import behöver samma uppmärksamhet, inte bara filen som exporteras. Vår guide till WordPress-backup som faktiskt fungerar går igenom vad en rutin bör innehålla utöver att klicka på exportera.