WordPressのPrime Moverに脆弱性CVE-2026-115806｜対象のバージョンと2.2.2への更新のしかた

WordPressのプラグイン「Prime Mover – Backup and Migration」の2.2.1以下は、CVSS 9.8の脆弱性CVE-2026-115806の対象です。2.2.2で直っているので、プラグインを2.2.2以上に上げます。

攻撃者はログインしなくても、サイトのコメントを足がかりにできます。CVEの説明では、細工した値が読み込まれるのは、管理者があとでPrime Moverの書き出しか復元をしたときです。そのため、上げ終わるまでは書き出しと復元を控えます。

結論：2.2.2以上に上げてから書き出し・復元をする

• 対象は、Prime Moverの2.2.1以下のすべてのバージョンです。
• 直ったバージョンは2.2.2です。WordPress.orgでは、2.2.2が今の最新です。
• 管理画面の「インストール済みプラグイン」か、WP-CLIのwp plugin update prime-moverで上げられます。
• 2.2.2に上げたあと、移行のときの検索と置換で気をつけることがあります。
• 2026年10月26日7時54分（日本時間）時点の、CVE、NVD、開発元のcodexonics、WordPress.orgの内容です。

自分が対象かの早見表

今のバージョンの確かめ方

管理画面で確かめる

WordPressの管理画面で「プラグイン」→「インストール済みプラグイン」を開きます。Prime Moverの行に、今のバージョンが出ます。新しいバージョンがあるときは、その下に「新バージョンの Prime Mover が利用できます。」という案内が出ます。

WP-CLIで確かめる

入っているプラグインの一覧が出ます。有効かどうか、更新があるか、バージョンも一緒に表示されます。

wp plugin list

Prime Moverのバージョンの番号だけが出ます。

wp plugin get prime-mover --field=version

出た番号が2.2.1以下なら、上げる必要があります。

直し方

管理画面で上げる

「インストール済みプラグイン」で、Prime Moverの行の「新バージョンの Prime Mover が利用できます。」の案内にある「更新」を押します。同じ画面の右の列で自動更新を有効にしておくと、次からは自動で上がります。

WP-CLIで上げる

wp plugin update prime-mover

上げたあと、もう一度バージョンの番号を確かめ、2.2.2以上になっていればこの脆弱性は直っています。

上げたあとの移行で気をつけること

codexonicsによると、2.2.2からは、シリアライズされた値を読み込むときに、stdClass以外のオブジェクトを組み立てません。そのため、プラグインが独自のオブジェクトの中にURLやパスを入れていると、Prime Moverの検索と置換ではそこが置き換わりません。

そのときは、取り込んだあとにBetter Search and Replaceのプラグインで手で置き換えるしかない、と開発元は案内しています。ただし、プラグインがそうした保存のしかたをしている可能性はとても低い、とも書かれています。

CVE-2026-115806とは

CVEの記録によると、Prime MoverにPHPオブジェクトインジェクションの脆弱性があります。種類はCWE-502（信頼できないデータのデシリアライズ）です。このCVEはWordfenceが割り当て、見つけた人はCivitasmassさんです。

CVEの説明では、ログインしていない攻撃者が、WordPressのふつうのコメント投稿で、細工した値をコメントの中身としてデータベースに残せます。管理者があとでPrime Moverの書き出しか復元をすると、プラグインの検索と置換の処理がその値を読み込み、オブジェクトとして組み立ててしまいます。

組み立てられたオブジェクトから、プラグインに同梱されたFreemiusのライブラリの処理を通って、WordPressの設定を書き込む処理までつながる流れがあります。そのため、ほかのプラグインやテーマがなくても攻撃できる、と説明されています。

CVEの記録でWordfenceが付けたCVSS 3.1の点数は9.8（緊急）です。ネットワークから、ログインなしで、利用者の操作なしに攻撃できるという評価です。

これまでの流れ

開発元のcodexonicsは、10月19日付けの記事で2.2.2を案内しています。2.2.2の変更履歴には「Hardened unserialize implementation to prevent object injection.（Credit: Civitasmass/Wordfence）」とあり、この脆弱性を見つけた人の名前と合っています。

参考にした公式情報

• CVE：CVE-2026-115806
• NVD：CVE-2026-115806
• Wordfence：Prime Mover <= 2.2.1 - Unauthenticated PHP Object Injection
• codexonics：Prime Mover 2.2.2 – User privacy feature and maintenance updates
• WordPress.org：Prime Moverの変更履歴
• WP-CLI：wp plugin list
• WP-CLI：wp plugin get
• WP-CLI：wp plugin update
• WordPress.org：Manage Plugins

関連記事

• OttoKit（旧SureTriggers）に脆弱性CVE-2026-110372｜対象バージョンと更新方法、管理者アカウントが増えていないかの確かめ方
• UpdraftPlusの運営元に不正アクセス｜UpdraftCentralを使っている人が今日確かめる手順（更新・接続キー削除・管理者の確認）