CVE-2026-19949 : Hive bloque par défaut la SQLi d’All-in-One WP Migration
ReportedIP Hive bloque par défaut les tentatives d’exploitation de CVE-2026-19949 : le pare-feu est activé sur toutes les formules, y compris la gratuite, et inspecte précisément les requêtes de trackback qu’emprunte cette attaque. La faille est une injection SQL de second ordre, sans authentification, dans All-in-One WP Migration and Backup jusqu’à la version 7.109, corrigée en 7.110.
Si vous utilisez ce plugin, mettez à jour dès maintenant vers All-in-One WP Migration 7.110 ou plus récent. Le pare-feu vous fait gagner du temps ; seule la mise à jour ferme la faille.
Comment fonctionne l’attaque CVE-2026-19949
- L’attaquant envoie un trackback piégé au site, sans aucune connexion. WordPress enregistre la charge utile, truffée de séquences de barres obliques inverses et de guillemets, comme un commentaire ordinaire.
- Rien ne se passe encore. L’injection dort dans la base de données ; c’est pourquoi les scanners qui ne surveillent que les erreurs immédiates passent à côté.
- Quand un administrateur restaure ensuite une sauvegarde, All-in-One WP Migration traite mal les données stockées et l’injection SQL s’exécute.
- Le SQL injecté peut lire
ai1wm_secret_key(le jeton qui protège le point de terminaison d’import du plugin) et l’exposer, ouvrant la voie à une prise de contrôle complète du site.
Le chercheur en sécurité Jack Taylor a signalé la faille le 14 août 2026 via le programme de bug bounty de Wordfence ; ServMask a livré le correctif 7.110 le 20 août et l’avis est devenu public le 1er septembre. Notre société sœur a publié une analyse en allemand : CVE-2026-19949 chez CMS ADMINS.
Ce que Hive bloque d’origine
Le pare-feu applicatif de Hive est activé par défaut sur toutes les formules, fonctionne en mode blocage (pas en observation) et s’accroche au pipeline de requêtes à la priorité 1 de init, avant que WordPress ne traite un trackback. Il inspecte l’URI, le corps POST complet et le user-agent de chaque requête, wp-trackback.php compris. Les sites qui utilisent le drop-in Extended Protection inspectent la requête avant même le démarrage de WordPress.
Au niveau de paranoïa 1 par défaut, deux signatures d’injection SQL (waf_sqli_union et waf_sqli_bool) arrêtent les formes classiques de charge utile : extraction par UNION et logique booléenne avec terminateurs de commentaire. Toutes deux agissent sur toutes les formules, y compris les installations Local Shield qui ne parlent jamais à nos serveurs.
Une règle trackback ciblée, synchronisée aujourd’hui
Une injection de second ordre peut se construire sans les mots-clés que cherchent les signatures génériques. Le 3 septembre, nous avons donc poussé waf_sqli_trackback_2nd dans le jeu de règles synchronisé. La règle est limitée aux points de terminaison de trackback (wp-trackback.php et permaliens /trackback/) et détecte aussi bien les fragments SELECT … FROM que la primitive barre oblique inverse + guillemet dont dépend cette classe d’attaque. Les trackbacks légitimes ne contiennent ni l’un ni l’autre ; la surface de faux positifs est proche de zéro.
La règle est en production comme jeu de règles free v6 et professional v7, signée en Ed25519 comme tout ce que nous publions. Les sites en Community Network la récupèrent à leur prochaine synchronisation ; les installations Local Shield la recevront avec la prochaine version du plugin. Une limite honnête : la seconde étape de cette attaque, la restauration, s’exécute dans PHP sans aucune requête HTTP ; aucun pare-feu ne peut la voir. Bloquer le vecteur d’entrée relève du confinement ; le correctif, c’est la mise à jour vers 7.110.
Durcissez votre site en cinq minutes
- Installer ReportedIP Hive : 18 capteurs d’attaque, le WAF et quatre méthodes 2FA, gratuits sur toutes les formules
- Lire la documentation du plugin : modes du WAF, synchronisation des règles et exceptions
- Les 18 capteurs en détail : ce que chacun détecte et son seuil par défaut