WordPress「Prime Mover」プラグインの PHP オブジェクトインジェクション（未認証・CVSS 9.8）

Critical（CVSS 9.8）に分類されるCodexonics Prime Mover - Backup and Migration（WordPress プラグイン・2.2.1 以下）の脆弱性です。**WordPress のバックアップ・移行プラグイン Prime Mover（2.2.1 以下の全バージョン）で、未認証の攻撃者が仕込んだデータが管理者のエクスポート／復元時にデシリアライズされる。** NVD（Wordfence 提供の記述）によれば、攻撃者は標準のコメント投稿エンドポイント（wp-comments-post.php）から、base64 化したシリアライズ済みオブジェクトを wp_comments.comment_content に保存できる。管理者が Prime Mover の通常のエクスポートや復元を行うと、プラグインがその値を allowed_classes の制限なしで unserialize() に渡す。同梱の Freemius ライブラリに悪用可能なクラス連鎖（POP チェーン）があるため、他のプラグインやテーマが無くても成立する。 **評価値。** NVD の分析状態は Received（未分析）で、CVSS 3.1 は Wordfence の採点による **9.8 Critical**。CISA KEV には収載されておらず、悪用の報告は確認できていない。

**修正版が公開されているか Wordfence の脆弱性ページと WordPress.org のプラグインページで確認し、あれば更新する。** NVD の記述に修正版の番号は無く、本記事では修正版の有無を断定しない。 **修正版が確認できるまでの回避策。** Prime Mover のエクスポートや復元を行わない（攻撃は管理者の操作で発火する）。使っていなければプラグインを無効化して削除する。コメント機能を使わないサイトではコメント投稿を無効にする。 **完了条件**は、全ての WordPress サイトで Prime Mover が修正版に上がっているか、プラグインを削除していること。

Codexonics Prime Mover - Backup and Migration（WordPress プラグイン・2.2.1 以下） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-115806）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。