重要ポイント
- UpdraftPlus の開発元 TeamUpdraft の Web サイトが不正アクセスを受け、UpdraftCentral(クラウド版)などの接続キーが流出した可能性があります(2026年10月17〜18日)。
- 流出したキーを使い、2026年10月18日から WordPress サイトに悪意あるプラグインや管理者アカウントが追加される被害が出ています(悪用確認済み)。
- 対象は UpdraftCentral(クラウド版)や Migrator のキーで接続しているサイト。報道では最大約 40 万サイトの可能性とされています。
- 修正版は UpdraftPlus 1.26.13(無料版)/ 2.26.13(Premium)以降。更新後、接続キーの削除と管理者の確認が必要です。
バージョンと対処(まずここを確認)
| 製品 | 影響を受けるもの | 修正版(これ以上にする) |
|---|---|---|
| UpdraftPlus(無料版) | UpdraftCentral(クラウド版)・Migrator のキーを設定しているサイト | 1.26.13 |
| UpdraftPlus Premium | 同上 | 2.26.13 |
対処: 各サイトで UpdraftPlus を 1.26.13(Premium は 2.26.13)以降に更新し、キーを削除します。コマンドの例: wp plugin update updraftplus。管理画面の「ダッシュボード → 更新」からも更新できます。
確認: wp plugin get updraftplus --field=version、または管理画面の「プラグイン」で版数を確認します。キーは「設定 → UpdraftPlus Backups → Advanced Tools → UpdraftCentral」で確認・削除できます。
概要
WordPress 用バックアップ プラグイン UpdraftPlus を開発する TeamUpdraft は、2026年10月18日に自社サイト teamupdraft.com への不正アクセスを検知したと公表しました。顧客データベースが閲覧された可能性があり、UpdraftCentral・UpdraftVault・UpdraftClone の接続キーも含まれていました。BleepingComputer によると、流出したキーでサイトに命令が送られ、バックドア用のプラグインや管理者アカウントが追加された事例が確認されています。UpdraftPlus を使っている方は、まず更新とキーの削除を行ってください。
影響と対処
影響を受けるもの
TeamUpdraft によると、影響があるのは UpdraftCentral(クラウド版)などの接続キーです。UpdraftPlus 本体のファイルやダウンロード、自分のリモート保存先(Google Drive・Dropbox・Amazon S3 など)にあるバックアップ、セルフホストの UpdraftCentral は影響を受けないとされています。顧客データベースには、氏名・メールアドレス・請求先住所・注文履歴、ハッシュ化されたパスワード、2 段階認証の設定が含まれていた可能性があります。カード情報は保存されていません。
どんな問題か
接続キーは、UpdraftCentral から各サイトを遠隔で操作するための鍵です。これが外部に渡ると、正規の管理画面を使わずに、プラグインの追加や管理者の作成などを遠隔から命じられるおそれがあります。実際に、「Site Health Cache」など保守ツールのような名前のプラグインが 99 件以上見つかっています。なお、今年 6 月に修正された別の脆弱性(CVE-2026-10795)とは別の件です。
対処方法
- UpdraftPlus を 1.26.13(Premium は 2.26.13)以降に更新する。最初の修正版 1.26.12 / 2.26.12 ではクラウド版のキーが完全には失効しなかったと報じられているため、13 以降にします。
- WordPress の管理画面で UpdraftCentral の接続キーを削除する(「設定 → UpdraftPlus Backups → Advanced Tools → UpdraftCentral」)。
- 「ユーザー」「プラグイン」に見覚えのない管理者・プラグインがないか確認し、管理者のパスワードを変更する。
- UpdraftCentral 経由で操作された形跡があれば、リモート保存先の認証を再設定し、キーも変更する。不審な点があれば、10月17日より前のバックアップから復元する。
- teamupdraft.com のアカウントのパスワードを変更し(他のサイトで使い回していればそちらも)、2 段階認証を再設定する。
確認方法
管理画面の「ユーザー → ユーザー一覧」で管理者を、「プラグイン」で身に覚えのないものを確認します。2026年10月18日以降に追加されたものは要注意です。ログの確認項目は TeamUpdraft・Patchstack などが公表した侵害の痕跡(IoC)を参照してください。
対応チェックリスト
- UpdraftPlus の版数を確認し、1.26.13(Premium は 2.26.13)以降に更新する
- UpdraftCentral の接続キーを削除する
- 管理者アカウントとプラグインに不審なものがないか確認する
- 管理者・teamupdraft.com のパスワードを変更し、2 段階認証を再設定する
- リモート保存先の認証情報を見直す
出典
- TeamUpdraft security incident: What customers need to know(TeamUpdraft・2026年10月19日、20日更新)
- Stolen UpdraftCentral keys used to backdoor WordPress sites(BleepingComputer・2026年10月20日)
