2026年10月、WordPressのバックアッププラグイン「UpdraftPlus」を運営するTeamUpdraftが不正アクセスを受けました。これにより、サイトの遠隔操作に使う「UpdraftCentral」の接続キーが流出しています。流出したキーを使って不正なプラグインを設置されたサイトも、実際に報告されています。エックスサーバーでは、古い版のまま残っていたサイトのUpdraftPlusを、フォルダごと止める緊急の措置も取られました。
最初に確認してほしいのは、バージョンです。UpdraftPlusを使っているサイトでは、まず1.26.13以降（Premium版は2.26.13以降）に更新されているかを確認してください。UpdraftCentralに接続していたサイトや有料版を使っているサイトは、続けて見覚えのない管理者・プラグインがないかを点検します。無料版で、UpdraftCentralにもTeamUpdraftのアカウントにも接続していない場合、公式の案内では更新以外の対応は不要とされています。
UpdraftPlusの接続キー流出とは？何が起きたのか
UpdraftCentralは、複数のWordPressサイトのバックアップや更新を、1つの画面でまとめて操作できるUpdraftPlusの遠隔管理機能です。サイトには「接続キー」が登録されており、そのキーで署名された命令を受け付ける仕組みになっています。今回は、運営元のデータベースからこの接続キーが盗まれ、攻撃者も「正しいキー」で命令を送れる状態になりました。サイト側のUpdraftPlusには正規の命令として扱われるため、プラグインの検査では防げません。
| 項目 | 内容 |
|---|---|
| 発生 | 2026年10月17〜18日（teamupdraft.comへの不正アクセス） |
| 流出したもの | 氏名・メールアドレス・請求先・注文履歴、ハッシュ化されたパスワード、2段階認証の設定、UpdraftCentral・UpdraftVault・UpdraftCloneの接続キー |
| 流出していないもの | カード情報（運営元は保存していない）、プラグイン本体の配布ファイル、Google ドライブなど自分で用意した保存先のバックアップ |
| 実際の被害 | 盗まれたキーが使われ、管理者アカウントの作成や不正なプラグインの設置が行われた（Patchstackは99種類の不正プラグイン名を確認） |
| 影響を受けるバージョン | 無料版 1.26.12以下、Premium版 2.26.12以下 |
| 修正版 | 無料版 1.26.13、Premium版 2.26.13（2026年10月19日公開） |
修正版では、10月18日（英国時間13時07分）より前に作られたUpdraftCentralの接続を自動的に切り、古いキーを使えなくします。WordPress.orgからは、全利用者に自動更新として配信されています。ただし、この修正は今後の侵入を防ぐためのもので、更新前に設置された不正なプラグインやユーザーまで削除されるわけではありません。同じ目的の修正は1.26.12にも含まれていましたが、正しく機能しなかったため1.26.13で修正されました。1.26.12のままになっているサイトも、更新してください。
自分のサイトは対象？影響を受けるサイトの見分け方
UpdraftCentralやTeamUpdraftのアカウントと、どのようにつながっているかによって危険度は異なります。運営元の案内をもとに、使い方ごとの対応を整理しました。
| 使い方 | 危険度 | やること |
|---|---|---|
| UpdraftCentral（クラウド版）に接続していた | 高い | 更新、接続キーの削除、管理者・プラグインの点検、全管理者のパスワード変更 |
| Premium版を使っている（UpdraftCentralは使っていない） | 中 | 更新とあわせて、念のため管理者・プラグインを点検（運営元が10月21日に呼びかけ） |
| 無料版で、UpdraftVaultなどのためにTeamUpdraftのアカウントを持っている | 中 | 更新、TeamUpdraftのパスワード変更、UpdraftCentralの接続キーの有無を確認 |
| 無料版で、TeamUpdraftのアカウントを持っていない | 低い | 最新版への更新のみ（運営元は「対応不要」と案内） |
| UpdraftCentralを自社サーバーに入れて使っている（セルフホスト版） | 影響なし | 最新版への更新 |
ここで気をつけたいのは、自分では接続した覚えがなくても、キーが登録されている場合があることです。制作会社や以前の担当者が、管理用にUpdraftCentralへ接続していた可能性があります。心当たりがなくても、次の画面を一度確認してください。
- WordPressの管理画面から「設定」→「UpdraftPlus Backups」を開く
- 「詳細ツール」タブで「UpdraftCentral」を選ぶ
- 接続キーが1件も無ければ、UpdraftCentral経由の被害は受けていない
- キーがある場合、または過去に登録していた場合は、次の章の点検へ進む
エックスサーバーで「パーミッション000」にされた場合の対処
2026年10月20日、エックスサーバーはその時点でUpdraftPlusが最新版に更新されていなかったサイトに対し、プラグインのフォルダのパーミッションを「000」に変更しました。000にすると、所有者を含め誰も読み書きできなくなります。WordPressもプラグインのファイルを読み込めなくなるため、UpdraftPlusの動作が止まります。被害を防ぐための緊急措置であり、実施後にメールで通知されます。
実際に通知を受けたサイトをSSHで確認したところ、確かに updraftplus のフォルダだけが d---------（000）になっていました。ほかのプラグインのフォルダは、通常の drwxr-xr-x（755）のままです。同じサーバーにある別のサイトのUpdraftPlusは停止されていませんでした。止められるのは、10月20日の時点で更新されずに残っていたサイトだけです。WordPress.orgから修正版が配信されても、実際に更新が行われなければ古い版のままになります。
停止されたサイトを引き続き使う場合は、エックスサーバーの案内に沿って、次の順序で復旧します。
- サーバーパネルのファイルマネージャーかFTPソフトを使い、wp-content/plugins/updraftplus のパーミッションを元に戻す（ほかのプラグインのフォルダと同じ 755 が目安）
- 管理画面で「プラグイン」を開き、UpdraftPlusを最新版に更新する
- UpdraftPlusを有効化する
- 前の章で紹介した手順に沿って、UpdraftCentralの接続キーの有無を確認する
もう1つ覚えておきたいのが、UpdraftPlusが停止している間は、自動バックアップも止まっているという点です。UpdraftPlusだけでバックアップを取っていたサイトでは、復旧後に手動で1回バックアップを取り、保存先まで届いていることを確認してください。
なお、使っていないサイトであれば、復旧させずにプラグインを削除するか、サイト自体を閉じるほうが安全です。更新されないまま残っているサイトは、今回のように止められる対象になりやすく、攻撃の入口にもなります。使っていないサイトをどう扱うかについては、PHPのバージョンアップ費用の記事でも説明しています。
すでに侵入されていないか確認するポイント
UpdraftCentralの接続キーが登録されていたサイトや、Premium版を使っているサイトでは、次の項目を確認します。いずれも、運営元やセキュリティ各社が実際に発見した痕跡として報告しているものです。
- 「ユーザー」一覧に、見覚えのないユーザーがいないか。特に注意したいのは、権限が「編集者」で、作成した覚えのないユーザー（設定の変更やプラグインの追加ができる権限を隠し持っていた例がある）
- 「プラグイン」一覧に、追加した覚えのないプラグインがないか。説明文が「Small maintenance toolkit」で始まるものが報告されている
- 「プラグイン」に「使用中（Must-Use）」のタブが表示されていれば、そちらも確認する
- 見覚えのないものを発見した場合は、全管理者のパスワードを変更する
- Google ドライブなど外部の保存先に接続していた場合は、連携を設定し直し、保存先のパスワードも変更する
不審な点が見つかった場合について、運営元は10月17日より前のバックアップからの復元も検討するよう案内しています。ユーザーごとの権限の違いはユーザー権限の記事で、不正なファイルを発見した際の対応の流れはマルウェア駆除の記事で解説しています。
当社が保守を担当するサイトにも、UpdraftPlusの無料版を利用しているものがあります。無料版でTeamUpdraftのアカウントに接続していなければ危険は低いとされていますが、「つないだ覚えがない」ことと「つないでいない」ことは別です。制作会社から引き継いだサイトは、上の画面で接続キーが無いかを確認しておくと安心です。
ここまでのまとめ
- UpdraftPlusの運営元からUpdraftCentralの接続キーが流出し、不正なプラグインを設置されたサイトが実際に報告されている
- 最初に1.26.13以降（Premium版は2.26.13以降）へ更新されているかを確認する
- UpdraftCentralに接続していたサイトやPremium版を使っているサイトは、ユーザーとプラグインを点検する
- エックスサーバーで000にされたサイトは、使う場合は復旧して更新し、使わない場合は削除する
- 停止中はバックアップも止まっているため、復旧後に手動で1回取る
ここからは制作者・開発者に向けて、サーバー側で痕跡を確認する方法を紹介します。
技術者向け：サーバー側で痕跡を調べる
管理画面には表示されないユーザーやプラグインもあるので、WP-CLIやログを使った確認が確実です。Nethembaの解析によると、不正なプラグインはUpdraftCentralの遠隔操作経路を通じ、正規のキーで署名された「プラグインのアップロード」の命令によって設置されていました。
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 |
# UpdraftPlus のバージョン（1.26.13 / 2.26.13 以降か） wp plugin get updraftplus --field=version # 編集者のユーザーと、その権限（manage_options や install_plugins が付いていないか） wp user list --role=editor --fields=ID,user_login,user_email,user_registered wp user meta get <ユーザーID> wp_capabilities # 接頭辞が wp_ 以外なら合わせる # 最近追加されたプラグイン・mu-plugins wp plugin list --fields=name,status,version ls -lt wp-content/plugins | head ls -la wp-content/mu-plugins wp-content/upgrade # 不正プラグインが残す設定値（報告例：<スラッグ>_sync_token など） wp option list --search='*_sync_token' --fields=option_name |
調べる際は、次の点を目安にしてください。
- example.org や example.com のメールアドレスを使って登録されたユーザー
- 2026年10月18日以降に登録されていて、作成した覚えのないユーザー
- wp-content/upgrade に展開されたまま残っているプラグインのフォルダ
- アクセスログにある、ユーザーエージェントに class-udrpc.php を含むPOST（UpdraftCentralの命令の受け口）
不正なユーザーを削除しても、攻撃者のログイン状態が続いていることがあります。Nethembaの報告では、2段階認証をすり抜ける、14日間有効のログイン状態が作られていました。確実に対処するには、パスワードを変更し、さらに wp-config.php の認証用キー（ソルト）を作り直して、全員をログアウトさせます。WP-CLIでは wp config shuffle-salts で入れ替えることができます。
UpdraftPlusでは、10月中旬（1.26.9〜1.26.11）にも、バックアップの復元に関わる別のセキュリティ修正が公開されています。接続キーの流出とは別の問題ですが、最新版への更新で両方にまとめて対処できます。10月に公表されたほかのプラグインの脆弱性については、2026年10月の脆弱性まとめで紹介しています。
技術者向け：遠隔管理の機能を使うときの注意
今回明らかになったのは、サイト側に不具合がなくても、管理サービスが侵入を受けると、接続中の全サイトへ命令を送られてしまうということです。UpdraftCentralを含め、複数サイトを一括で操作するサービスを利用する際は、次の点を見直すことで被害を小さくできます。
- 使わなくなった遠隔管理の接続キーや連携を削除する
- 管理サービスのアカウントに、ほかとは異なるパスワードと2段階認証を設定する
- 管理者アカウントやプラグインが追加されたときに、メールなどで通知される仕組みを入れる
- UpdraftPlusに加えて、サーバー会社の自動バックアップなど別の経路でもバックアップを持っておく
複数の経路でバックアップを持つ考え方は、WordPressのバックアップの記事で解説しています。管理画面へのログインを守る方法については、ログインのセキュリティ対策の記事をご覧ください。
よくある質問
Q. UpdraftPlusは使い続けても大丈夫ですか？
運営元によれば、プラグイン本体の配布ファイルには影響がありません。最新版に更新してUpdraftCentralの接続キーを確認したうえで、バックアップ用のプラグインとして引き続き利用できます。不安がある場合は、サーバー会社の自動バックアップも併用してください。
Q. 無料版でUpdraftCentralを使っていなければ、何もしなくていいですか？
TeamUpdraftのアカウントを持たず、UpdraftCentralにも接続していない場合、運営元の案内は「対応不要」です。ただし、最新版への更新は行っておきましょう。自分に覚えがなくても制作会社などが接続していた場合があるため、接続キーの画面を一度確認しておくと確実です。
Q. エックスサーバーに止められたまま放っておくと、どうなりますか？
UpdraftPlusが動かない状態なので、今回の接続キーによる操作は行われません。一方で、UpdraftPlusの自動バックアップも停止したままになります。使い続けるサイトは復旧させて更新し、使っていないサイトはプラグインの削除やサイトの閉鎖を検討してください。
UpdraftPlusの確認や点検をお任せいただけます
「接続キーの画面をどう見ればよいか分からない」「見覚えのないユーザーがいる」「停止されたプラグインを戻したいけれど、壊れないか心配」といった場合は、当社にご相談ください。UpdraftPlusのバージョンや接続キーの有無、不審なユーザー・プラグインがないかを確認したうえで、必要な作業をご案内します。
プラグインの更新や脆弱性の確認を継続して任せたい方には、当社の保守サポート（月額3,800円から）もご用意しています。まずは現状を把握したいという方は、無料AI診断でサイトのリスクを確認できます。
参考情報
- Security incident on teamupdraft.com（TeamUpdraft公式）
- UpdraftPlus 公式配布ページ・更新履歴（WordPress.org）
- UpdraftCentralの接続キー流出に関する注意喚起（エックスサーバー）
- UpdraftCentral backdoor analysis（Nethemba）
- UpdraftPlus Backdoor Attack（WP Umbrella）
この記事は2026年10月26日時点の情報をもとにしています。新たな情報が分かり次第、内容を更新します。
更新履歴
- 2026年10月26日：公開
この記事を書いた人
矢部 敦合同会社Edel Hearts 代表
WordPress専門の開発会社を経営。プラグイン開発・カスタマイズ・保守を専門とし、18時間におよぶUdemyのWordPress講座を開講。出典付きで回答するAIチャットボット「Edel AI Hybrid Chat」開発者。著書『WordPress はじめての最小プラグイン』（Kindle）。本ブログの記事は、実際の開発・運用で得た一次情報をもとに執筆しています。会社情報はこちら
