UpdraftPlusの開発元に不正アクセス、盗まれた“合鍵”でサイトに裏口。無料版の人は関係ある？確認と対処のしかた
WordPressのバックアッププラグイン「UpdraftPlus」の開発元が不正アクセスを受け、遠隔管理機能UpdraftCentralの接続キーで各サイトに裏口入りのプラグインが入れられました。自分が関係あるかの見分け方と、接続キーの削除・「編集者」アカウントやプラグインの確認など、対処のしかたを立場別にまとめました。
WordPressのバックアッププラグインとして定番の「UpdraftPlus（アップドラフトプラス）」。その開発元のTeamUpdraftが不正アクセスを受け、盗まれた“合鍵”を使って、利用者のサイトに不正なプラグインが入れられる被害が起きました。
UpdraftPlusは、世界で300万以上のサイトで使われています。日本でも、エックスサーバーが10月20日に注意を呼びかけました。この記事では、自分のサイトが関係あるかの見分け方と、確認・対処のしかたを立場別にまとめます。
この記事のポイント
- 盗まれたのは、サイトを遠くからまとめて管理する機能「UpdraftCentral」の接続キー。これを使って、サイトに裏口（バックドア）入りのプラグインが入れられた
- UpdraftCentralにつないだことがない無料版の利用者は、基本的に関係ない。ただし、プラグインは最新版（1.26.13以降）にしておく
- 不正なプラグインは「管理者」ではなく「編集者」のアカウントを作る。管理者の一覧だけ見ても見落とすので注意
何が起きたの？
「UpdraftCentral」と「接続キー」とは
UpdraftCentralは、たくさんのWordPressサイトを、1つの画面からまとめて管理できるサービスです。バックアップを取ったり、プラグインを更新したりといった作業を、サイトごとにログインしなくても行えます。
そのために、各サイトでは「接続キー」を作って、UpdraftCentralに渡しておきます。接続キーは、いわばサイトの合鍵です。合鍵があれば、UpdraftCentralからの命令が「本物の持ち主からの命令」として受け付けられます。
開発元から合鍵が盗まれた
TeamUpdraftによると、10月17〜18日の週末に、同社のサイトへの不正アクセスが見つかりました。お客さんの情報を保管するデータベースに入られたとみられ、その中には、UpdraftCentral（クラウド版）の接続キーが含まれていました。
攻撃者は、この合鍵を使って各サイトに命令を送り、メンテナンス用の道具に見せかけた不正なプラグインを入れました。サイトの弱点を突いたのではなく、本物の合鍵を使ったので、サイト側からは正しい命令に見えてしまったのです。
セキュリティ会社のPatchstackは、10月18日から19日にかけての約18時間に、99種類もの名前の不正なプラグインが入れられたのを確認しています。
これまでの流れ
| 日付（現地時間） | できごと |
|---|---|
| 10月17〜18日 | TeamUpdraftのサイトに不正アクセス。接続キーなどが盗まれる |
| 10月18〜19日 | 盗まれた接続キーで、各サイトに不正なプラグインが入れられる |
| 10月19日 | 古い接続キーを無効にする修正版（無料版 1.26.13／Premium版 2.26.13）を公開 |
| 10月20日 | エックスサーバーが利用者に注意を呼びかけ |
| 10月21日 | TeamUpdraftが「攻撃者がいまも入れる証拠はない」と報告 |
なお、ひとつ前の修正版（1.26.12／2.26.12）は、接続キーを消すはずが、不具合で消せていなかったと報じられています。1.26.13以降になっているかを確かめてください。
自分は関係ある？
| あなたの使い方 | 関係するか | やること |
|---|---|---|
| 無料版だけを使っていて、TeamUpdraftのアカウントを作っていない | 基本的に関係ない | プラグインを最新版にしておく |
| UpdraftCentral（クラウド版）にサイトをつないでいる・つないだことがある | 関係する（最優先） | 下の「確認と対処」をすべて行う |
| Premium版を使っている | 関係するおそれ | 最新版にし、サイトにおかしな点がないか確認する |
| UpdraftVault（バックアップの保管サービス）を使っている | 関係する | 新しいパスワードでサイトをつなぎ直し、手動でバックアップを取って動くか確かめる |
| UpdraftCentralを自分のサーバーに入れて使っている（セルフホスト型） | 影響なし | 最新版にしておく |
TeamUpdraftのアカウントを持っている人は、全員がアカウントのパスワードの変更と、2段階認証の設定し直しを求められています。同じパスワードをほかで使い回している場合は、そちらも変えましょう。
確認と対処のしかた
1. UpdraftPlusを最新版にする
WordPress.orgから全利用者に修正版が配られているので、ふつうは自動で新しくなっています。管理画面の「プラグイン」で、UpdraftPlusが**1.26.13以降（Premium版は2.26.13以降）**になっているか確かめましょう。
ただし、更新で直るのは「古い合鍵を使えなくすること」だけです。すでに入れられた不正なプラグインは、更新しても消えません。UpdraftCentralにつないでいた人は、次の確認まで進めてください。
2. 接続キーを消す
エックスサーバーは、次の場所から接続キーをすべて削除するよう案内しています。
- 管理画面の「設定」→「UpdraftPlus」→「詳細ツール」→「UpdraftCentral」
必要なら、あとで作り直せます。セキュリティ会社の中には、「原因の説明が出るまでは、つなぎ直さないほうがよい」とすすめるところもあります。急いで遠隔管理を使う必要がなければ、しばらく様子を見てもよいでしょう。
3. 覚えのないアカウントがないか確かめる
管理画面の「ユーザー」を開き、覚えのないアカウントがないか確かめます。ここで大事なのが、管理者だけでなく「編集者」も見ることです。
Patchstackによると、不正なプラグインは「編集者」のアカウントを作り、そこに管理者並みの権限（設定の変更やプラグインの追加）をこっそり足します。見た目は編集者なので、管理者の一覧だけ確かめても見落としてしまいます。報告されている特徴は次のとおりです。
- ユーザー名が「英単語2つ＋2けたの数字」（例：
data-ops43） - メールアドレスが「@example.org」で終わる
- 表示名が「Site Tools」
このアカウントは、不正なプラグインを消しても残ったままになります。見つけたら、削除してください。
4. 覚えのないプラグインがないか確かめる
「プラグイン」の一覧に、入れた覚えのないものがないか確かめます。「マスト・ユース（Must-Use）」のタブが表示されている場合は、そちらも見ておきましょう。
報告では、「Site Health Cache」という名前がとくに多く使われています。ほかにも、英単語を2〜3個つないだ、それらしい名前（最適化やメンテナンスの道具風）が99種類確認されています。説明文が「Small maintenance toolkit: keeps option storage tidy.」となっているものは要注意です。
なお、Patchstackは、不正なプラグインを自分で直そうとしないよう呼びかけています。初期のものはプログラムの書き間違いで動いていませんが、直すと裏口が動き出してしまうためです。
5. 見つかったら「乗っ取られた」と考えて動く
不正なプラグインやアカウントが見つかったら、サイト全体が乗っ取られたものとして対処します。
- まず接続キーを消し、不正なプラグインとアカウントを削除する
- WordPressの管理者のパスワードを変え、ログイン中の人をすべてログアウトさせる
- 不安があれば、10月17日より前のバックアップから元に戻す
- サーバーの記録（アクセスログ）に、覚えのない接続がないか確かめる
- UpdraftCentral経由でバックアップの保存先（Googleドライブなど）にアクセスされたおそれがあるときは、保存先の連携をやり直す
自分で判断がつかないときは、契約しているレンタルサーバーのサポートや、制作会社に相談しましょう。TeamUpdraftによると、バックアップの保存先に置いたバックアップそのものは、今回の件で影響を受けていないとのことです。
プラグインを狙う攻撃が続いている
今月は、SEOプラグインのRank Math PROに不正なコードが混ざった件や、国産WAFのSiteGuardの脆弱性が悪用された件もありました。今回は、サイトそのものではなく、サイトとつながっている外のサービスが入り口になった点が共通しています。
便利なプラグインやサービスを使うほど、「どこに合鍵を預けているか」が増えていきます。使っていない連携やキーは消しておく。それだけでも、狙われる入り口を減らせます。
このブログの考え方
このブログはWordPressではなく、自分で作ったしくみで動いていて、バックアップも自分で取っています。なので今回の件の影響はありませんが、そのぶん、更新や見張りもすべて自分の手でやる必要があります。プラグインや遠隔管理の便利さは、その手間を誰かに預けることでもあるのだと、あらためて感じました。
遠隔管理は、サイトが増えるほどありがたい機能です。一方で、合鍵を預けた先が狙われると、自分では防ぎようがありません。便利さと安全のあいだで、預けた合鍵の数を把握しておくこと。使っていない連携を見直すいい機会だと思います。
まとめ
- UpdraftPlusの開発元が不正アクセスを受け、UpdraftCentralの接続キーが盗まれた
- 盗まれた接続キーで、10月18〜19日に各サイトへ裏口入りのプラグインが入れられた
- UpdraftCentralにつないだことがない無料版の利用者は、基本的に関係ない。最新版（1.26.13以降）にしておけばよい
- つないでいた人は、接続キーの削除、ユーザー（編集者も）とプラグインの確認を。見つかったら10月17日より前のバックアップから戻すことも考える
参考資料
- TeamUpdraft security incident: What customers need to know（TeamUpdraft・英語）
- 【重要】WordPressプラグイン「Updraftplus」の運営元への不正アクセスによる「UpdraftCentral」の接続キー（秘密鍵情報）流出に関する注意喚起について（エックスサーバー、2026年10月20日）
- Stolen UpdraftCentral Keys Are Backdooring WordPress Sites（Patchstack・英語）
- UpdraftPlus: WP Backup & Migration Plugin（WordPress.org）
※ 記事の内容は、2026年10月26日時点の情報をもとにしています。
