UpdraftPlusの「UpdraftCentral」接続キー流出で不正プラグインが混入。WordPressの影響確認・キー削除・復旧の手順

バックアップ用のプラグインとして広く使われている「UpdraftPlus」。その開発元であるTeamUpdraftのWebサイトが、2026年10月17日〜18日に不正アクセスを受けました。

問題は、盗まれたデータの中に、WordPressサイトを遠隔で操作するための「UpdraftCentral」の接続キーが含まれていたことです。攻撃者はこのキーを使って、10月18日〜19日にかけて、接続されていたWordPressサイトに不正なプラグイン（バックドア）を送り込んでいたと報告されています。

今回は、プラグインの「脆弱性」ではありません。本物の鍵が盗まれて使われたため、サイト側から見ると「正規の管理画面からの指示」と区別がつかないのが厄介な点です。そのため、通常の脆弱性のように「更新すれば終わり」とはいきません。

国内では、サーバー会社などから短いお知らせは出ていますが、「自分のサイトは対象なのか」「何をどう確認すればいいのか」まで踏み込んだ情報はまだ多くありません。この記事では、WordPressの保守担当者やサイト運営者に向けて、影響の確認から接続キーの削除、不正なプラグインの探し方、被害があった場合の復旧までを、手順として整理します。

この記事は2026年10月26日時点の公開情報をもとに作成しています。開発元の調査は続いており、内容が更新される可能性があります。最新情報は記事末尾の参考情報（TeamUpdraftの公式発表など）もあわせてご確認ください。

まず結論：やること

1. UpdraftPlusを使っているなら、サイトの管理画面に直接ログインし、UpdraftPlusが1.26.13（無料版）／2.26.13（Premium版）以降になっているか確認する
2. 「設定 → UpdraftPlus → 高度なツール（詳細ツール） → UpdraftCentral」で、接続キーが残っていないか確認し、すべて削除する
3. プラグイン一覧（Must-Useを含む）とユーザー一覧に、見覚えのないものがないか確認する。管理者だけでなく編集者も見る
4. teamupdraft.comのアカウントを持っている場合は、パスワードを変更し、アカウント側の「UpdraftCentral」に身に覚えのないサイトがないか確認する
5. 不審な点が見つかったら、慌てて削除せず、現状を保存したうえで、10月17日より前のきれいなバックアップからの復元を検討する

何が起きたのか

開発元への不正アクセスで、接続キーが流出

開発元TeamUpdraftの発表によると、10月17日〜18日にteamupdraft.comへの不正アクセスが確認され、顧客データベースが見られたとみられています。開発元が挙げている、データベースに含まれていた情報は次のとおりです。

• 名前、メールアドレス、請求先住所、注文履歴
• アカウントのパスワード（ハッシュ化された状態）
• 二段階認証の設定
• UpdraftCentral、UpdraftVault、UpdraftCloneの接続キー

カード情報は保存しておらず（決済はStripeとPayPal）、UpdraftPlusのプラグイン本体やそのダウンロードには影響はないとされています。また、Google DriveやDropbox、Amazon S3など、自分で用意した保存先に送っているバックアップも影響を受けていないとしています。

UpdraftCentralとは

UpdraftCentralは、複数のWordPressサイトをひとつの画面からまとめて管理（バックアップ、更新、プラグインの追加など）するための機能です。セキュリティ会社のPatchstackによると、UpdraftCentralの受け口（クライアント）は無料版・Premium版を問わず、すべてのUpdraftPlusに組み込まれています。

ふだんは何もしていませんが、サイトに接続キーが作られると動き出します。それ以降は、管理画面（ダッシュボード）側の秘密の鍵で署名された命令であれば、サイトはそれを実行します。命令はキーを作ったユーザーの権限で動き、1件ずつ確認されることはありません。

今回は、この「署名用の鍵」が盗まれたため、攻撃者は正規の命令とまったく同じ形で、サイトにプラグインを送り込むことができました。Patchstackは、これはコードの欠陥ではなく鍵の流出であり、CVE（脆弱性の識別番号）は割り当てられていないと説明しています。

攻撃の流れ

Patchstackの分析（10月19日公開）によると、攻撃は次のように行われていました。

1. 攻撃者が、盗んだ鍵で署名した「プラグインをアップロードせよ」という命令をサイトに送る
2. WordPressの通常の仕組みで、不正なプラグインがインストール・有効化される
3. そのプラグインは、特定のURLパラメーター（合言葉のような文字列）付きのアクセスを待ち受ける
4. 合言葉付きでアクセスされると、編集者の権限のユーザーを作り、そこに設定の変更（manage_options）とプラグインのインストール（install_plugins）の権限を追加する
5. ログイン画面を通さずに、そのユーザーでログインした状態にして管理画面へ移動させる

ログイン画面を通らないため、二段階認証やログイン回数の制限、ログイン保護系のプラグインは働きません。また、作られたユーザーは、プラグインを削除しても残ります。ユーザー一覧では「編集者」と表示されるため、管理者の一覧だけを見ていると見落とします。

Patchstackの観測では、不正なプラグインのインストールは10月18日〜19日の約18時間にわたって続き、99種類のプラグイン名が確認されています。

当サイトの「WordPressはセキュリティ的に危険？狙われる理由と、小さな会社・お店のサイトでやっておきたい対策」でも、攻撃者が作ったアカウントが「編集者」として表示されることがある点に触れています。

自分のサイトは対象？影響の有無を整理

今回の攻撃の対象になったのは、UpdraftCentral（クラウド版）の接続キーが有効なまま残っていたサイトです。UpdraftPlusを入れているだけで、接続キーがなければ、この経路では攻撃されません。

ただし注意したいのは、「UpdraftCentralを使ったつもりがないのに、キーが作られていることがある」点です。Patchstackによると、UpdraftPlusの設定画面でteamupdraft.comのアカウントを接続するとき、「このサイトをUpdraftCentralに追加する（5サイトまで無料）」というチェックボックスが最初からオンになっています。そのままログインすると、UpdraftCentralの接続キーが作られます。Patchstackは、バックアップにしか使っていないつもりのサイトに、有効なキーが残っていた例を確認しています。

また、Patchstackによると、接続キーには有効期限がありません。2025年11月に作られたキーが、2026年10月にも有効だったと報告されています。

なお、BleepingComputerは、UpdraftPlusを使っているサイトの約1割にUpdraftCentralなどのキーがあり、約40万サイトが影響を受ける可能性があると伝えています。ただし、これは報道の推計で、開発元が公表した数字ではありません。

「更新すれば安心」ではない理由

開発元は10月19日にUpdraftPlus 1.26.13（無料版）／2.26.13（Premium版）を公開しました。開発元によると、この更新で、10月18日13時07分（英国夏時間）より前に作られたUpdraftCentralの接続は自動的に切断され、古いキーは使えなくなるとしています。WordPress.orgからは、すべての利用者に配信されました。

それでも、更新だけで安心できない理由があります。

• 更新前に入れられたプラグインやユーザーは残る。キーが無効になっても、すでに送り込まれた不正なプラグインや、作られたユーザーは自動では消えません
• 途中の版では、キーの削除がうまく動かなかった。BleepingComputerによると、最初に出た1.26.12／2.26.12はキーを削除するためのものでしたが、不具合で削除できていなかったと、調査したNethembaが指摘しています
• 開発元自身も、更新に加えてキーの手動削除を案内している。サーバー会社のエックスサーバーも、接続キーをすべて削除するよう呼びかけています
• Patchstackの分析時点（10月19日）では修正版がなく、当時の最新版（1.26.11／2.26.11.26）も攻撃を受けていました

つまり、「最新版になっているか」と「キーが残っていないか」「すでに何か入れられていないか」は、それぞれ別に確認する必要があります。

接続キーを確認・削除する方法

サイトの管理画面で削除する

UpdraftCentral経由ではなく、そのサイトの管理画面に直接ログインして作業します。

1. 「プラグイン」で、UpdraftPlusが1.26.13／2.26.13以降になっているか確認する
2. 「設定 → UpdraftPlus → 高度なツール → UpdraftCentral」を開く（日本語表示では「詳細ツール」となっている場合があります）
3. 「Manage existing keys」（既存のキーの管理）を開き、表示されたキーをすべて削除する

Patchstackは、UpdraftCentralの管理画面からサイトを外すだけでは不十分だと注意しています。問題になるのは、サイト側に保存されているキーだからです。キーを削除しても、バックアップの機能はそのまま動きます。止まるのは遠隔操作だけです。

teamupdraft.comのアカウント側で確認する

開発元は、teamupdraft.comのアカウントを持っているすべての人に、次の対応を呼びかけています。

• teamupdraft.comにブラウザでアドレスを直接入力してアクセスし、パスワードを変更する（メールのリンクからは開かない）
• 同じパスワードをほかのサービスでも使っていれば、そちらも変更する
• 二段階認証を使っている場合は、「My Account」で設定し直す
• 「My Account → UpdraftCentral remote control」を開き、10月19日以降に自分で接続した覚えのないサイトが表示されていないか確認する。あれば、そのサイトを調べる

開発元は、パスワードや鍵をメールで尋ねることはないとしています。この件に便乗した偽のメールにも注意してください。

再接続はあわてない

開発元の手順には、最後に「UpdraftCentralに再接続する」とあります。一方でPatchstackは、原因の説明が出るまでは再接続しないことをすすめ、どうしても遠隔管理が必要な場合は、プラグインのインストール権限を持たないユーザーでキーを作ることを提案しています。複数サイトをまとめて管理する便利さと、リスクを比べたうえで判断しましょう。

担当者向け：不正なプラグイン・ユーザーを探す

ここからは、サーバーにSSHでログインでき、WP-CLI（WordPressをコマンドで操作するツール）が使える担当者向けの内容です。作業の前に、現状のファイルとデータベースのバックアップを取っておきましょう。

公表されている痕跡（IOC）

Patchstackが公表している、今回の攻撃の手がかりは次のとおりです。

プラグイン名はランダムなものが多く、ここに挙げた名前で見つからなくても安心はできません。説明文やユーザーの権限など、複数の手がかりで確認しましょう。99種類の全リストは、記事末尾のPatchstackの記事に掲載されています。

1. 接続キーが残っていないか

Patchstackが紹介している確認方法です。何か出力されれば、キーが残っています。UpdraftCentralを使った覚えがなくても実行してください。

wp option get updraft_central_localkeys

残っていた場合は、管理画面から削除するか、次のコマンドで削除します（Patchstackが紹介している方法です）。不正なプラグインが見つかった場合も、まずキーを先に削除します。キーが残っていると、攻撃者が別のプラグインを送り込めるためです。

wp option delete updraft_central_localkeys

2. プラグインを「管理画面以外」からも確認する

不正なプラグインは、管理画面の一覧から見えにくくしている場合もあります。一般的な調査の方法として、WP-CLIの一覧と、実際のフォルダの中身の両方を確認しましょう。Must-Use（mu-plugins）やドロップイン（wp-content 直下の特殊なファイル）も対象です。

# 通常のプラグイン（有効・無効を含む）
wp plugin list --fields=name,status,version,title

# Must-Useプラグインとドロップイン
wp plugin list --status=must-use
wp plugin list --status=dropin

# 実際のフォルダの中身（一覧と食い違いがないか）
ls -la wp-content/plugins/ wp-content/mu-plugins/

Patchstackが紹介している、説明文でプラグインのファイルを探す方法です（パスはサーバーの構成に合わせて変えてください）。

grep -rl "Small maintenance toolkit: keeps option storage tidy\." wp-content/plugins/ wp-content/mu-plugins/

あわせて、10月17日以降に作られた・変更されたPHPファイルも確認しておくと安心です（一般的な調査の方法です。正規の更新でも変更されるため、見覚えのないものを中心に確認します）。

find wp-content -type f -name "*.php" -newermt "2026-10-17" -ls

3. ユーザーを確認する（編集者も見る）

管理者だけでなく、編集者も確認します。登録日が10月18日以降のユーザーや、@example.org のメールアドレス、「Site Tools」という表示名に注意してください。

wp user list --role=administrator --fields=ID,user_login,user_email,display_name,user_registered
wp user list --role=editor --fields=ID,user_login,user_email,display_name,user_registered

Patchstackは、編集者なのに manage_options の権限を持っているユーザーを探す方法を紹介しています。WP-CLIで実行する場合は、次のようになります（テーブル名の wp_ は、サイトの接頭辞に合わせて変えてください）。

wp db query "SELECT u.ID, u.user_login, u.user_email, u.user_registered FROM wp_users u JOIN wp_usermeta m ON u.ID = m.user_id WHERE m.meta_key = 'wp_capabilities' AND m.meta_value LIKE '%editor%' AND m.meta_value LIKE '%manage_options%';"

4. データベースのオプションと定期実行を確認する

名前が _sync_token で終わるオプションがないかを確認します。

wp option list --search="*_sync_token"

公表されている痕跡には含まれていませんが、一般的な調査として、WordPressの定期実行（cron）に見覚えのない処理が登録されていないかも見ておきましょう。

wp cron event list

5. ログを確認する

Patchstackは、次のような点をログの手がかりに挙げています。

• アクセスログに、アンダースコアで始まる4〜10文字の名前のパラメーターに、32文字の文字列が付いたアクセスがないか。あれば、バックドアが実際に使われた可能性が高い
• 正規のUpdraftCentralの通信には、ユーザーエージェントにライブラリのバージョンやURLが含まれるが、攻撃者の通信には含まれていなかった
• UpdraftCentralのログに、plugin.upload_plugin という命令を受け取った記録がないか
• 管理者が操作していないのにプラグインがインストールされていないか、見覚えのないプラグイン名を含むエラー通知メールが届いていないか

被害が見つかった場合の対応

不正なプラグインやユーザーが見つかった場合は、次の順番で対応します。

1. 接続キーを先に削除する。そのままにすると、攻撃者が別のプラグインを送り込めます
2. 現状を保存する。何が起きたのかを調べる手がかりになるため、ファイルとデータベースを丸ごとバックアップします。必要に応じて、メンテナンス表示などで一時的にサイトを閉じることも検討します
3. 不正なプラグインは、管理画面から「削除」しない。Patchstackによると、プラグインの削除時の処理で、自分の痕跡を消すようになっています。無効化したうえで、公開フォルダの外へ移動します。また、HTTP 500エラーの原因になっているプログラムの誤りを直してはいけません。直すとバックドアが動き出します
4. 不正なユーザーと _sync_token のオプションを削除する
5. ユーザーが作られていた、またはログに合言葉付きのアクセスがあった場合は、サイト全体が乗っ取られたものとして扱い、攻撃より前のバックアップから復元します

復元のあとは、次の作業も行います。

• パスワードの変更：WordPressの全管理者、teamupdraft.com、サーバーの管理画面、FTP／SSH、データベース
• ログイン中のセッションの終了：一般的な方法として、wp-config.php の認証用キー（ソルト）を作り直すと、全員がログアウトされます（WP-CLIでは wp config shuffle-salts）
• アプリケーションパスワードやAPIキーの見直し：WordPressの「ユーザー → プロフィール」のアプリケーションパスワードや、外部サービスと連携しているAPIキーを確認し、必要に応じて作り直します
• バックアップの保存先の鍵の変更：開発元は、UpdraftCentral経由でアクセスされたサイトについて、念のため保存先（リモートストレージ）の再認証と、アクセスキーの変更をすすめています
• 二段階認証の設定と、ほかに権限が追加されたユーザーがいないかの確認

復元するバックアップに注意

開発元は、怪しい点があれば10月17日より前のバックアップからの復元を検討するよう案内しています。ここで気をつけたいのが、バックアップそのものの扱いです。

UpdraftVaultを使っていた場合、開発元の案内では「設定 → UpdraftPlus → 設定」のリモートストレージでUpdraftVaultを選び、新しいパスワードで再接続したうえで、手動でバックアップを取って動作を確認します。10月17日以降、Vaultへのバックアップが止まっていないかも確認しておきましょう。

今回の件から学べること

「外部から操作できる仕組み」は、相手が破られたら一緒に危ない

今回、サイト側には何の落ち度もありませんでした。調査したNethembaは、自社のサーバーへの侵入や設定の弱点を突かれたわけではなく、正規の鍵が使われたと説明しています（BleepingComputerによる）。

遠隔管理サービスやバックアップサービス、保守ツールなど、外部からサイトを操作できる仕組みは便利な反面、その提供元が攻撃されると、つながっているサイトがまとめて被害を受けます。これは、委託先や取引先を経由して被害が広がる「サプライチェーン攻撃」と同じ構図です。経営者向けの見直しポイントは「委託先・クラウド経由の情報漏えいが相次いだ2026年10月。大企業の被害を他人事にしないために中小企業が今すぐ見直すこと」で整理しています。

つながっているサービスを一覧にしておく

今回は、バックアップにしか使っていないつもりのサイトにもキーが残っていたと報告されています。保守の担当者は、サイトごとに次のような情報を一覧にしておくと、同じようなことが起きたときにすぐ確認できます。

• サイトに接続している外部サービス（遠隔管理、バックアップ、セキュリティ、フォーム、分析など）
• それぞれの接続に使っているアカウントと、その権限
• キーやアプリケーションパスワードを発行した日と、発行した人
• 使わなくなった連携は、キーを削除して接続を切る

権限は必要な分だけにする

UpdraftCentralの命令は、キーを作ったユーザーの権限で実行されます。Patchstackによると、プラグインをインストールする権限のないユーザーで作ったキーでは、攻撃が成功しなかった例がありました。外部サービスとの接続には、できるだけ権限の小さいユーザーを使うのが原則です。

二段階認証だけでは守れない攻撃もある

今回のバックドアは、ログイン画面を通らずにログインした状態を作るため、二段階認証が働きませんでした。二段階認証は大切ですが、それだけでなく、ユーザーやプラグインの一覧を定期的に見る、ファイルの変更を検知するといった「入られたことに気づく」仕組みも組み合わせましょう。

WordPressのアップデート全般の注意点は「WordPress 7.2で何が変わる？更新前にサイト運営者が確認すべきこと」もあわせてご覧ください。

C-TechLabにできること

C-TechLabでは、WordPressサイトの運用保守を、専門サービス「となりのWeb屋さん」としてお引き受けしています。

• UpdraftCentralの接続キーの確認・削除：UpdraftPlusのバージョンと、キーが残っていないかを確認し、削除します
• 不正なプラグイン・ユーザーの調査：管理画面だけでなく、サーバーのファイルやデータベースも確認し、公表されている痕跡と照らし合わせます
• 被害があった場合の復旧：現状を保存したうえで、きれいなバックアップからの復元、パスワードや鍵の変更までご相談に乗ります
• 連携サービスの棚卸し：サイトにつながっている外部サービスと権限を一覧にし、不要な接続を整理します
• 月額の運用保守：WordPress本体・プラグインの更新やバックアップを継続して行い、今回のような問題にもすばやく対応します

担当サイトが多く手が回らない制作会社さまの、確認作業の代行もご相談ください。「何から手をつければいいか分からない」という段階でも大丈夫です。代表エンジニアが直接、状況を伺います。

よくある質問

UpdraftPlusを入れているサイトは、すべて被害を受けたのですか？

いいえ、攻撃の対象になったのは、UpdraftCentral（クラウド版）の接続キーが有効なまま残っていたサイトです。ただし、UpdraftPlusの設定画面でteamupdraft.comのアカウントを接続した際、UpdraftCentralへの追加のチェックボックスが最初からオンになっているため、使ったつもりがなくてもキーが作られていることがあります。開発元は、Premium版の利用者にはUpdraftCentralを使ったことがなくても確認するよう呼びかけており、teamupdraft.comのアカウントを持たない無料版の利用者は特別な対応は不要としています。

UpdraftPlusを最新版に更新すれば対応は終わりですか？

いいえ、更新だけでは終わりではありません。開発元は2026年10月19日公開のUpdraftPlus 1.26.13（無料版）と2.26.13（Premium版）で古い接続キーを無効にしたとしていますが、更新前に送り込まれた不正なプラグインや作られたユーザーは自動では消えません。開発元自身も、更新に加えて「設定 → UpdraftPlus → 高度なツール → UpdraftCentral」での接続キーの削除や、見覚えのないユーザーとプラグインの確認を案内しています。

二段階認証を設定していれば安全でしたか？

いいえ、今回の攻撃では二段階認証は効きませんでした。Patchstackによると、送り込まれた不正なプラグインはログイン画面を通らずにログインした状態を作るため、二段階認証やログイン回数の制限、ログイン保護系のプラグインが働きません。作られたユーザーはユーザー一覧で編集者として表示されるため、管理者だけでなく編集者の一覧も確認することが大切です。

不審なプラグインを見つけたら、すぐに削除してよいですか？

いいえ、管理画面からすぐに削除するのは避けてください。Patchstackによると、不正なプラグインは削除時の処理で自分の痕跡を消すようになっているため、まずUpdraftCentralの接続キーを削除し、現状のバックアップを取ったうえで、プラグインを無効化して公開フォルダの外へ移動します。不正なユーザーが作られていた場合は、サイト全体が乗っ取られたものとして扱い、10月17日より前のきれいなバックアップからの復元とパスワードの変更を行います。

UpdraftCentralの確認や復旧を任せることはできますか？

はい、C-TechLabでは専門サービス「となりのWeb屋さん」として、UpdraftCentralの接続キーの確認と削除、不正なプラグインやユーザーの調査、きれいなバックアップからの復旧、月額の運用保守をお引き受けしています。担当サイトが多く手が回らない制作会社さまからの、確認作業の代行のご相談もお受けしています。

参考情報

• TeamUpdraft「Security incident October 2026」（2026年10月19日公開、23日更新）
• Patchstack「Stolen UpdraftCentral Keys Are Backdooring WordPress Sites」（2026年10月19日）
• BleepingComputer「Stolen UpdraftCentral keys used to backdoor WordPress sites」（2026年10月20日）
• エックスサーバーのお知らせ（UpdraftCentralの接続キー流出に関する注意喚起）（2026年10月20日）