2026年10月19日、WordPressのバックアップ用プラグインとして広く利用されている「UpdraftPlus」の開発元、TeamUpdraftが不正アクセスを受けたことを公表しました。
この件について、WordPressを利用している事業者の方から「セキュリティに関する英語のメールが届いたが、具体的に何をすればよいのか」という問い合わせがありました。
調べてみると、単なる個人情報漏えいの問題ではありません。
しかも厄介なことに、バックアップ機能しか利用していないつもりでも、問題となった遠隔管理機能が接続されている可能性があります。
今回は、事件の概要と危険性を整理したうえで、WordPressを運営している方が今すぐ実施すべき具体的な対策を解説します。
※本記事は2026年10月20日時点の情報をもとに作成しています。調査が進行中のため、最新情報はTeamUpdraftの公式発表もご確認ください。
UpdraftPlusで何が起きたのか？
まずは今回の問題の概要からみていきましょう。
2026年10月17日〜18日に不正アクセスが発覚
UpdraftPlusは、WordPressサイトのデータベースやファイルをバックアップし、必要に応じて復元できるプラグインです。
Google DriveやDropboxなど、外部のクラウドストレージに自動保存できるため、多くのWordPressサイトで利用されています。
その開発元であるTeamUpdraftは、2026年10月17日〜18日の週末に、公式サイト「teamupdraft.com」への不正アクセスを確認しました。
翌19日に公表された内容によると、顧客データベースにアクセスされた可能性があります。
対象となる情報は以下のとおりです。
| 情報の種類 | 公式発表の内容 |
|---|---|
| 氏名・メールアドレス | 顧客データベースに保存 |
| 請求先住所・購入履歴 | 同上 |
| アカウントパスワード | ハッシュ化して保存 |
| 二要素認証の設定 | データベースに保存 |
| UpdraftCentralの接続キー | データベースに保存 |
| UpdraftVault・UpdraftCloneの接続キー | データベースに保存 |
| クレジットカード情報 | TeamUpdraft側では保存していない |
パスワードは平文ではなくハッシュ化されていたとのことですが、それだけで安心できるわけではありません。
特に問題となったのが、UpdraftCentralの接続キーです。
WordPressを遠隔操作できる接続キーが問題に
UpdraftCentralとは、複数のWordPressサイトを一括管理するための機能です。
この機能を利用すると、遠隔からWordPressの更新やプラグイン管理などを行えます。
便利な仕組みですが、接続キーが悪意ある第三者に渡ると、その権限を悪用される危険があります。
実際にセキュリティ企業Patchstackは、2026年10月18日〜19日にかけて、正規のUpdraftCentral接続キーを利用した攻撃を観測したと報告しています。
攻撃者は不正なプラグインをWordPressサイトにインストールし、外部から操作するためのバックドアを設置していました。
バックドアとは、通常の認証手順を経ずにシステムへ侵入するための裏口のようなものです。
つまり今回の事件は、顧客情報の流出懸念だけでなく、WordPressサイトそのものを乗っ取られるリスクにつながる問題なのです。
最も怖いのは「バックアップしか使っていないから大丈夫」という思い込み
今回、特に注意していただきたい点があります。
それは、UpdraftCentralを使っているつもりがなくても、接続キーが登録されている場合があるということです。
Patchstackの分析によると、TeamUpdraftアカウントとWordPressサイトを連携させる際、UpdraftCentralへの追加を選択するチェックボックスが初期状態で有効になっていたケースがあります。
そのまま設定を進めると、利用者が遠隔管理機能を意識していなくても接続キーが作成されます。
つまり、
「UpdraftPlusでバックアップを取っているだけ」
「UpdraftCentralというサービスは知らない」
「遠隔管理機能を使った覚えがない」
という方も、確認が必要なのです。
今回の事件で重要なのは、プラグインのプログラムそのものが改ざんされたわけではないという点です。
開発元も、UpdraftPlus本体やダウンロードファイルへの影響は確認されていないと説明しています。
問題になったのは、外部からの操作を正当なものとして受け入れるための「鍵」です。
セキュリティ対策は、ソフトウェアを最新版にするだけでは不十分な場合がある。
これが今回の事件から得られる大きな教訓です。
UpdraftPlus利用者が今すぐ実施すべき7つの対策
ここからは、実際の操作方法を解説します。
対策① UpdraftPlusを最新版に更新する
まず、WordPressの管理画面にログインしてください。
「プラグイン」→「インストール済みプラグイン」を開き、UpdraftPlusのバージョンを確認します。
TeamUpdraftは今回の事件に対応して、2026年10月19日に緊急修正版を公開しました。
| 種類 | 対応バージョン |
|---|---|
| UpdraftPlus無料版 | 1.26.12以降 |
| UpdraftPlus Premium | 2.26.12以降 |
これらのバージョンでは、2026年10月18日22時（英国夏時間）より前に作成されたUpdraftCentralの接続を自動的に無効化する対策が実施されています。
ただし、アップデートは今後の不正操作を防ぐための対策であり、すでに不正なプラグインが設置されていた場合、それを自動的に除去できるわけではありません。
更新後も以下の確認を続けてください。
対策② UpdraftCentralの接続キーを確認・削除する
今回、特に優先してほしい対策です。
WordPress管理画面から、次の場所へ移動してください。
「設定」→「UpdraftPlus バックアップ」→「高度なツール（Advanced Tools）」→「UpdraftCentral」
メニューの表記はWordPressやUpdraftPlusのバージョンによって多少異なります。
UpdraftCentralの画面で「Manage existing keys（既存のキーを管理）」などの項目を探してください。
接続キーが登録されている場合は、UpdraftCentralとの接続設定が存在します。
今後使う予定がないなら、接続キーを削除しましょう。
なお、削除するのはUpdraftCentralの接続キーです。UpdraftPlus本体をアンインストールする必要はありません。
接続キーを削除しても、通常のUpdraftPlusによるバックアップは継続できます。
また、アップデート後に接続キーが表示されない場合でも、過去に接続されていなかったとまでは断定できません。緊急更新によって無効化されている可能性があるためです。
過去の接続履歴に心当たりがある場合は、次の確認も行ってください。
対策③ 不審なWordPressユーザーが追加されていないか確認する
WordPressの管理画面で「ユーザー」→「ユーザー一覧」を開きます。
管理者だけでなく、編集者なども含めて、登録されたアカウントを確認してください。
今回の攻撃では、見かけ上は「編集者」でありながら、通常の編集者にはない管理権限を与える手口も報告されています。
そのため、管理者アカウントだけを確認して終わるのは不十分です。
以下のような点を確認しましょう。
- 見覚えのないユーザーが追加されていないか
- ユーザーのメールアドレスが不自然ではないか
- 普段使用していないアカウントが増えていないか
- 権限が不自然に変更されていないか
ただし、画面上の権限表示だけでは追加権限を見抜けないこともあります。
不審なユーザーが見つかった場合は、削除する前にユーザー情報やログを保存し、サーバー管理者や専門家に確認してもらうことをおすすめします。
対策④ 不審なプラグインやファイルを確認する
「プラグイン」→「インストール済みプラグイン」を開き、すべてのプラグインを確認します。
有効なプラグインだけではなく、無効化されているプラグインや「必須（Must-Use）」プラグインも確認してください。
今回の攻撃では、「Site Health Cache」など、一見すると普通のWordPress機能に見える名称が使われていました。
Patchstackによると、攻撃に使われたプラグインには、次の説明文が共通していたとのことです。
Small maintenance toolkit: keeps option storage tidy.
見覚えのないプラグインで、このような説明文が表示されている場合は注意が必要です。
ただし、名称や説明文は変更される可能性があるため、これらが見つからなければ安全というわけではありません。
さらに確認する場合は、レンタルサーバーならファイルマネージャーやSFTPを利用します。
主な確認場所は以下のとおりです。
| フォルダ | 確認内容 |
|---|---|
wp-content/plugins/ | 不審なプラグインの追加 |
wp-content/mu-plugins/ | 不審な必須プラグイン |
wp-content/uploads/ | 身に覚えのないPHPファイルなど |
ただし、見覚えのないフォルダがあるという理由だけで、安易に削除するのは避けてください。
特に今回の不正プラグインについては、削除処理によって調査に必要な証拠が消去される可能性も指摘されています。
疑わしいファイルが見つかった場合は、先に保全し、専門家に相談してください。
対策⑤ パスワードを変更する
次に、パスワードを変更します。
今回、TeamUpdraftが明示的に求めているのは、teamupdraft.comのパスワード変更です。
必ずブラウザで公式サイトのアドレスを直接入力し、ログインしてください。
セキュリティ問題に便乗したフィッシングメールにも注意が必要です。
また、UpdraftCentralの接続が存在したサイトでは、WordPressのすべての管理者アカウントについてもパスワード変更が推奨されています。
変更対象を整理すると、次のようになります。
| 対象 | 必要な対応 |
|---|---|
| TeamUpdraftアカウント | パスワード変更 |
| 同じパスワードを使っている他サービス | パスワード変更 |
| UpdraftCentral接続サイトのWordPress管理者 | 全管理者のパスワード変更 |
| TeamUpdraftの二要素認証 | 利用中なら再設定 |
| 外部バックアップ先の認証情報 | サイトへの不正アクセスが疑われる場合は再認証・認証情報更新を検討 |
可能であれば、WordPress側にも二要素認証を設定するとよいでしょう。
ただし、二要素認証だけで今回のような正規の遠隔操作キーの悪用を防げるわけではありません。
対策⑥ セキュリティスキャンとログ確認を行う
WordPressサイトがすでに不正操作されていないか確認することも重要です。
セキュリティプラグインの「Wordfence」などを利用している場合は、マルウェアスキャンを実施しましょう。
不審なファイルの変更や、既知のマルウェアなどを検出できる場合があります。
また、UpdraftCentralの操作ログが残っている場合は、10月18日〜19日前後に覚えのない操作がないか確認します。
今回の攻撃では、ログに次のようなコマンドが記録されていました。
plugin.upload_plugin
これはプラグインをアップロードするためのコマンドです。
自分で操作していない時刻にこのコマンドが実行されていた場合は、詳細を確認する必要があります。
ただし、このコマンド自体は正規の操作でも使われるため、記録があるだけで攻撃と断定はできません。
セキュリティスキャンで異常が見つからなかったとしても、それだけで不正アクセスを完全に否定できるわけではありません。
不審な操作履歴やファイルが発見された場合は、サーバーのアクセスログも含めた調査が必要です。
対策⑦ バックアップが正常に取れているか確認する
最後に、バックアップの確認を行います。
今回の事件についてTeamUpdraftは、Google Drive、Dropbox、Amazon S3など、利用者自身の外部ストレージに保存されたバックアップは影響を受けていないと説明しています。
また、UpdraftCentralの接続キーを削除しても、通常のバックアップ機能は継続できます。
ただし、設定変更やプラグイン更新後に正常に動作しているかは、一度確認しておきたいところです。
「設定」→「UpdraftPlus バックアップ」→「バックアップ／復元」から、手動バックアップを実行します。
バックアップが正常終了し、外部ストレージにファイルが保存されたことを確認してください。
なお、サイトへの不正アクセスが疑われる場合は、10月17日より前のバックアップを消さずに保全してください。
復元が必要になった場合に備えるためです。
UpdraftVaultやUpdraftCloneを使っている場合は別途対応が必要
ここまで紹介したのは、主にUpdraftPlusとUpdraftCentralに関する対応です。
ほかの関連サービスを利用している方は、追加の対応が必要になる場合があります。
| 利用サービス | 必要な対応 |
|---|---|
| UpdraftCentral（クラウド版） | 接続キーの削除・必要なら安全確認後に再接続 |
| UpdraftVault | 新しい認証情報で再接続し、バックアップを確認 |
| UpdraftClone | 新しいクライアントキーを使用 |
| Google Drive・Dropboxなど | 通常は再接続不要。ただしサイトへの侵害が疑われる場合は認証情報を見直す |
| 自己ホスト型UpdraftCentral | 今回のクラウド版の侵害対象ではないと公式発表 |
UpdraftVaultは今回の事故に伴ってすべての接続が切断されていますので、利用者は再接続しなければバックアップが送信されません。
ご自身がどのサービスを使用しているか、改めて確認してください。
今回の事件で分かった「WordPress管理の落とし穴」
今回の事件で私が特に重要だと考えるのは、単純なパスワード管理やプラグイン更新だけでは解決できない問題が表面化したことです。
一般的なセキュリティ対策といえば、ソフトウェアを最新版にすること、強いパスワードを使うこと、二要素認証を設定することなどが挙げられます。
もちろん、これらは重要です。
しかし、今回問題になったのは、すでに正規の権限を与えられていた接続キーでした。
WordPress側から見ると、正しい鍵を持った相手からの命令だったため、通常の認証の仕組みでは不正な操作と区別できなかったのです。
ここから得られる教訓は3つあります。
使っていない機能には権限を残さない
便利そうだからと外部サービスとの連携を有効にして、そのまま忘れてしまうことは珍しくありません。
しかし、使っていない機能に接続権限を残しておくことは、それだけ攻撃を受ける経路を増やすことになります。
使わなくなったAPIキーや接続キー、不要な外部サービスとの連携は、定期的に見直しましょう。
バックアップとセキュリティ対策は別物
バックアップは、万が一のときにデータを復元するための対策です。
不正アクセスそのものを防止するものではありません。
逆に、セキュリティプラグインを入れていても、バックアップが不要になるわけではありません。
「侵入させない対策」と「侵入された後に復旧する対策」は分けて考える必要があります。
「何か問題が起きていないか」を確認する仕組みが必要
さらに重要なのは、異変に気づける仕組みです。
管理者アカウントが増えていないか、不審なプラグインが追加されていないか、通常と違うログインが発生していないか。
こうした確認を定期的に実施することで、被害の早期発見につながります。
中小企業では、Webサイトの運用を担当者1人に任せているケースも少なくありません。
更新作業だけでなく、管理権限、外部サービスとの接続、バックアップ、異常検知まで含めて管理することが重要です。
よくある質問（FAQ）
- UpdraftPlusを使っているだけで危険なのでしょうか？
-
いいえ。
今回の事故では、UpdraftPlusのプラグイン本体や公式ダウンロードファイルが改ざんされたわけではありません。
特に注意が必要なのは、UpdraftCentralの接続キーが登録されていたサイトです。
ただし、自分では接続したつもりがなくてもキーが存在することがあるため、確認することをおすすめします。
- UpdraftPlusを削除した方がよいのでしょうか？
-
通常はその必要はありません。
まず最新版へ更新し、使用していないUpdraftCentral接続キーを削除してください。
通常のバックアップ機能は継続利用できます。
- Wordfenceなどのスキャンで問題がなければ安心ですか？
-
異常が見つからないことは安心材料ですが、完全に安全だと保証するものではありません。
今回の攻撃では、正規の接続キーを利用して不正なプラグインを設置する手口が使われました。
ユーザー一覧やプラグイン一覧、可能なら操作ログも確認することをおすすめします。
- DropboxやGoogle Driveのパスワードも変更した方がよいですか？
-
今回の公式発表では、これらの外部ストレージに保存されたバックアップ自体は影響を受けていないと説明されています。
したがって、単にUpdraftPlusを利用しているというだけで、一律にパスワード変更が必要というわけではありません。
ただし、WordPressサイトがUpdraftCentral経由で不正アクセスされた疑いがある場合、TeamUpdraftは外部ストレージの再認証とアクセスキーの変更も推奨しています。
- 接続キーを削除すれば、もう安全ですか？
-
接続キーの削除は、古いキーを悪用した今後の遠隔操作を防ぐための重要な対応です。
ただし、削除前に不正操作されていた可能性は残ります。
不審なプラグインやユーザーが見つかった場合は、ログの保全、専門家による調査、パスワード変更、必要に応じたバックアップからの復元を検討してください。
まとめ：UpdraftPlusのセキュリティ問題は「接続キーの確認」が重要
2026年10月に発覚したTeamUpdraftの不正アクセスは、WordPressを利用している方にとって見逃せない問題です。
特に注意したいのは、UpdraftCentralを使用している自覚がなくても、接続キーが登録されている場合があることです。
今回の対応として、まず以下の7つを確認してください。
- UpdraftPlusを最新版に更新する
- UpdraftCentralの接続キーを確認・削除する
- 不審なユーザーが追加されていないか確認する
- 不審なプラグインやファイルを確認する
- TeamUpdraftとWordPress管理者のパスワードを変更する
- セキュリティスキャンと操作ログを確認する
- バックアップが正常に保存されているか確認する
今回の事件から学ぶべきことは、シンプルです。
本当に怖いのは、知らないうちに与えていた権限を、使わなくなっても残し続けることです。
「プラグインは更新しているから大丈夫」「バックアップしか使っていないから関係ない」と考えず、今一度、WordPressの外部連携や管理権限を確認してみてください。
特に企業のWebサイトは、顧客からの信用にも直結します。
日頃からバックアップとセキュリティ対策の両方を実施するとともに、万が一のときに迅速に対応できる体制を整えておきたいところです。
