- WordPressのバックアッププラグイン「UpdraftPlus」を作っているTeamUpdraft（英国）が、10月17日〜18日に自社サイト teamupdraft.com への不正アクセスがあったと発表しました。顧客データベースが見られたとみています。
- データベースには、複数のサイトをまとめて管理するサービス「UpdraftCentral」（クラウド版）の接続キーが入っていました。攻撃者はこのキーを使って利用者のサイトにつなぎ、管理者アカウントを作ったり、不正なプラグインを入れたりしていました。どこまで広がったかは分かっていません。
- 10月19日（英国時間）に出た UpdraftPlus 1.26.13（無料版）／2.26.13（Premium）で、古い接続キーは自動で無効になります。ただし、すでに作られたアカウントや入れられたプラグインは残ります。自分で確かめて消す必要があります。
- TeamUpdraftは、UpdraftCentralのクラウド版を使っている人に「今日中に」各サイトを確かめるよう求めています。UpdraftPlus Premiumの利用者には、UpdraftCentralを使ったことがなくても確かめるよう呼びかけています。
- TeamUpdraftの告知は、侵入にPHPの脆弱性（php2shell）を使われたとは書いていません。別の件として扱ってください。
ほかの不正アクセス・情報漏えいは → 不正アクセス・情報漏えい チェッカー（サービス名で検索できます）
10月のほかの不正アクセス・情報漏えいは → 2026年10月の不正アクセス・情報漏えい 国内まとめ
この記事は、TeamUpdraftの公式ブログの告知と、WordPress.orgのUpdraftPlusの変更履歴をもとにまとめたものです。日時は日本時間に直し、英国夏時間（BST）の元の時刻も添えています。告知は調査が進むたびに更新されているので、最新の内容はTeamUpdraftの告知ページで確かめてください。この記事も続報が出たら更新します。
最新情報（随時更新）
- 10月22日 22:42（英国 14:42）の更新：teamupdraft.comの「My Account」からUpdraftCentralに入り、一覧に出ているサイトを見るよう呼びかけました。19日以降に自分でつないだ覚えのないサイトが並んでいたら、侵入されていないか確かめてほしいとしています。見るところとして、見覚えのないユーザー（特に「編集者」の権限が多いとしています）、見覚えのないプラグイン、ログに残る知らないIPアドレスを挙げています［TeamUpdraft］。
- 10月21日 23:35（英国 15:35）の更新：UpdraftPlus Premiumの利用者に、UpdraftCentralを使ったことがなくても、見覚えのないプラグインや管理者が増えていないか確かめるよう求めました［TeamUpdraft］。
- 10月21日 18:23（英国 10:23）の更新：攻撃者は漏れたキーを使って同社のサイトに入ったこと、外部のセキュリティ会社を入れて調べていること、警察などに届け出たことを明らかにしました［TeamUpdraft］。
何が起きたか
UpdraftPlusは、WordPressのサイトをまるごとバックアップして、Google DriveやDropboxなどに保存できるプラグインです。WordPress.orgでは有効インストール数が300万以上とされています［WordPress.org］。同じ会社が、たくさんのサイトのバックアップや更新を1つの画面から操作できる「UpdraftCentral」も提供しています。UpdraftCentralとサイトは、サイトごとに作る「接続キー」でつながります。
TeamUpdraftの告知によると、10月17日〜18日の週末に teamupdraft.com への不正アクセスが見つかりました。同社は、顧客データベースが見られたとみています。データベースに入っていたのは次の情報です［TeamUpdraft］。
- 氏名、メールアドレス、請求先住所、注文履歴
- アカウントのパスワード（ハッシュ化した形で保存。そのままの文字では保存していない）
- 二要素認証（ログイン時の追加の確認）の設定
- UpdraftCentral・UpdraftVault・UpdraftClone の接続キー
カード情報は保存しておらず、支払いはStripeとPayPalで処理しているとしています。
問題は接続キーです。UpdraftCentralの接続キーがあれば、つながっているサイトに命令を送れます。TeamUpdraftは、攻撃者がこの経路を使って利用者のサイトに管理者アカウントを作り、不正なプラグインを入れるなどしたと説明しています。どこまで広がったかは分かっていないとしています［TeamUpdraft］。
一方で、次のものは影響を受けていないとしています。
- UpdraftPlusのプラグインそのものと、そのダウンロード
- Google Drive・Dropbox・Amazon S3など、自分の保存先に送ったバックアップ（ただしUpdraftCentral経由でサイトに入られていた場合は、念のため保存先の認証をやり直し、アクセスキーを変えるよう求めています）
- 自分のサーバーに置いて使うセルフホスト版のUpdraftCentral
自分のサイトが対象か見分ける
まず、UpdraftPlusを入れているかと、そのバージョンを確かめます。WordPressの管理画面の「プラグイン」に「UpdraftPlus」があれば入っています。無料版は1.x、Premiumは2.xの番号です。
| こんな場合 | 対象か | やること |
|---|---|---|
| UpdraftCentral（クラウド版）にサイトをつないでいる | 対象。告知では「今日中に」対応するよう求めている | 下の手順をサイトごとに全部 |
| UpdraftPlus Premiumを使っている（UpdraftCentralは使っていない） | 念のため確かめるよう求められている | 更新と、ユーザー・プラグインの確認 |
| 無料版だけで、teamupdraft.comのアカウントを持っていない | 告知では「対応は不要」 | いつもどおり最新版に更新しておく |
| セルフホスト版のUpdraftCentralを使っている | 告知では「影響なし」 | 最新版への更新 |
つないでいるかどうかは、各サイトの管理画面の「設定」→「UpdraftPlus」→「高度なツール（Advanced Tools）」→「UpdraftCentral」で、接続キーが並んでいるかで分かります。teamupdraft.comにログインし、「My Account」のUpdraftCentralに並んでいるサイトを見る方法もあります［TeamUpdraft］。
自分でつないだつもりがなくても、キーができていることがあります。セキュリティ会社Nethembaの分析では、UpdraftPlusの画面でteamupdraft.comのアカウントにログインしたとき、「このサイトをUpdraftCentralに追加する」という項目が最初からチェックされているため、知らないうちにキーが作られていた例があるとしています［二次情報：Nethemba］。制作会社に管理を任せている場合は、制作会社がUpdraftCentralでつないでいることもあるので、聞いてみてください。
いますぐやること（サイトごとに）
TeamUpdraftが、UpdraftCentral（クラウド版）の利用者に示している手順です。UpdraftCentralの画面からではなく、サイトごとに、そのサイト自身の管理画面にログインして行います［TeamUpdraft］。
- UpdraftPlusを更新する：1.26.13（無料版）または2.26.13（Premium）以降にします。WordPress.orgが自動更新を配っていますが、普段さわっていないサイトも含め、番号を目で確かめてください。1.26.12では足りません。変更履歴には、1.26.12で入れた無効化を「正しく効かせる」修正が1.26.13だと書かれています［WordPress.org 変更履歴］。
- UpdraftCentralとの接続を切る：「設定」→「UpdraftPlus」→「高度なツール」→「UpdraftCentral」で、接続キーを削除します。
- ユーザーを確かめる：「ユーザー」の一覧で、見覚えのない管理者を消します。告知の続報では「編集者」の権限で作られる例が目立つとしているので、管理者以外の権限も見てください。
- プラグインを確かめる：「プラグイン」の一覧で、見覚えのないものを消します。「使用中（Must-Use）」のタブが出ていれば、そこも見ます。
- 管理者のパスワードを全部変える：そのサイトの管理者アカウントすべてです。
- 怪しいものが見つかったら：10月17日より前に取ったバックアップから戻すことを考えます。
- 必要ならUpdraftCentralにつなぎ直す：上の手順のあとに新しいキーでつなぎ直したサイトは、更新で切られることはありません。
更新で無効になるのは、10月18日 21:07（英国 13:07）より前に作られた接続です［TeamUpdraft］。Nethembaの分析では、この時刻のあとに作られたキーは更新後も残る場合があるとして、更新したうえで手でキーを消すことを勧めています［二次情報：Nethemba］。手順2の削除を飛ばさないでください。
ファイルやログの見方は「サイトが乗っ取られていないか確かめる方法」に、侵入が分かったあとの作り直しの順番は「WordPressが乗っ取り・改ざんされたときの復旧手順」にまとめています。バックアップから戻すときは「WordPressのバックアップと復元のやり方」も参考にしてください。お客様の個人データが漏れたおそれがある場合は、個人情報保護委員会への報告が必要になることがあります。
Vault・Clone・アカウントだけの人
- teamupdraft.comのアカウントを持っている人全員：パスワードを変えます。リンクからではなく、ブラウザに teamupdraft.com と打って開きます。同じパスワードをほかで使っていれば、そこも変えます。二要素認証を使っていれば「My Account」で設定し直します。同社をかたるメールに気をつけてください。同社は、パスワードやキーを聞くことはないとしています。
- UpdraftVault（同社のバックアップ保存先）の利用者：すべてのサイトが切り離されているので、つなぎ直すまでVaultにバックアップが届きません。「設定」→「UpdraftPlus」→「設定」の保存先でUpdraftVaultを選び、新しいパスワードでつなぎ直し、変更を保存して手動でバックアップを1回取って確かめます。
- UpdraftClone（テスト用の複製サービス）の利用者：クライアントキーはすべて作り直され、古いキーは使えません。キーを作ったことがなければ対応は不要です。取引先にキーを渡している場合は、「My Account」から新しいキーを写して渡し直します。
［いずれもTeamUpdraft］
時系列
| 日本時間 | できごと |
|---|---|
| 10月17日〜18日 | teamupdraft.com への不正アクセスを確認（英国の週末）。同社はアクセス経路を閉じ、全アカウントをログアウトさせ、影響のありそうなキーや認証情報を入れ替えたとしている |
| 10月18日 21:07 | この時刻（英国 13:07）より前に作られたUpdraftCentralの接続が、のちの更新で自動的に無効になる対象 |
| 10月19日 | UpdraftPlus 1.26.12（古いキーを無効にする更新）を公開。同じ日に、それを正しく効かせる1.26.13も公開（変更履歴の日付は英国の19日） |
| 10月19日〜20日 | 告知を公開（英国の19日付）。1.26.13と2.26.13は「英国時間19日の午後10時過ぎ」（日本時間20日の午前6時ごろ）に出たとしている |
| 10月21日 0:25 | 続報。不正アクセス自体は解決済みで、更新で接続キーを無効にしてその経路は塞いだと説明 |
| 10月21日 18:23 | 続報。分かっている事実の一覧を出し、警察などへの届け出を説明 |
| 10月21日 23:35 | 続報。Premiumの利用者にもサイトの確認を求める |
| 10月22日 22:42 | 続報。UpdraftCentralの一覧に覚えのないサイトがないか見るよう求める |
| 10月23日 13:26 | 告知ページの最終更新（確認時点） |
英国の監督機関ICO（情報コミッショナー事務局）などにも報告したとしています［TeamUpdraft・WordPress.org 変更履歴］。
PHPの脆弱性（php2shell）との関係
TeamUpdraftの告知は、侵入の経路を「漏れたキー（compromised key）を使われた」と説明しています。PHPの脆弱性を使われたとは書いていません。不正アクセスが見つかったのも10月17日〜18日で、PHPの修正版が出た10月21日より前です。
21日の続報には、PHPをめぐる問題を受けてサポート用のフォームを一時止めた、という一文があります。これはサポート窓口の運用の話で、今回の侵入の原因として書かれたものではありません。この記事では、両者を別の件として扱います。
ただ、どちらもWordPressサイトの持ち主がいま確かめることが重なっています。PHPの件の対応は「WordPressのPHP脆弱性（php2shell）への対応」にまとめています。
よくある質問
UpdraftPlusを入れているだけで、乗っ取られていますか？
そうとは限りません。悪用されたのはUpdraftCentral（クラウド版）の接続キーです。TeamUpdraftは、無料版だけを使いteamupdraft.comのアカウントを持っていない人は対応不要としています。ただし、知らないうちにキーができていた例も報告されているので、「高度なツール」→「UpdraftCentral」にキーがないかは一度見ておくと安心です。
自動更新で1.26.13になっていました。もう大丈夫ですか？
古いキーでの接続は止まりますが、すでに入れられたユーザーやプラグインは残ります。キーの削除、ユーザーとプラグインの確認、パスワードの変更までやってください。
UpdraftPlusを消してしまえば解決しますか？
プラグインを消しても、作られた管理者アカウントや入れられた不正なプラグインは消えません。先にサイトの中を確かめてください。バックアップを取る仕組みは別に用意する必要があります。
見覚えのないユーザーが見つかりました。
消す前に、ユーザー名・作られた日時・権限を控えておくと、あとの調査に役立ちます。そのうえで、告知の手順どおり消してパスワードを変え、10月17日より前のバックアップから戻すことを考えます。判断に迷うときは、サーバー会社や制作会社に相談してください。
バックアップのデータは漏れていますか？
告知では、Google DriveやDropboxなど自分の保存先に送ったバックアップは影響を受けていないとしています。UpdraftCentral経由で入られたサイトでは、念のため保存先の認証をやり直し、アクセスキーを変えるよう求めています。
Webセキュリティ診断センターでは、WordPressのサイトについて、見覚えのないユーザーやプラグイン、不正なファイルが残っていないかの確認と、作り直しの手伝いをしています。UpdraftPlusの契約やUpdraftCentralのアカウントについては、TeamUpdraftのサポートにお問い合わせください。相談はこちら
参考にした情報
- TeamUpdraft「TeamUpdraft security incident: What customers need to know」（2026年10月19日、10月23日 05:26 BST 更新）
- WordPress.org「UpdraftPlus」変更履歴（1.26.12・1.26.13、2026年10月19日）
- Nethemba「Critical security problem in UpdraftCentral: an attacker holding the service's keys planted a backdoor on our websites」（二次情報、2026年10月19日、10月23日更新）
