2026年10月、バックアップ管理プラグイン「Updraftplus」の運営元が攻撃を受け、サイトへの「合鍵」に相当する接続キーが大量に流出しました。これはUpdraftPlusだけの問題ではありません。
私の場合、Updraftplusはバックアップ機能だけしか使っておらず、UpdraftCentralは使っていなかったので、今回の流出した接続キーによる被害はありませんでした。
そもそも、対象のサイトは練習用サイトで、しばらく放置していて、存在すら忘れかけていたくらいです。（ちなみに、今、ご覧のこのサイトも同じサーバーですが、ほぼ毎日見てるので、更新の知らせがあったら更新するようにしてました。）
ただ、その「放置」という行為こそが危険だったということに、今回のホストからのメール（後述）で気づかされました。プラグインは入れっぱなしにしておくと、知らないうちにサイトへの”合鍵”になってしまうことがある——今回はたまたま無事でしたが、他人事ではないと感じています。
何が起きたか
バックアップ管理プラグイン Updraftplus の運営元（TeamUpdraft）がサイバー攻撃を受けました。
盗まれたのはパスワードではなく、UpdraftCentral（リモート管理機能）の接続キー。この接続キーは、外部のダッシュボードからWordPressサイトを操作するための「合鍵」として機能します。
攻撃者はこの合鍵を使って：
- 不正なプラグインをインストール・有効化
- 身に覚えのない管理者アカウントを追加
- バックドア（裏口）を仕込む
…といった被害を多くのサイトに引き起こしました。
UpdraftCentralの接続キーとは何か
UpdraftCentralは、複数のWordPressサイトを1つの画面からまとめて管理できるリモートダッシュボードサービスです。サイトと接続するために「接続キー」を発行します。
この接続キーが厄介な点は、通常のID・パスワードによるログインを完全にスキップして、管理者権限で命令を実行できることです。
通常ログイン： ID + パスワード → 認証画面 → 操作
接続キー： 暗号署名された命令 → 検証OK → 即実行（ログイン不要）つまり接続キーを盗まれることは、合鍵を持った泥棒に玄関を素通りされるのと同じ状況です。
接続キーは自分で能動的に発行しない限り生まれません。UpdraftCentralを使ったことがない場合、今回の影響はありません（後述のSTEP 2で確認できます）。
これはUpdraftPlusだけの話ではない
プラグインの運営元が攻撃されるというパターンは、UpdraftPlusに限りません。
WordPressのプラグインは数万種類あり、その多くが遠隔操作・API連携・認証情報の保持といった機能を持っています。
| リスクの種類 | 具体例 |
|---|---|
| 運営元のサーバーが攻撃される | 今回のUpdraftPlus事例 |
| プラグイン自体に脆弱性が見つかる | バージョンが古いまま放置 |
| 開発が止まった（放置）プラグイン | パッチが出ない → 永久に脆弱なまま |
| 無効化しただけで削除していない | 無効でもファイルは残り攻撃対象に |
特に「インストールしたまま放置・更新していないプラグイン」は、攻撃者から見れば格好の入口です。自動スキャンツールで古いプラグインの脆弱性を探し、片っ端から侵入を試みるという手口が広く使われています。
今回、ホストが対応してくれたこと
今回は契約しているホスティング会社から緊急メールが届き、このインシデントを知りました。
ホスト側はすでに、最新版でないUpdraftplusのパーミッションを 000（アクセス不可）に変更して、被害の拡大を防ぐ措置を取ってくれていました。ありがたい対応です。
ただし、プラグインのアップデートや最終的な確認は自分で行う必要があります。
使ってるホスト↓
対応手順
STEP 1：プラグインを最新版に戻す
ホストの措置でパーミッションが 000 になっているため、まずパーミッションを戻す必要があります。順番通りに進めてください。
- ディレクトリのパーミッションを
755に戻す
サーバーのファイルマネージャーまたはFTPで、以下のディレクトリのパーミッションを修正wp-content/plugins/updraftplus - 最新バージョンにアップデート
WordPress管理画面「プラグイン → 更新」から実施（無料版: 1.26.13以上 / Premium: 2.26.13以上） - プラグインを有効化
STEP 2：接続キーの有無を確認する
STEP 1完了後、以下を開いてください。
設定 → UpdraftPlus → 高度なツール（Advanced Tools）→ UpdraftCentral → 既存のキーを管理
✅ 「ダッシュボードはありません」と表示される場合
接続キーは0件 = 影響なし。STEP 1で完了です。
画面上部に「問題がなければ、ここのすべてを完全に無視することができます。」と表示されていれば追加対応は不要です。
⚠️ 接続キーが登録されている場合
合鍵が悪用されてサイトを操作されている可能性があります。早急に対応してください。
- 接続キーをすべて削除（同画面から実施）
- 管理者パスワードをすべて変更
- 不正アクセスの痕跡を確認
- 身に覚えのない管理者ユーザーが追加されていないか
- インストールした覚えのないプラグイン・テーマがないか
- サーバーに不審なファイルが置かれていないか
今回を機に見直したいこと
UpdraftPlusの件は、プラグインを放置することのリスクをよく示しています。
- 使っていないプラグインは削除する（無効化だけでは不十分）
- 使っているプラグインは定期的にアップデートする
- 更新が1年以上止まっているプラグインは代替を検討する
- リモート管理・API連携系の機能は本当に必要か見直す
プラグインはWordPressの便利さを支えていますが、同時にセキュリティの入口でもあります。定期的な棚卸しが、サイトを守る一番の近道です。
🔗 公式情報: TeamUpdraft セキュリティインシデント（英語）
イチゲをOFUSEで応援する(御質問でもOKです）Vプリカでのお支払いがおすすめです。
MENTAやってます（ichige）
