WordPress管理プラグイン「UpdraftPlus」開発元のサーバーに不正アクセス、接続キー悪用によるバックドア設置が判明

要点

• WordPress向けバックアッププラグイン「UpdraftPlus」の開発元Webサイトが不正アクセスを受け、遠隔管理用の接続キーなどが流出した。

• 攻撃者は窃取した接続キーを悪用し、接続されたWordPressサイトにバックドア（不正侵入のための裏口）となるプラグインを遠隔インストールしていた。

• 侵入を受けたサイトでは、特定パラメータの送信によって管理者権限を持つユーザーが作成される手口が確認されている。

• 開発元は古い接続キーを自動無効化する更新版プラグインを公開するとともに、アカウント情報の変更やサイト内の点検を呼びかけている。

• 400万以上の有効インストール数を抱えるWordPress用バックアッププラグイン「UpdraftPlus」の開発元であるTeamUpdraftのWebサイトが不正アクセスを受けたことが明らかになった。同社の公式発表およびセキュリティ企業による調査により、攻撃者が遠隔管理サービス「UpdraftCentral」などの接続キーを不正に入手し、連携するWordPressサイトへバックドアを送り込んでいた事実が判明している。事件は2026年10月17日から18日にかけて検知され、開発元や専門機関による調査と対応が進められている。

開発元サイトへの侵入と顧客データベースの流出

TeamUpdraftの公表によると、2026年10月17日から18日の週末にかけて、同社のWebサイト（teamupdraft.com）に対する不正アクセスが確認された。同社は直ちに対応チームを稼働させ、侵入経路の遮断、全アカウントの強制サインアウト、影響を受けた可能性があるキーや認証情報の失効といった封じ込め作業を実施したと説明している。

しかし、攻撃者によって顧客データベースが閲覧された可能性があるという。該当のデータベースには、以下の情報が含まれていたとされる。

• 顧客の氏名、メールアドレス、請求先住所、注文履歴
• ハッシュ化（暗号技術による不可逆な変換）されたアカウントパスワード
• 2要素認証（2FA）の設定情報
• UpdraftCentral、UpdraftVault、UpdraftCloneの各サービスで使用される接続キー

なお、決済情報などの財務データはStripeやPayPal側で管理されているためデータベースには保持されておらず、影響はないとしている。また、UpdraftPlusプラグイン自体のコードや、セルフホスト版のUpdraftCentral、利用者が所有する外部ストレージへ直接送信されたバックアップデータについても直接の改ざんや侵害は受けていないと同社は強調している。

接続キーを悪用したバックドア設置の手口

今回のインシデントにおいて深刻な問題となったのは、遠隔管理サービス「UpdraftCentral」の接続キーが悪用された点である。UpdraftCentralは複数のWordPressサイトを単一の管理画面から一括操作するための機能であり、UpdraftPlusプラグイン内にそのクライアント機能が標準で組み込まれている。

WordPress向けセキュリティ企業のPatchstackによると、流出した有効な管理キーを入手した攻撃者が、連携サイトに対して遠隔で不正なプラグインをインストールするコマンドを送信していたことが確認された。この攻撃キャンペーンは、10月18日から19日にかけての18時間にわたり継続的に実行されていたという。

同社のセキュリティ研究者Dave Jong氏の説明によれば、攻撃者はサイトのルート宛ての通常のPOSTリクエストを監視しているRPC（リモートプロシージャコール：遠隔からプログラムを呼び出す仕組み）チャネルを介し、正規に署名された「plugin.upload_plugin」コマンドを送信していた。これにより、WordPress標準のインストーラーを通じて不正なプラグインが自動的に導入・有効化されていた。

また、実際の攻撃を最初に検出したスロバキアのペネトレーションテスト企業Nethembaの分析によると、この不正プラグインはサイトへのすべてのWebリクエストを監視するバックドアとして機能していた。URL内に「?_9f5696=」というパラメータが含まれているかを検知し、指定された32文字のトークンと照合する処理を行う。

照合が一致した場合、表示名を「Site Tools」とする「data-ops43」というユーザーアカウントが生成される。このアカウントは表向き「Editor（編集者）」権限が割り当てられるものの、実際には「manage_options」や「install_plugins」といった高度な権限が付与され、攻撃者が任意のPHPプラグインをアップロードしたりサイト設定を変更したりできる状態にされていたことが判明している。

開発元の対応と無効化アップデートの配布

TeamUpdraftは根本的な問題に対する修正プログラムを適用したほか、安全確保のため以下の措置を実施したと発表している。

• teamupdraft.com上の全アカウントのサインアウトおよびサイト全体のログインセキュリティの再設定
• 2026年10月18日午後10時（英国夏時間：BST）以前に作成されたUpdraftCentralの接続を自動的に切断し、旧キーの動作を無効化する「UpdraftPlus 1.26.13（無料版）」および「同 2.26.13（Premium版）」のリリース
• すべてのサイトをUpdraftVaultから切断した上での新規認証情報の発行
• UpdraftCloneにおけるクライアントキーの全置換
• 決済事業者および連携外部サービスのAPIキーなどのローテーション
• システム監視体制の強化
• 英国情報コミッショナーオフィス（ICO）を含む関連当局への報告

サイト管理者に求められている対応手順

TeamUpdraftは、同社のアカウントを持つすべてのユーザーに対し、直ちにパスワードを変更すること（他サービスで同じものを使い回している場合も含む）、2要素認証を再設定すること、同社を装った不審なメールに警戒することを求めている。

さらに、UpdraftCentralのクラウド機能を利用している管理者に対しては、接続キー経由で任意のコマンドが送られた可能性があるとして、以下の手順を早急に実行するよう強く推奨している。

1. UpdraftCentral経由ではなく、各サイト固有のWordPressダッシュボードへ直接ログインする
2. UpdraftPlusプラグインをバージョン1.26.12（無料版）または2.26.12（Premium版）以降へアップデートする
3. 「設定 > UpdraftPlus > 高度なツール > UpdraftCentral」を開き、接続キーを削除して切断する
4. 「ユーザー」画面を確認し、見覚えのない管理者アカウントが存在する場合は削除する
5. 「プラグイン」画面（Must-Useタブが表示されている場合はその中も含む）を確認し、不審なプラグインがあれば削除する
6. サイト内のすべての管理者アカウントのパスワードを変更する
7. 不審な痕跡が見つかった場合は、10月17日以前に取得したバックアップからの復元を検討する
8. 確認完了後、必要に応じてサイトをUpdraftCentralへ再接続する

また、バックアップサービスのUpdraftVault利用者はサービスの再接続、UpdraftClone利用者は管理画面から新しいクライアントキーを再取得して共有することが求められている。なお、UpdraftCentral経由でアクセスされていたサイトについては、予防措置として外部リモートストレージの再認証やストレージアクセスキーの変更も推奨されている。