Hikosachi 開発チームです。
今回は、人気のバックアップ・サイト管理プラグイン「UpdraftPlus」の管理サービス「UpdraftCentral」をめぐる、鍵（連携キー）の窃取によるバックドア設置事案についてお届けします。
プラグイン自体のコードに脆弱性があるわけではなく、開発元の管理システムから正当な連携キーが盗まれて悪用されたという点が特徴的な事案です。
今回のポイント
- サイトのバックアップ・複数サイト管理サービス「UpdraftCentral」を提供する開発元 TeamUpdraft のウェブサイトが不正アクセスを受け、顧客データベースに保存されていた UpdraftCentral・UpdraftVault・UpdraftClone の連携キーが窃取されたと報告されている。
- 攻撃者は盗んだ正当な連携キーを使い、2026年10月18日〜19日にかけて連携先のWordPressサイトへバックドアプラグインを設置したとみられる（Patchstackが実際の攻撃を確認）。鍵自体は正規の暗号署名を持つため、プラグイン側の通常のチェックだけでは不正と判別しづらいとされる。
- 対応のため UpdraftPlus 無料版1.26.13・Premium版2.26.13が2026年10月19日に公開され、同日時点までの連携キーを自動的に無効化する処理が含まれているが、直前の1.26.12/2.26.12には無効化処理に不具合があり、一部の時間帯に作成されたキーが無効化されずに残る可能性があるとの指摘がある。
- UpdraftPlusの利用サイトは数百万件規模とされるが、影響を受けるのはUpdraftCentral等の連携キーを実際に使用していたサイトのみ。報道によれば該当する可能性のあるサイト数の推定には幅があり、確定した被害件数は本記事執筆時点で明らかになっていない。
- セルフホスト版のUpdraftCentral（自前サーバーで運用している場合）は、この事案の影響を受けないと報告されている。
UpdraftCentralの連携キー窃取によるバックドア設置
「UpdraftPlus」は、WordPressサイトのバックアップ・複数サイトの一元管理を行える非常に人気の高いプラグインです。そのクラウド管理サービス「UpdraftCentral」は、各WordPressサイトとの通信に「連携キー」を使用して認証を行っています。
Patchstackやセキュリティメディア各社の報道によると、開発元TeamUpdraftのウェブサイトが不正アクセスを受け、顧客データベースに保存されていたUpdraftCentral・UpdraftVault・UpdraftClone向けの連携キーが窃取された可能性があるとされています。
この事案が通常の「プラグインの脆弱性」と異なる点は、攻撃者が使用しているのが正規に発行された連携キーであることです。
Patchstackは、攻撃に使われたコマンドが本物の鍵で正しく暗号化・署名されており、プラグイン側の検証処理そのものは正常に動作していたと分析しています。
つまり、コードの不備を突いた侵入ではなく、認証情報そのものが盗まれて悪用された事案です。
報道によれば、2026年10月18日から19日にかけて、攻撃者はこの盗んだキーを使って連携先のサイトにバックドアとなる不正プラグインを設置し、場合によっては管理者権限のアカウントを新規作成するといった行為を行ったとされています。
TeamUpdraftは対応として、UpdraftPlus無料版1.26.13・Premium版2.26.13を2026年10月19日に公開し、一定時刻までに作成された連携キーを自動的に無効化する処理を含めたと説明しています。
ただし、直前に公開されていた1.26.12/2.26.12の無効化処理には不具合があり、特定の時間帯に作成されたキーが無効化対象から漏れる可能性があると複数の研究者が指摘しており、無効化のカットオフ時刻についても報道によって説明に差異が見られます。
このため、バージョンを最新に更新するだけでなく、手動でのキー削除確認が重要とされています。
対応策
UpdraftPlus（無料版・Premium版）をお使いの場合は、まずプラグインを最新版（無料版1.26.13・Premium版2.26.13以降）へ更新してください。更新に加えて、WordPress管理画面の「UpdraftPlus Backups」→「高度な設定（Advanced Tools）」→「UpdraftCentral」から、既存の連携キーを手動で確認・削除することが強く推奨されています（更新だけでは既存のキーが残る場合があるため）。
また、見覚えのない管理者・編集者アカウントや、見覚えのないプラグインが追加されていないかを確認し、該当する場合はバックドアが設置された可能性を前提に、侵害前のバックアップからの復元や関連パスワードの変更を検討してください。
teamupdraft.comで使用していたパスワードを他のサービスでも使い回している場合は、そちらの変更も推奨されます。自社で開発を依頼している制作会社がある場合は、対応状況の確認を依頼するのも一つの方法です。
なお、本件は報道時点でも被害範囲の推定やキー無効化の対象範囲について情報源間で差異があり、状況が変化し得ます。最新の情報は開発元TeamUpdraftの公式発表や、下記の参照元を直接ご確認いただくことをおすすめします。
参照元
- Patchstack: Stolen UpdraftCentral Keys Are Backdooring WordPress Sites
- The Hacker News: Attackers Abuse UpdraftCentral Keys to Backdoor WordPress Sites
- BleepingComputer: Stolen UpdraftCentral keys used to backdoor WordPress sites
- InMotion Hosting: UpdraftCentral Connection Key Compromise – What WordPress Site Owners Should Do Now
Hikosachiについて
Hikosachiは、WordPressサイトを標的としたサイバー攻撃を検知・遮断するセキュリティサービスです。
本件のような「正規の認証情報が盗まれて悪用される」タイプの事案そのものを防ぐことはできませんが、侵害後にサイトへの不審なアクセス（管理画面やログインページへの異常なアクセス等）が発生した場合の検知・遮断にお役立ていただけます。
サイトのセキュリティ対応に不安がある場合は、WordPressの保守・開発を専門とするアイネクシオ合同会社へのご相談もご検討ください。
