バックアップ用プラグイン「UpdraftPlus」を開発するTeamUpdraftは、10月17〜18日の週末に自社サイトteamupdraft.comへの不正アクセスを確認したと、10月19日に公表しました。顧客データベースが見られたとみられ、そこにはクラウド版UpdraftCentralの接続キーも含まれています。
UpdraftCentral（クラウド版）でサイトをつないでいる人は、今日のうちに各サイトでの作業が必要です。teamupdraft.comのアカウントは持っているがUpdraftCentralは使っていない人は、パスワードの変更が中心になります。
まず自分がどれに当てはまるか
- クラウド版UpdraftCentralでサイトを管理している：下の「UpdraftCentral（クラウド版）を使っている人の手順」を、つないでいるすべてのサイトで行います。
- teamupdraft.comのアカウントはあるが、UpdraftCentralは使っていない：teamupdraft.comのパスワードを変更します。UpdraftVaultやUpdraftCloneを使っている場合は、後半の項目も確認します。
- 無料版UpdraftPlusだけを使い、teamupdraft.comのアカウントを持っていない：TeamUpdraftは「対応は不要」としています。ただし、プラグインは最新版に更新しておくよう勧めています。
- 自分のサーバーで動かすセルフホスト版UpdraftCentralを使っている：TeamUpdraftは影響を受けないとしています。
TeamUpdraftが公表した内容
TeamUpdraftによると、アクセスされたとみられる顧客データベースには次の情報が入っていました。
- 氏名、メールアドレス、請求先住所、注文履歴
- アカウントのパスワード（ハッシュ化した形のみで、平文では保存していない）
- 2段階認証の設定
- UpdraftCentral、UpdraftVault、UpdraftCloneの接続キー
カード情報は保存しておらず、カード決済はStripeとPayPalが処理しています。UpdraftPlusプラグイン本体とそのダウンロードは影響を受けていません。Google Drive、Dropbox、Amazon S3など、利用者が自分で用意した保存先に送ったバックアップも影響を受けていないとしています。
UpdraftCentralの接続キーは、つないだサイトに命令を送れるキーです。エックスサーバーは10月20日の注意喚起で、漏れた接続キーを使って不正なプラグインを入れられるおそれがあると説明しています。
TeamUpdraftがすでに行った対応
- 侵入経路をふさぎ、原因となった弱点を修正した
- teamupdraft.comのすべてのアカウントをログアウトさせた
- UpdraftPlus 1.26.13（無料版）と2.26.13（Premium版）を公開した。この版は、10月18日22時（英国夏時間。日本時間では10月19日6時）より前に作られたUpdraftCentralの接続を自動で切る
- すべてのサイトをUpdraftVaultから切り離し、新しい認証情報を発行した
- UpdraftCloneのクライアントキーをすべて差し替えた
- 英国の個人情報保護の監督機関（ICO）などに報告した
TeamUpdraftは10月20日に公式ページを更新し、不正アクセスはすでに解消しており、1.26.13と2.26.13によって接続キーを使った経路は止まったと説明しています。そのうえで、各サイトに不審な動きがないかは確認するよう求めています。
UpdraftCentral（クラウド版）を使っている人の手順
TeamUpdraftが示している手順を、つないでいるサイトごとに行います。普段あまり触っていないサイトも対象です。作業はUpdraftCentralを経由せず、各サイトのWordPress管理画面に直接ログインして行います。
1. UpdraftPlusを最新版に更新する
無料版は1.26.13以降、Premium版は2.26.13以降に更新します。TeamUpdraftの手順の欄は1.26.12（Premium版2.26.12）以降としていますが、同じページの「すでに行った対応」と10月20日の更新では、古い接続を切る版を1.26.13と2.26.13としています。WordPress.orgの変更履歴では、1.26.12で古い接続キーを無効にする処理が入り、1.26.13でその処理が正しくかかるように直されています。エックスサーバーの注意喚起も、無料版1.26.12以下とPremium版2.26.12以下を影響を受けるバージョンとしています。そのため、1.26.12で止まっているサイトも更新が必要です。
2. UpdraftCentralの接続キーを削除する
管理画面の「設定 → UpdraftPlus → 高度なツール → UpdraftCentral」を開き、接続キーを削除します（エックスサーバーの注意喚起では「詳細ツール」と書かれています）。エックスサーバーは、ここにある接続キーをすべて削除するよう案内しています。
3. 見覚えのない管理者アカウントがないか確かめる
「ユーザー」の一覧で、管理者権限を持つアカウントを確かめます。見覚えのないものがあれば削除します。
4. 見覚えのないプラグインがないか確かめる
「プラグイン」の一覧を確かめます。「必須」（英語の画面では Must-Use）のタブが表示されている場合は、そこも見ます。見覚えのないものがあれば削除します。
5. 管理者のパスワードを変更する
そのサイトにある管理者アカウントすべてのパスワードを変更します。
6. 不審な点があれば、10月17日より前のバックアップに戻すことを検討する
手順3や4で不審なものが見つかった場合、TeamUpdraftは10月17日より前に取ったバックアップからの復元を検討するよう勧めています。復元する前に、手元にその日付より前のバックアップが残っているかを確かめておきます。
そのサイトにUpdraftCentral経由でアクセスされていた場合は、念のため、バックアップの保存先（Google Drive、Dropbox、Amazon S3など）の連携をやり直し、保存先のアクセスキーも変更するよう求めています。
7. UpdraftCentralにつなぎ直す
ここまで終わったら、サイトをUpdraftCentralにつなぎ直します。TeamUpdraftによると、この手順でつなぎ直したサイトは、更新によって再び切断されることはありません。
WP-CLIを使う場合
TeamUpdraftとエックスサーバーの手順は、どちらも管理画面での操作です。WP-CLIが使える環境では、手順1・3・4を次のコマンドでも行えます。
手順1：入っているバージョンを確かめます。
wp plugin get updraftplus --field=version無料版は、次のコマンドでWordPress.orgから更新できます。
wp plugin update updraftplus手順3：管理者権限を持つアカウントの一覧を出します。登録日時もあわせて見ると、最近増えたアカウントに気づきやすくなります。
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered手順4：プラグインの一覧と、必須プラグイン（Must-Use）の一覧を出します。
wp plugin list
wp plugin list --status=must-useteamupdraft.comのアカウントを持っている人全員がすること
- teamupdraft.comのパスワードを変更する。メールのリンクからではなく、ブラウザにteamupdraft.comと入力してサイトを開く
- 同じパスワードをほかのサービスでも使っている場合は、そちらも変更する
- teamupdraft.comで2段階認証を使っている場合は、「My Account」で設定し直す
- TeamUpdraftを名乗る予想外のメールに注意する。TeamUpdraftは、パスワードや接続キーをメールで尋ねることはないとしています
UpdraftVault・UpdraftCloneを使っている人
UpdraftVaultは、すべてのサイトの接続が切られています。つなぎ直すまで、バックアップはVaultに届きません。各サイトの「設定 → UpdraftPlus → 設定」で保存先のUpdraftVaultを選び、teamupdraft.comのメールアドレスと新しいパスワードで接続します。変更を保存したら、手動でバックアップを1回取り、Vaultに届くことを確かめます。
UpdraftCloneは、クライアントキーがすべて差し替えられ、古いキーは使えなくなっています。クライアントキーを作ったことがなければ対応は不要です。自分の顧客にキーを渡している場合は、「My Account → UpdraftClone → UpdraftClone Key Management」から新しいキーをコピーして渡し直します。
今日の作業の確認リスト
- UpdraftPlusが1.26.13以降（Premium版は2.26.13以降）になっている
- UpdraftCentralの古い接続キーを削除した
- 見覚えのない管理者アカウントとプラグイン（「必須」のタブを含む）がない
- 管理者のパスワードを変更した
- 10月17日より前のバックアップが手元にある
- teamupdraft.comのパスワードを変更した
管理者アカウントが増えていないかの確かめ方は、OttoKit（旧SureTriggers）の脆弱性の記事にも載っています。バックアップをいくつ、どこに残すかは、バックアップ3-2-1ルールの記事を参照してください。
参考にした公式情報
- TeamUpdraft：TeamUpdraft security incident: What customers need to know（2026年10月19日公開、10月20日更新）
- WordPress.org：UpdraftPlus プラグインページ
- WordPress.org：UpdraftPlus 変更履歴
- エックスサーバー：【重要】WordPressプラグイン「Updraftplus」の運営元への不正アクセスによる「UpdraftCentral」の接続キー（秘密鍵情報）流出に関する注意喚起について（2026年10月20日）
- WP-CLI：wp plugin get
- WP-CLI：wp plugin update
- WP-CLI：wp plugin list
- WP-CLI：wp user list
コメント