WordPressのバックアップ用プラグイン「UpdraftPlus」を開発するTeamUpdraftは、2026年10月19日（英国時間）、自社サイトteamupdraft.comへの不正アクセスを公表しました。顧客データベースが見られたとみられ、氏名やメールアドレス、ハッシュ化されたパスワードに加え、複数のサイトをまとめて管理する「UpdraftCentral」（クラウド版）の接続キーなども含まれています。レンタルサーバーのロリポップも10月21日に注意喚起を出し、流出した接続キーを使って不正なプラグインを入れられるおそれがあるとしています。UpdraftCentralにサイトをつないでいる人は、修正版への更新と接続キーの削除を急ぐ必要があります。
この記事の要点
- TeamUpdraftが、10月17〜18日の週末にteamupdraft.comへの不正アクセスを見つけたと公表しました。
- 流出したおそれがあるのは、氏名、メールアドレス、請求先住所、注文履歴、ハッシュ化されたパスワード、二段階認証の設定、UpdraftCentral・UpdraftVault・UpdraftCloneの接続キーです。カード情報は保存していないとしています。
- プラグイン本体と配布ファイル、Google DriveやDropboxなど外部に保存したバックアップは影響を受けていないと運営元は説明しています。自前で運用するUpdraftCentralも対象外です。
- ロリポップは、流出した接続キーで不正なプラグインを入れられるおそれがあるとして、UpdraftCentralを使っている人に早めの対策を呼びかけています。
- UpdraftCentral（クラウド版）につないでいる人は、UpdraftPlusを無料版1.26.13／プレミアム版2.26.13以上に更新し、接続キーを削除し、知らない管理者やプラグインがないか確かめ、管理者のパスワードを変えましょう。
何が起きたか
| 項目 | 内容 |
|---|---|
| 公表 | 2026年10月19日（英国時間）。TeamUpdraftが公式ブログで公表。最終更新は10月20日16時25分（英国時間、日本時間10月21日0時25分） |
| 発覚 | 10月17〜18日の週末に、teamupdraft.comへの不正アクセスを確認 |
| 流出したおそれがある情報 | 氏名、メールアドレス、請求先住所、注文履歴／アカウントのパスワード（ハッシュ化した形のみで、平文では保存していない）／二段階認証の設定／UpdraftCentral・UpdraftVault・UpdraftCloneの接続キー |
| 流出していないとされるもの | カード情報（決済はStripeとPayPalが処理し、TeamUpdraftは保存していない） |
| 影響しないとされるもの | UpdraftPlusのプラグイン本体と配布ファイル／Google Drive、Dropbox、Amazon S3など、自分で用意した保存先に送ったバックアップ／自前で運用するUpdraftCentral |
| 運営元の対応 | 侵入経路をふさぎ、全アカウントをサインアウト。UpdraftPlusの修正版を公開し、古いUpdraftCentralの接続を自動で切断。UpdraftVaultは全サイトの接続を切って新しい認証情報を発行し、UpdraftCloneのキーもすべて差し替え。英国の個人情報保護当局（ICO）などに報告 |
運営元によると、不正アクセスに気づいたあと夜通しで対応し、侵入経路をふさいで全アカウントをサインアウトさせ、影響を受けたおそれのあるキーや認証情報を差し替えました。UpdraftPlusの修正版では、英国時間10月18日22時（日本時間10月19日6時）より前に作られたUpdraftCentralの接続を自動で切断し、古いキーが使えないようにしています。
10月20日の追記では、ほかのメディアで「攻撃が続いている」と報じられていることにふれ、不正アクセスはすでに解消しており、英国時間10月19日22時過ぎ（日本時間10月20日6時過ぎ）に公開した修正版（1.26.13／2.26.13）で接続キーを無効にしたため、その経路からのアクセスはふさがれたと説明しています。そのうえで、サイトに不審な動きがないかは引き続き確かめるよう求めています。
影響を受けるサイト
とくに注意が必要なのは、UpdraftCentral（クラウド版）にサイトをつないでいる場合です。運営元は、UpdraftCentralの接続キーはつないだサイトに命令を送れるものだとして、該当する人には当日中の対応を求めています。ロリポップも、漏れた接続キーを使って不正なプラグインをインストールされるおそれがあるとしています。
| 使っているもの | 影響と対応 |
|---|---|
| UpdraftCentral（クラウド版）にサイトをつないでいる | 最も注意が必要。次の「読者がすぐすること」の手順を、サイトごとにすぐ行う |
| teamupdraft.comのアカウントを持っている | パスワードを変える。同じパスワードをほかで使っていればそれも変える。二段階認証を使っていれば設定し直す |
| UpdraftVault（運営元のクラウド保存先） | 全サイトの接続が切られたため、つなぎ直すまでバックアップがVaultに届かない |
| UpdraftClone | 古いキーは使えなくなった。キーを作ったことがなければ対応は不要 |
| UpdraftPlusを使っているが、上のどれも使っていない | プラグイン本体と外部に保存したバックアップは影響しないとされる。最新版への更新は運営元も勧めている |
| 自前で運用するUpdraftCentral | 影響しないとされる |
ロリポップの注意喚起
ロリポップは10月21日、「【注意喚起】WordPressプラグイン「UpdraftPlus」で確認された運営元への不正アクセスについて」を出しました。対象を「UpdraftPlus」の「UpdraftCentral」機能とし、対象のバージョンを無料版1.26.12以下・プレミアム版2.26.12以下、修正版を無料版1.26.13・プレミアム版2.26.13としています。そのうえで、修正版以上への更新と、管理画面の「設定」→「UpdraftPlus」→「詳細ツール」→「UpdraftCentral」からの接続キーの削除を案内しています。
修正版の番号について
運営元のお知らせでは、修正版の番号が2通り書かれています。冒頭の追記と「運営元がしたこと」では無料版1.26.13／プレミアム版2.26.13とされている一方、UpdraftCentral利用者向けの手順では「1.26.12（無料版）または2.26.12（プレミアム版）以降に更新する」と書かれています。
WordPress.orgで公開されているUpdraftPlusの変更履歴では、10月19日付で1.26.12が「事件より前に作られたUpdraftCentralのクラウド用キーを無効にする」セキュリティ更新、続く1.26.13が「1.26.12での無効化を正しく適用する」修正とされています。ロリポップも1.26.12以下を対象、1.26.13を修正版としています。更新するなら、無料版は1.26.13以上、プレミアム版は2.26.13以上にしておくと確実です。なお、プレミアム版の番号は無料版より先頭の数字が1大きく、変更内容は同じだと変更履歴で説明されています。
読者がすぐすること
UpdraftCentral（クラウド版）にサイトをつないでいる場合
運営元が案内している手順です。つないでいるサイトごとに行います。普段は管理していないサイトも忘れずに更新してください。
- UpdraftCentralを経由せず、そのサイトのWordPress管理画面に直接ログインする
- UpdraftPlusを、無料版1.26.13以上、プレミアム版2.26.13以上に更新する（上の「修正版の番号について」を参照）
- 「設定」→「UpdraftPlus」→「詳細ツール」→「UpdraftCentral」を開き、接続キーを削除する
- 「ユーザー」を開き、見覚えのない管理者アカウントがないか確かめ、あれば削除する
- 「プラグイン」を開き、「使用必須（Must-Use）」のタブが見える場合はそこも含めて、見覚えのないものがないか確かめ、あれば削除する
- そのサイトのすべての管理者アカウントのパスワードを変える
- 不審な点が見つかった場合は、10月17日より前に取ったバックアップからの復元を検討する
- 必要なら、改めてUpdraftCentralにつなぎ直す
運営元は、UpdraftCentral経由でサイトにアクセスされていた場合は、念のためバックアップの保存先（Google DriveやDropboxなど）の連携をやり直し、保存先のアクセスキーも変えるよう勧めています。
teamupdraft.comのアカウントを持っている場合
- teamupdraft.comのパスワードを変える。メールのリンクからではなく、ブラウザにteamupdraft.comと入力してアクセスする
- 同じパスワードをほかのサービスでも使っている場合は、そちらも変える
- 二段階認証を使っている場合は、「My Account」で設定し直す
- TeamUpdraftを名乗る不審なメールに注意する。運営元は、パスワードやキーを尋ねることはないとしている
UpdraftVaultを使っている場合
全サイトの接続が切られているため、つなぎ直すまでバックアップはUpdraftVaultに届きません。「設定」→「UpdraftPlus」→「設定」の保存先でUpdraftVaultを選び、新しいパスワードで接続し直したうえで、手動でバックアップを取って動くか確かめてください。
今後の予定
運営元は調査を続けており、お知らせを更新することがあるとしています。新しい情報が出た場合は、この記事に追記します。
