UpdraftCentral経由でWordPress不正侵入｜TeamUpdraft公式発表と利用者が確認すべきこと

WordPressのバックアッププラグイン UpdraftPlus を開発するTeamUpdraftは、2026年10月18日に teamupdraft.comへの不正アクセスを検知したと公表しました。

さらに調査の結果、攻撃者が侵害された接続キーを悪用し、UpdraftCentralにつながっていた一部WordPressサイトへアクセスして、管理者アカウントの作成や悪性プラグインのインストールを行ったことが確認されています。

ただし、ここで重要な点があります。

UpdraftPlusプラグイン本体や公式ダウンロードファイルがマルウェア化された、という事件ではありません。

TeamUpdraft公式は、UpdraftPlus本体と配布物は影響を受けていないと説明しています。今回問題になったのは、TeamUpdraft側のWebサイト・顧客データと、UpdraftCentralなどの接続キーです。

この記事はTeamUpdraftが2026年10月19日に公開し、10月22日まで更新している公式インシデント情報とWordPress.orgのUpdraftPlus changelogをもとに整理しています。調査は継続中で、影響範囲が今後更新される可能性があります。

先に結論

10月17〜18日の週末、teamupdraft.comに不正アクセスが発生しました
TeamUpdraftは顧客データベースへアクセスされたとみています
UpdraftCentralの接続キーが悪用され、一部WordPressサイトで不審な管理者アカウント作成・悪性プラグイン導入が行われました
UpdraftPlus本体や公式ダウンロードファイルが改ざんされたわけではありません
UpdraftPlus 1.26.13 / Premium 2.26.13 では、問題のあった古いUpdraftCentral接続キーの失効処理が適用されています
UpdraftCentral利用者は、WordPress側で不審ユーザー、プラグイン、Must-Use plugins、ログを確認する必要があります
teamupdraft.comアカウント利用者はパスワード変更と2FA再設定が推奨されています
TeamUpdraftは、攻撃の速さなどからAIが攻撃を加速した可能性を示唆していますが、これは同社の分析であり、AI利用が独立して確定したという意味ではありません

何が起きたのか

TeamUpdraftによると、10月17〜18日の週末にteamupdraft.comへの不正アクセスを確認しました。

同社はアクセス経路を閉じ、全アカウントをサインアウトさせ、影響を受けた可能性のあるキーや資格情報を交換しています。

10月21日の追加情報では、攻撃者が侵害されたキーを使ってTeamUpdraft側へアクセスしたことが確認されたとしています。

さらに、UpdraftCentralとユーザーサイトを接続する仕組みが悪用され、

管理者アカウントの作成
不審・悪性プラグインのインストール
その他のWordPress側操作

が行われたケースがあると説明しています。

影響を受けたサイトの総数など、全体の範囲は現時点では確定していません。

顧客データベースにもアクセスされた可能性

TeamUpdraftは、顧客データベースへアクセスされたとみています。

公式発表では、データベースに含まれる情報として次が挙げられています。

氏名
メールアドレス
請求先住所
注文履歴
ハッシュ化されたアカウントパスワード
2要素認証（2FA）の設定情報
UpdraftCentral / UpdraftVault / UpdraftCloneの接続キー

一方、クレジットカード情報はTeamUpdraft側で保管していないとしています。決済はStripeやPayPalが処理しているためです。

UpdraftPlus本体が侵害されたわけではない

今回の件は、WordPressプラグインのサプライチェーン攻撃と混同しやすい事件です。

しかしTeamUpdraftは、

UpdraftPlusプラグイン自体
UpdraftPlusの公式ダウンロード
Google Drive、Dropbox、Amazon S3などユーザー自身の外部ストレージへ保存されたバックアップ

については、今回の不正アクセスによる直接の影響を受けていないとしています。

ただし、UpdraftCentral経由でWordPressサイト自体へ侵入された場合は、そのサイトからアクセス可能だった外部ストレージ資格情報なども念のため変更・再認証するよう案内されています。

UpdraftCentralの接続キーが重要

UpdraftCentralは、複数のWordPressサイトをまとめて管理できる機能です。

そのため接続キーには、接続されたWordPressサイトへコマンドを送るための強い権限があります。

今回の事件では、この接続関係が攻撃者に悪用されました。

TeamUpdraftは、10月18日13:07 BSTより前に作成されたUpdraftCentral接続を無効化するため、UpdraftPlusの更新を配信しています。

1.26.13 / 2.26.13以降を確認

10月19日にUpdraftPlus 1.26.12 / Premium 2.26.12 が公開され、古いUpdraftCentral Cloudキーを失効させる処理が追加されました。

その後WordPress.orgのchangelogでは、1.26.13で1.26.12のrevocation処理を正しく適用する修正が行われたと記録されています。

TeamUpdraftの最新インシデント更新でも、10月19日に公開された 1.26.13 / 2.26.13 が古い接続キーを自動的に失効させる更新として案内されています。

そのため現在確認するなら、

Free：1.26.13以降
Premium：2.26.13以降

になっているかを見るのが分かりやすいです。

WordPressサイトで確認すること

UpdraftCentralを利用していた場合、プラグイン更新だけで終わらせず、WordPressサイト自体を確認します。

1. 不審なユーザー

WordPress管理画面の「ユーザー」を開き、作成した覚えのないアカウントがないか確認します。

TeamUpdraftは、特に見覚えのないeditor権限のアカウントが作成されているパターンも確認していると説明しています。

もちろんadministrator権限の不審アカウントも確認対象です。

2. 不審なプラグイン

「プラグイン」画面を確認し、導入した覚えのないプラグインがないか確認します。

可能なら Must-Use（mu-plugins） も確認します。

通常のプラグイン一覧だけを見て『何もないから安全』と判断しない方がよいでしょう。

3. ログ

Webサーバー、WordPressセキュリティプラグイン、ホスティング側などにログが残っている場合、不審なIPや管理画面操作がないか確認します。

4. 管理者パスワード

TeamUpdraftは、対象サイトの管理者アカウントのパスワード変更を案内しています。

特に不審なユーザーやプラグインが見つかった場合は、WordPressだけでなく、そのサイトからアクセス可能だった資格情報も含めて確認します。

teamupdraft.comアカウント利用者がすること

TeamUpdraftは、teamupdraft.comアカウントを持つユーザーへ次の対応を案内しています。

teamupdraft.comのパスワードを変更する
同じパスワードを他サービスで使い回している場合は、そちらも変更する
2FAを利用している場合は、My Accountから再設定する
TeamUpdraftを装ったフィッシングメールに注意する

公式は、パスワードやキーをメールで要求することはないとしています。

UpdraftVault / UpdraftClone利用者

UpdraftVaultについては、全サイトがいったん切断され、新しい認証情報へ切り替えられています。

利用者はWordPress側からUpdraftVaultへ再接続し、手動バックアップを実行して正常に動くか確認します。

UpdraftCloneでもクライアントキーが交換され、古いキーは利用できなくなっています。

self-hosted UpdraftCentralは対象外

TeamUpdraftは、self-hosted UpdraftCentralは今回の事件の影響を受けないとしています。

今回問題になったのはTeamUpdraft側クラウドサービスとの接続です。

無料版だけを使い、TeamUpdraftアカウントがない場合

TeamUpdraft公式は、無料のUpdraftPlusを利用していて、teamupdraft.comアカウントを持っていないユーザーについては、今回の件で特別な対応は必要ないとしています。

ただしプラグイン自体は常に最新版へ維持することを推奨しています。

「AIが攻撃を加速した可能性」とTeamUpdraftが説明

今回の件には、最近のサイバー攻撃トレンドとも重なる興味深い記述があります。

TeamUpdraftは10月21日の更新で、

侵害後の攻撃展開が非常に速かったこと
初期に使われたバックドアプラグインに不完全な部分があったこと

などから、攻撃者がAIを使って攻撃を加速した可能性があるとしています。

ただし、これはTeamUpdraftによる分析・推測です。

MicrosoftがStorm-0940の事例でAIエージェント「ARTEX」の利用を具体的に追跡したケースとは証拠の強さが異なるため、『今回もAI攻撃だったと確定』とまでは言えません。

最近のAIとサイバー攻撃については、こちらの記事でも整理しています。

AIがサイバー攻撃を「機械速度」に｜Microsoftが確認したStorm-0940とARTEXを解説

不審なものが見つかった場合

TeamUpdraftは、疑わしい変更が見つかった場合、10月17日より前に取得した安全なバックアップからの復元も選択肢として案内しています。

ただし復元するだけでは、侵害時に作成された認証情報や盗まれたキーが残る可能性があります。

そのため、

不審アカウント・プラグインの除去
管理者パスワード変更
必要なAPIキー・ストレージキーの変更
UpdraftCentralの再接続
ログ確認

までセットで考える必要があります。

まとめ

TeamUpdraftは2026年10月18日にteamupdraft.comへの不正アクセスを検知
顧客DBと接続キーが影響を受けた可能性
UpdraftCentral接続を悪用して、一部WordPressサイトへ実際に不正操作が行われた
UpdraftPlus本体や公式ダウンロードがマルウェア化された事件ではない
1.26.13 / 2.26.13以降を確認
不審なユーザー、editor/admin権限、通常プラグイン、Must-Use plugins、ログを確認
teamupdraft.comパスワード変更と2FA再設定も推奨
TeamUpdraftはAIによる攻撃加速の可能性を示唆しているが、確定事項として扱わない