緊急 PHP2Shell：PHP 本体に認証不要の RCE 脆弱性が 2 件。修正版は 2026 年 10 月 21 日に公開済みです。 影響を確認する →
English お問い合わせ
← ニュース一覧

盗まれたUpdraftCentralの鍵でWordPressサイトにバックドア:UpdraftPlus 1.26.13へ更新し、鍵は手動で削除を

TeamUpdraftへの不正アクセス後、攻撃者は盗んだUpdraftCentral接続キーを使ってWordPressサイトにバックドアプラグインを設置しました。UpdraftPlus 1.26.13 / 2.26.13は古いキーの大半を無効化しますが、すべてではなく、すでに仕込まれたものは更新では消えません。

バックアッププラグイン「UpdraftPlus」(有効インストール数400万以上)の開発元TeamUpdraftは、2026年10月17日〜18日の週末にteamupdraft.comへの不正アクセスがあったことを認めました。同社は顧客データベースが流出した可能性が高いとしており、そこにはクラウド版リモート管理サービス「UpdraftCentral」の接続キー、さらにUpdraftVaultとUpdraftCloneのキーも含まれます。

UpdraftCentralのキーは、接続されたすべてのWordPressサイトに署名付きコマンドを送れます。そして攻撃者は実際にそれを使いました。

攻撃の内容

Patchstackによると、有効なUpdraftCentralキーを持つ攻撃者が、UpdraftPlusのリモートプロシージャコール経路(サイトのルートへの通常のPOSTリクエストで受け付ける)を通じて署名付きのplugin.upload_pluginコマンドを送信しました。WordPressは送られたプラグインをそのままインストールし、有効化しました。攻撃は10月18日から19日にかけて約18時間続きました。

最初に攻撃を検知したスロバキアのNethembaによれば、不正プラグインはすべてのリクエストで秘密のURLパラメータとトークンを確認し、編集者権限にmanage_optionsとinstall_pluginsを加えたアカウントを作成するバックドアです。後のバージョンでは完全な管理者アカウントを作成しました。重要なのは、作成されたアカウントはプラグインを削除してもWordPressに残るという点です。

Patchstackは99種類のバックドアプラグイン名を確認しています。これまでに公開された痕跡(IoC)の例:

  • Site Health Cache、Asset Forge 2、Content Helper、Wp Forge、Query Shelf、Nav Hub、Speed Desk、Link Latch、Feed Case などのプラグイン名。いずれも「Small maintenance toolkit: keeps option storage tidy.」という一文を含みます。
  • data-ops43、system_team850、web.tech988、cmseditor170、cms.tech644、web_mgr684 などのユーザー名(メールアドレスは多くが@example.com)。
  • 送信元IP:43.250.53.42 と 2a09:bac5:4e21:2e3c::49b:9。

修正版とその抜け穴

  • UpdraftPlus 1.26.12 / 2.26.12は機能しません。 NethembaとWPSecによると、この緊急リリースはバグにより一つもキーを削除しませんでした。
  • UpdraftPlus 1.26.13(無料版)/ 2.26.13(Premium版) は10月19日夜に公開され、WordPress.orgから自動配信されました。10月18日12:07(UTC)より前に作成されたUpdraftCentralクラウドのキーを削除します。
  • Nethembaによれば、10月18日12:07〜21:00(UTC) に作成されたキーは1.26.13でも削除されません。ベンダー自身はこれらも流出対象と見なしているため、手動で削除してください。
  • セルフホスト版UpdraftCentralは影響を受けません。Google Drive、Dropbox、S3など自分のストレージに保存したバックアップも無事です。

なお、この経路の問題は5か月で2度目です。6月に1.26.5 / 2.26.5で修正されたCVE-2026-10795では、キーなしでUpdraftCentralのコマンドを偽造できました。それより古いバージョンのサイトは両方の問題を抱えています。

影響を受けた各サイトでやるべきこと

TeamUpdraftのチェックリストです。UpdraftCentral経由ではなく、各サイトのWordPress管理画面に直接ログインして行ってください。

  1. UpdraftPlusが1.26.13 / 2.26.13以降であることを確認する。
  2. 「設定 > UpdraftPlus > 高度なツール > UpdraftCentral」で接続キーを削除する。
  3. 見覚えのない管理者・編集者アカウントを削除する。
  4. プラグイン一覧(「必須使用(Must-Use)」タブを含む)を確認し、不明なものを削除する。
  5. すべての管理者パスワードを変更し、アクセスされた形跡があればリモートストレージを再認証する。
  6. 侵害の兆候があれば、10月17日より前のバックアップからの復元を検討する。

teamupdraft.comのアカウントをお持ちの場合は、そのパスワードも変更し、2FAをリセットしてください。

なぜ重要か

プラグインを更新すれば入口は閉じますが、すでに侵入した者を追い出すことはできません。隠しアカウントやMust-Useプラグインは、通常の更新では残り続ける典型的な侵入の足場です。しかも今週は多くのサイトがPHP2Shellへの対応も同時に抱えています。

古いWordPressサイトを管理していて影響の有無がわからない場合、RescuePHPでは残存アカウントやバックドアの監査、PHPとプラグイン環境の更新をお手伝いできます。

出典:TeamUpdraftのインシデント告知、Nethembaの分析、The Hacker News、WPSec WPSEC-2026-1273