サイトの部品

WordPress のバックアップ部品 UpdraftPlus、盗まれた鍵でサイトに裏口

WordPress のバックアップの部品 UpdraftPlus を作る TeamUpdraft のサイトが 10 月 17〜18 日に不正に入られ、遠隔管理（UpdraftCentral）の接続の鍵が盗まれたとみられております。その鍵を使って、つながっていた WordPress のサイトに裏口（あとから入るための隠れた入り口）が仕込まれたと報じられております。

分野: サイトの部品
報じた媒体: 8
最初の報道: 10月19日
最新の報道: 10月25日

何が怖いのか

自分では何も間違えていないのに、使っていた部品の会社の鍵が盗まれたことで、自分のサイトに入られます。UpdraftCentral を使っていなくても、有効な鍵が残っていれば対象になり得るとされております。
裏口から管理者の権限を取られると、サイトの訪問者を偽のページへ誘う、会員の情報を抜く、といったことができてしまいます。部品を更新しても、すでに仕込まれた裏口は消えません。

あなたは関係ありますか

こんな方	確かめること
UpdraftPlus を入れた WordPress のサイトを持っている方	UpdraftCentral の接続の鍵が残っていないか。見覚えのない利用者（管理者・編集者）やプラグインが増えていないか
制作会社にサイトを任せている方	制作会社に、この件の確認と対応を頼んだか

使っているみなさまが、いますぐなすべきこと

サイトを任せている会社に、この件を確かめてもらう。

作っている・管理しているみなさまが、いますぐなすべきこと

UpdraftCentral の接続の鍵を、まず消す（消さないと、掃除したあとにまた入られる恐れがございます）。
見覚えのない利用者とプラグインを探して消し、管理者のパスワードを全部変えて、ログイン中の状態をすべて切る。
何か見つかったら、10 月 17 日より前のバックアップから戻す。UpdraftPlus は最新の版へ更新する。

備えに使える道具

作り直した管理者のパスワードは、パスワード管理の道具の保管庫へ。WordPress の管理画面は、物理キーかパスキーでの 2 段階認証にしておきます。

パスワード管理の道具は、なぜ要るのか →1 つの流出を、ほかのサービスに広げない。偽サイトでは自動で入力しない
物理キー（セキュリティキー）は、なぜ要るのか →パスワードが盗まれても、手元の鍵がなければ入れない

みなさまの報告

対象だった方、対処を終えた方は押してください。数が、まだ気づいていない人へのお知らせになります。

報道（8本）

Rank Math PRO Backdoor, Updraft Keys: 2 Attacks [2026]https://tech-insider.org/10/25
UpdraftCentral Incident: Stolen Connection Keys Used to Backdoor WordPress Sites. Update UpdraftPlus and Delete Old KeysRescana10/23
Hackers Exploit Stolen UpdraftPlus Keys to Install Malware on WordPress WebsitesCyber Press10/21
UpdraftPlus WordPress Plugin Security Breach Enables Backdoor AttacksSearch Engine Journal10/21
Attackers Abuse UpdraftCentral Keys to Plant Backdoors on WordPress SitesThe Hacker News10/21
Hackers Exploit Compromised UpdraftCentral Keys to Install Malicious Plugins on WordPress SitesGBHackers News10/21
Stolen UpdraftCentral keys used to backdoor WordPress sitesBleepingComputer10/20
Stolen UpdraftCentral Keys Backdoor WordPress SitesCyber Kendra10/19

本文は、本観測所が報道の見出しで確かめられたことだけをまとめたものでございます。版や期間などの細かな条件は、必ず開発元・提供元の公式の発表でご確認ください。報道の一覧は 1 時間ごとに取り直しております。