UpdraftPlus運営元で情報漏えい　自社サイトへの影響と必要な対策

UpdraftPlus(アップドラフトプラス)の運営元で情報漏えいに関する発表があり、自社のバックアップやホームページも影響を受けるのか気になっている方もいるでしょう。確認の出発点は、プラグインの無料・有料の区分とあわせて、遠隔管理サービス「UpdraftCentral」につないでいるかどうかです。

2026年10月21日時点では旧接続キーを無効化する修正版が公開されていますが、更新だけで既存の不審な変更までなくなるとは限りません。運営元アカウント、サイトの遠隔接続、バックアップの保存先を順に確かめると、自社と保守会社が行う作業を分けられます。

UpdraftPlusの情報漏えいで何が起きたか

UpdraftPlusの運営元TeamUpdraftは、2026年10月17〜18日に自社サイトへの不正アクセスを検知したと説明し、10月19日に利用者向けの発表を公開しました。同社は顧客データベースにアクセスされたと考えており、アカウントの保護と関連サービスの接続情報の更新を進めたとしています。

対象となる情報と、プラグイン本体への影響

このデータベースには、氏名・メールアドレス・請求先住所・注文履歴のほか、ハッシュ化されたパスワードや二要素認証の設定、UpdraftCentral・UpdraftVault・UpdraftCloneの接続キーが含まれるとされています。パスワードが平文のまま保存されていたという説明ではありませんが、アカウント保有者には変更が求められています。

一方、運営元はUpdraftPlusプラグイン本体と配布ファイルは影響を受けていないと説明しています。この発表だけで自社サイトの顧客情報の流出まで判断することはできず、サイト側への侵入があったかは個別に調べる必要があります。

出典:TeamUpdraft「TeamUpdraft security incident: What customers need to know」(英語)

UpdraftPlus利用サイトへの影響は接続状況で分かれる

UpdraftPlusを使っている場合は、UpdraftCentralのクラウド版への接続と、TeamUpdraftアカウントの有無から確認しましょう。接続キーは、遠隔の管理画面から自社サイトへ操作を送るための認証情報なので、普段バックアップ画面しか使っていなくても確認を省かないことが大切です。

利用形態ごとに確認する作業

利用状況	必要な対応
Central クラウド版	接続キーの削除 更新とサイト点検
運営元 アカウントあり	パスワード変更 二要素認証の再設定
Vault保存	再接続 保存成功の確認
Clone キー作成歴あり	新キーへの交換
アカウントなし 無料版のみ	Cloud未接続なら 公式は追加対応不要

無料版のUpdraftPlusでもUpdraftCentralにつないでいれば確認が必要で、「無料版だから対象外」と一律に判断しないでください。保守会社が接続しているケースも考えられるため、社内に利用の記憶がなければ、管理を任せている担当者に接続状況を聞くところから始めます。

国内ではXServerビジネスも10月20日に注意喚起を出し、接続キーの削除・再作成などの対策を求めています。対象バージョンには無料版とPremium版の両方が挙げられており、料金プランだけで確認対象を外すことはできません。

出典:XServerビジネス「WordPressプラグイン『Updraftplus』の運営元への不正アクセスによる『UpdraftCentral』の接続キー(秘密鍵情報)流出に関する注意喚起について」

なお、運営元は自社で設置・管理するセルフホスト版UpdraftCentralは今回の事案の影響を受けないとしています。これはクラウド版で起きた今回の事案についての説明であり、古いプラグインを更新せずに使い続けてよいという意味にはなりません。

UpdraftPlusとUpdraftCentralで先に行う対策

UpdraftCentralのクラウド版を利用しているサイトでは、サイト自身のWordPress管理画面へ直接ログインして接続を解除し、更新と点検を進めることが基本です。複数サイトがある場合は、普段更新していないサイトも含めて一覧にし、作業漏れを防ぎます。

サイト側でUpdraftCentralの接続キーを削除する

WordPressの「設定」→「UpdraftPlus」→「高度なツール」→「UpdraftCentral」を開き、既存の接続キーを確認して削除します。英語表示では「Advanced Tools」、XServerビジネスの注意喚起では「詳細ツール」と書かれているため、画面の表記が異なる場合は保守担当者に該当設定を確認してもらいましょう。

この作業では、TeamUpdraftアカウントのパスワード変更と、サイト側の接続解除を別々に実施します。キーを残したままパスワードだけ変えても、遠隔接続の点検を済ませたことにはならないためです。

出典:TeamUpdraft「How to disconnect a site from UpdraftCentral」(英語)

1.26.12で止めず、旧キー無効化の修正版へ更新する

2026年10月21日時点で、旧キー無効化の修正版として確認できるのは、無料版1.26.13・Premium版2.26.13です。WordPress.orgの変更履歴には、1.26.12のキー無効化を正しく適用する修正が1.26.13に入ったと記載されており、1.26.12への更新だけを完了の基準にしないようにします。

更新する際はWordPressの正規の更新機能や運営元の正規配布元を利用し、作業後に表示される版番号を記録してください。作業する時点でさらに新しい安定版があれば、その修正内容を確認して更新先を判断することになります。

出典:WordPress.org「UpdraftPlus: WP Backup & Migration Plugin」の変更履歴(英語)

普段から更新が行われているか分からない場合は、WordPressの脆弱性に対して更新済みか調べる順番も参考になります。今回のキー削除とあわせて、誰が更新し、結果をどこへ残すかを決めておくと、その後の確認も続けやすくなるでしょう。

不審な利用者・プラグインとパスワードを点検する

UpdraftPlusを更新した後も、WordPressのユーザー一覧とプラグイン一覧を見直します。公式は見覚えのない管理者アカウントやプラグインに加え、表示される場合は「Must-Use」欄のプラグインも確認するよう案内しており、通常の一覧だけで終わらせない点が見落としやすいところです。

サイト側では全管理者アカウントのパスワード変更も進め、TeamUpdraft側はパスワードを変更し、二要素認証を使っている場合はMy Accountで設定し直します。同じパスワードを他でも使っていた場合はそちらも変更し、変更後の情報を担当者同士で共有する方法も見直してください。

その際、復旧を装うメールにパスワードや接続キーを渡さないようにし、運営元の正規ドメインを自分で入力して確認する方法を取りましょう。連絡の見分け方に迷う場合は、フィッシング・迷惑メールを防ぐための基本対策から、社内で統一する対応を決めておけます。

UpdraftVault・UpdraftCloneの接続も確認する

UpdraftPlusの保存先にUpdraftVaultを使っている場合は、接続し直すまで新しいバックアップがVaultへ届かない点を先に押さえてください。運営元が全サイトの接続を解除して新しい認証情報へ切り替えたため、サイトが通常どおり表示されていても保存状況の確認が欠かせません。

Vaultは再接続後に手動バックアップを確かめる

WordPressの「設定」→「UpdraftPlus」→「設定」からリモートストレージのUpdraftVaultを選び、「すでにスペースをお持ちの場合」(英語表示では「Already got space?」)の「接続」へ進みます。TeamUpdraftのメールアドレスと変更後のパスワードでつなぎ直した後は、「変更を保存」を押してから「今すぐバックアップ」で手動バックアップを実行しましょう。

接続完了の表示に加え、バックアップ処理の結果と、保存先に新しいデータが届いた日時を確かめると、送信停止の見落としを減らせます。再認証後も保存が失敗する場合は、保存先の設定や空き容量などを順に点検する流れになります。

出典:TeamUpdraft「How to fix UpdraftPlus failed backups」(英語)

Cloneのキーと、自社の外部保存先も分けて扱う

UpdraftCloneのクライアントキーを過去に作成したことがあれば、My Accountの「UpdraftClone」→「UpdraftClone Key Management」で新しいキーを確認し、自社や取引先の利用箇所へ反映します。キーを作成していなければ、今回の交換作業は行いません。

つまり、UpdraftPlusのバックアップをGoogle Driveなどへ保存しているという理由だけで、対応が終わるわけではありません。遠隔接続を使っていたか、サイトへの侵入があったかを確認したうえで、保存先の認証を変更する範囲を担当者と決めます。

UpdraftPlus利用サイトに不審な変更があったときの対応

UpdraftPlus利用サイトで見覚えのないユーザー・プラグインや動作の異常が見つかった場合は、古い接続の解除とあわせて、記録を残して調査を依頼することを優先します。原因が分からないまま表示だけを直してしまうと、何が起きたかを後から追いにくくなるためです。

復元する前に、変更内容と業務データを残す

保守会社へは異常に気づいた日時、対象URL、変更された利用者・プラグインの名前、管理画面の表示を伝え、操作ログやファイル変更の記録も確保してもらいましょう。キーの値やパスワードそのものを報告文に貼る必要はありません。

公式は、不審なものが見つかった場合に10月17日より前に取得したバックアップからの復元を検討するよう案内しています。ただし、そのまま復元すると、その後に入った注文・問い合わせなどのデータが失われる場合があります。

また、プラグインの更新や削除だけで、すでに行われた不正な変更まで消えたと判断しないことも必要です。WordPressで更新後に確認する不審な変更の考え方は、別の事案でも更新と点検を分けて進めるための参考になります。

保守会社に依頼する確認項目と完了の基準

UpdraftPlusの管理を外注している場合は、「影響がないか見てほしい」という依頼に加えて、接続状況・実施作業・点検結果・バックアップ成功の記録まで報告してもらうと、社内でも対応状況を説明しやすくなります。自社で分かるサイト名と管理担当を添え、次のように依頼できます。

そのまま依頼に使える確認文

UpdraftPlus運営元の情報漏えいについて、当社サイトでのUpdraftCentralクラウド版・UpdraftVault・UpdraftCloneの利用状況をご確認ください。

該当する場合は、古い接続キーの削除、UpdraftPlusの更新、利用者とプラグインの点検、必要な認証情報の変更をお願いします。

あわせて、対象サイト、作業後の版番号、不審な変更の有無、追加調査の要否、バックアップ保存先と最終成功日時をご報告ください。

復元や業務データに影響する操作が必要な場合は、実施前に対象範囲をご連絡ください。キーやパスワードの値は報告に含めないでください。

この依頼は確認すべき内容を伝える文例なので、契約に含まれる作業と、追加調査になる作業の範囲も確かめてください。線引きが不明なら、ホームページ保守会社へ頼める作業と契約範囲をもとに、調査・更新・復元の担当を具体化できます。

作業後に報告を受ける項目

• 対象サイトごとに接続キーの確認・解除結果が記録されている
• 更新後のUpdraftPlusの版番号と作業日時が分かる
• 利用者・プラグインの点検結果と、追加調査が残るかが分かる
• 必要な認証情報の変更と、再接続するサービスの確認が済んでいる
• バックアップ保存先と最終成功日時を確認できる

これらがそろっていても、調査中の項目が残っていれば「完了」と「継続確認」を分けて記録します。今回だけの対応で終わらせず、ホームページの基本的なセキュリティ対策とあわせて、更新担当・認証情報の管理者・バックアップ確認の頻度を決めておくとよいでしょう。

UpdraftPlusの情報漏えいに関するよくある質問

接続キーとバックアップ保存先の確認まで進める

UpdraftPlusの情報漏えいへの対応は、運営元アカウント、遠隔接続、自社サイト、保存先の状態を確かめる作業です。まず管理担当者とUpdraftCentralの利用状況を確認し、該当するサイトでは接続解除・更新・点検を進めてください。