チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「バックアップにUpdraftPlusを使っているけど、うちのサイトは大丈夫なの？」
「プラグインの脆弱性じゃないなら、更新しても防げないの？」
チップスボス、UpdraftPlusの開発元が侵害されて、WordPressサイトにバックドアが入れられたでしゅ！
ボスTeamUpdraftの件だな。
顧客データベースから、遠隔管理サービスUpdraftCentralの接続キーが盗まれた。
チップスプラグインの穴じゃないんでしゅか？
ボスそうだ。
正規の鍵で署名された命令だから、サイト側から見れば正しい指示に見える。
だからこそ厄介なんだ。
WordPressの保守を楽にする遠隔管理の仕組みは、鍵が漏れると攻撃者にとっても便利な入口になります。
この記事では、TeamUpdraftの公式発表とPatchstackの分析をもとに、侵害の経緯と攻撃の仕組み、サイト管理者が確かめたい点を整理します。
3行で分かるニュースのポイント
攻撃の仕組みが分かれば、管理画面のどこを見ればよいかもはっきりするはずです。
オススメ求人・フリーランス案件
【AIエージェント・セキュリティ・ガバナンス検討支援】愛知県・名古屋（基本リモート）／要件定義・ガバナンス設計
【社内インフラ・M365セキュリティ施策の推進】東京・赤坂（常駐）／Entra ID・Intune・ゼロトラスト
【セキュリティ運用体制の改善・推進】東京・勝どき（常駐）／運用・コンサルティング
【ISMS認証取得支援・PMO（3拠点）】東京都（赤坂駅・リモート併用）／セキュリティマネジメント
【大手企業のセキュリティ推進・脆弱性診断対応】東京都・田町（常駐）／脆弱性レポート・情シス業務
【大手リユース企業のSOC/CSIRT運用・インシデント対応】東京都・飯田橋（リモート併用）／EDR・SIEM・運用自動化
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【年収600～1000万円】IT人材紹介企業での社内SE（セキュリティ・ガバナンス）
プロダクトセキュリティエンジニア【AWS・GCP】年収650～1000万
【700～900万】セキュリティ診断テックリード
役員直下｜コーポレートIT・セキュリティ責任者候補【627～908万円】
今回の侵害は、プラグインの欠陥ではなく、開発元のサイトから鍵が漏れたことで起きました。
TeamUpdraftによると、2026年10月17〜18日の週末にteamupdraft.comへの不正アクセスを確認しました。
同社は顧客データベースにアクセスされたとみており、そこに含まれていた情報は以下の通りです。
カード情報は保存しておらず、決済はStripeとPayPalが処理しています。
プラグイン本体と配布ファイルは影響を受けておらず、自前でホストするUpdraftCentralも対象外です。
Patchstackの観測では、バックドアの設置は10月18日15時32分から19日9時23分（UTC）までの間に、幅広いサイトで行われました。
TeamUpdraftは、19日に公開したUpdraftPlus 1.26.13と2.26.13で古い接続キーを無効にし、この経路を塞いだと説明しています。
WordPress.orgがこの更新を利用者に配信しており、手動で更新しなくても適用されるとしています。
BleepingComputerは、UpdraftCentralなどのキーを持つ利用者を全体の約1割と見積もり、約40万サイトが影響を受けうると報じています。
攻撃の速さや、当初のバックドアに欠陥があったことから、TeamUpdraftは攻撃者がAIで攻撃を加速させた可能性を指摘しています。
チップス更新で塞がったなら、もう安心でしゅね！
ボス塞いだのは入口だけだ。
すでに入れられたバックドアやアカウントは、更新しても残る。
鍵を持つ者の命令をそのまま実行する仕組みが、攻撃者にそのまま使われました。
Patchstackによると、UpdraftCentralに接続したサイトは、管理側の秘密鍵で署名された命令を、接続を作ったユーザーの権限で実行します。
個々の命令を人が承認する仕組みはありません。
攻撃者は盗んだ鍵で命令を送り、WordPress標準のインストーラーでバックドアのプラグインを入れて有効化しました。
バックドアの特徴は以下の通りです。
Patchstackは99種類のプラグイン名を確認しており、「Site Health Cache」という名前が繰り返し使われています。
どのサンプルにも「Small maintenance toolkit: keeps option storage tidy.」という同じ説明文が入っていました。
TeamUpdraftは、UpdraftCentralを使うサイトについて、各サイトの管理画面に直接ログインして点検するよう求めています。
Premium版の利用者には、UpdraftCentralを使ったことがなくても、不審な動きがないか確かめるよう呼びかけています。
優先して行いたいことは以下の通りです。
バックドアのプラグインは、エラーを直すと動き出すため、修理せずに削除するようPatchstackは注意しています。
ボス管理者一覧だけ見て安心するな。
編集者の顔をした管理者が紛れている。
TeamUpdraftは2026年10月17〜18日にteamupdraft.comへの不正アクセスを確認し、UpdraftCentralなどの接続キーが盗まれたとみています。
攻撃者は盗んだキーで接続先のWordPressサイトにバックドアのプラグインを入れ、Patchstackは99種類の名前を確認しました。
UpdraftCentralの接続キーがあるサイトやPremium版を使うサイトの管理者は、最新版への更新と接続キーの削除に加えて、覚えのないアカウントやプラグインがないかを確かめることが大切です。
ボス遠隔管理の鍵は、サイトの合鍵と同じだ。
使っていない鍵は捨てておけ。
チップスうちのサイトのユーザー一覧とプラグインを、全部見直しましゅ！
オススメ求人・フリーランス案件
【AIエージェント・セキュリティ・ガバナンス検討支援】愛知県・名古屋（基本リモート）／要件定義・ガバナンス設計
【社内インフラ・M365セキュリティ施策の推進】東京・赤坂（常駐）／Entra ID・Intune・ゼロトラスト
【セキュリティ運用体制の改善・推進】東京・勝どき（常駐）／運用・コンサルティング
【ISMS認証取得支援・PMO（3拠点）】東京都（赤坂駅・リモート併用）／セキュリティマネジメント
【大手企業のセキュリティ推進・脆弱性診断対応】東京都・田町（常駐）／脆弱性レポート・情シス業務
【大手リユース企業のSOC/CSIRT運用・インシデント対応】東京都・飯田橋（リモート併用）／EDR・SIEM・運用自動化
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【年収600～1000万円】IT人材紹介企業での社内SE（セキュリティ・ガバナンス）
プロダクトセキュリティエンジニア【AWS・GCP】年収650～1000万
【700～900万】セキュリティ診断テックリード
役員直下｜コーポレートIT・セキュリティ責任者候補【627～908万円】
