WordPress の定番バックアッププラグイン UpdraftPlus に、深刻な認証バイパスの脆弱性 CVE-2026-10795 が公開されました。約 300 万サイトが導入しており、すでに実際の攻撃も観測されています。本記事は UpdraftPlus を入れている WordPress サイトの運営者・制作会社向けに、(1) 自分のサイトが対象かの確認、(2) すぐやるべき更新、(3) 侵害の痕跡チェック、(4) 再発防止の運用を、コピペできる形でまとめます。攻撃の再現手順は扱わず、守る側の対処だけに絞ります。
どんな脆弱性か(概要)
UpdraftPlus には、別サービス UpdraftCentral から遠隔操作を受け付けるための通信機能(RPC)が同梱されています。今回の問題は、この通信の署名検証(本物の指示かどうかの確認)が回避できてしまう実装上の不備です。具体的には、メッセージ形式の検証が不十分で、復号結果のチェック漏れにより暗号鍵が予測可能な全ゼロに化けるケースがあり、結果として ログインしていない第三者(未認証) が管理者になりすました遠隔指示を通せてしまいます。
成立すると、攻撃者は管理者権限で実行される操作(例:不正なプラグインのアップロードと有効化)を通じて、**最終的にサイトの乗っ取り(リモートコード実行)**まで到達し得ます。バックアップという「いざという時の保険」が、逆に侵入経路になってしまう構図です。
| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-10795 |
| 種別 | 認証バイパス → リモートコード実行(CWE-347 署名検証不備) |
| CVSS v3.1 | 8.1(High)/ ベクタ AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 影響 | 未認証で管理者なりすまし・サイト乗っ取り |
| 対象バージョン | 無料版 ≤ 1.26.4 / 有料版(Premium)2.x ≤ 2.26.4 |
| 修正版 | 無料版 1.26.5 / 有料版 2.26.5 以降 |
| 状況 | 実環境での悪用が観測されている(早急な対応が必要) |
出典(一次情報):
- NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-10795
- 開発元 TeamUpdraft の告知: https://teamupdraft.com/blog/important-security-update-for-updraftplus-and-updraftcentral-users/
ポイント:未認証(誰でも到達可能)かつ実際に悪用されているという 2 点で、優先度は最上位クラスです。「まだ被害が出ていないから後で」では間に合わないタイプの脆弱性です。
Step 1: 自分のサイトが対象か確認する
まず入っているかどうか、入っているなら何バージョンかを確認します。
管理画面で見る場合:WordPress 管理画面 →「プラグイン」→ インストール済みプラグイン一覧で UpdraftPlus WordPress Backup Plugin のバージョンを確認します。
WP-CLI が使えるサーバなら、SSH でまとめて確認できます。
# UpdraftPlus が入っているか・バージョンと更新の有無を確認
wp plugin get updraftplus --field=version
wp plugin list --name=updraftplus --fields=name,status,version,update,update_version
update が available で、version が 1.26.4 以下(有料版なら 2.26.4 以下)なら影響ありです。サーバ上のファイルから直接読みたい場合は、プラグインのヘッダを確認します。
# プラグイン本体のヘッダから Version 行を確認(パスは環境に合わせる)
grep -m1 "Version:" wp-content/plugins/updraftplus/updraftplus.php
複数サイトを管理している場合は、ホスト単位で横断確認しておくと取りこぼしを防げます。
# 管理対象の各ドキュメントルートを回してバージョンを一覧化する例
for d in /var/www/*/public_html; do
echo "== $d =="
wp --path="$d" plugin get updraftplus --field=version 2>/dev/null || echo " (UpdraftPlus なし or WP-CLI 不可)"
done
Step 2: すぐやること — 修正版へ更新
対象バージョンだった場合、最優先で修正版へ更新します。更新前にバックアップ(DB + ファイル)を取り、可能ならステージングで動作確認してから本番に適用するのが理想ですが、本件は実攻撃が出ているため、本番更新を過度に先送りしない判断が重要です。
# 更新前に念のため現状を退避(DB ダンプ + プラグインディレクトリ)
wp db export "backup-$(wp option get blogname | tr ' ' '_')-pre-update.sql"
tar czf updraftplus-pre-update.tgz wp-content/plugins/updraftplus
# UpdraftPlus を最新へ更新(無料版は 1.26.5 以降になる)
wp plugin update updraftplus
# 反映後のバージョン確認(1.26.5 / 2.26.5 以上であること)
wp plugin get updraftplus --field=version
管理画面から更新する場合は「プラグイン」→ UpdraftPlus の「更新」リンクから適用し、適用後に再度バージョン表示が 1.26.5(または 2.26.5)以上になっていることを必ず目視確認してください。
有料版(Premium)を使っている場合は、ライセンス紐付けのため管理画面側からの更新が確実です。自動更新が止まっているサイトでは、修正版が降ってこないことがあるため、後述の自動更新設定もあわせて見直します。
どうしてもすぐ更新できない事情がある場合の緊急回避として、UpdraftCentral を使っていないサイトは UpdraftPlus を一時的に停止することで攻撃面を下げられます。ただしこれは応急処置であり、恒久対策は修正版への更新です。停止中はスケジュールバックアップも止まる点に注意してください。
Step 3: 侵害されていないかの痕跡チェック
実攻撃が出ている脆弱性のため、「更新したから安心」で終わらせず、すでに踏まれていないかを確認します。攻撃が成立した場合、不正な管理者ユーザーの追加や、見覚えのないプラグインの設置が典型的な痕跡です。
# 1) 想定外の管理者ユーザーが増えていないか
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
# 2) 見覚えのない・出所不明のプラグインが無いか
wp plugin list --fields=name,status,version
# 3) 最近書き換えられたファイルを洗い出す(直近2日以内に変更されたPHP)
find wp-content -name "*.php" -mtime -2 -printf "%TY-%Tm-%Td %TH:%TM %p\n" | sort
身に覚えのない管理者アカウント、停止したはずのプラグイン、wp-content/uploads 配下に紛れ込んだ .php ファイルなどが出てきた場合は、侵害の可能性があります。その際は安易に削除して証拠を消さず、まず当該サイトを一時的に非公開(メンテナンス)にし、クリーンなバックアップからの復元・全パスワードと認証情報の再発行・ホスティング事業者への連絡、といった手順で対応してください。判断に迷う規模なら、専門業者やインシデント対応窓口への相談を推奨します。
Step 4: 同じ被害を繰り返さない運用
UpdraftPlus に限らず、プラグイン由来の乗っ取りを防ぐ運用は共通です。
1. 重要プラグインは自動更新を有効に(セキュリティ修正の取りこぼし防止)。
# UpdraftPlus を自動更新の対象にする
wp plugin auto-updates enable updraftplus
# 自動更新の有効/無効状況を一覧で確認
wp plugin list --fields=name,status,auto_update
ただし「全部 ON」は予期せぬ不具合の原因にもなるため、バックアップ・セキュリティ系など影響の大きいものを優先しつつ、更新後に表示崩れがないかを定期的に確認する運用が現実的です(自動更新の方針は別記事で詳述しています)。
2. 使っていない連携機能は無効化する。今回の入り口は UpdraftCentral 連携でした。リモート管理機能を使っていないなら、有効化したままにせず接続を解除しておくと攻撃面が減ります。
3. WAF / 仮想パッチを併用する。更新を即時適用できない時間帯の保険として、レンタルサーバや CDN の WAF を有効にしておくと、既知の攻撃パターンを手前で弾けることがあります。
4. 棚卸しを定期化する。管理者ユーザー・有効プラグイン・最終更新日を月次で確認し、不要なプラグインは削除(無効化だけでなくファイルごと削除)します。導入数が少ないほど、こうした脆弱性に振り回される機会も減ります。
まとめ
- CVE-2026-10795 は UpdraftPlus の未認証認証バイパスで、**サイト乗っ取り(RCE)**まで至り得る深刻な脆弱性。実攻撃も観測済み。
- 対象は無料版 ≤ 1.26.4 / 有料版 ≤ 2.26.4。1.26.5 / 2.26.5 以上へ即更新する。
- 更新だけで終わらせず、不審な管理者ユーザー・プラグイン・最近変更されたファイルを確認する。
- 恒久対策は重要プラグインの自動更新・未使用連携の無効化・WAF・定期棚卸し。
関連記事
自社サイトのセキュリティヘッダや TLS、公開状態などの外形的なチェックは、Webサイトを9つの守りでまるごと守る「サイトドック」の月次の定期健診でまとめて確認できます → https://sitedock.jp