WordPress向けバックアップ製品を提供するTeamUpdraftは、2026年10月17〜18日に自社サイトへの不正アクセスを確認したと公表しました。攻撃者はUpdraftCentralクラウド版の接続キーを悪用し、接続先のWordPressサイトに管理者アカウントを作成したり、不正なプラグインを導入したりしていました。
10月21日の追加案内では、UpdraftCentralを使ったことがないUpdraftPlus Premium利用者にも、不審なプラグインや管理者の確認を求めています。
顧客情報と接続キーに不正アクセス
同社は、顧客データベースにアクセスされたとみています。保存情報には氏名、メールアドレス、請求先住所、注文履歴、ハッシュ化したパスワード、2要素認証の設定、UpdraftCentral・UpdraftVault・UpdraftCloneの接続キーが含まれます。カード情報は保存していないと説明しています。
UpdraftCentralのクラウド版は、接続キーでWordPressサイトへ管理命令を送れます。今回はこの接続が悪用されました。
TeamUpdraftによると、UpdraftPlusプラグイン本体とダウンロード配布物、利用者が自分のサーバーで運用するセルフホスト版UpdraftCentralは今回の影響対象外です。
更新状況とサイト内の管理者・プラグインを確認
同社は10月19日22時過ぎ(英国夏時間。日本時間20日6時過ぎ)、旧接続キーを削除する無料版1.26.13、Premium版2.26.13を公開しました。WordPress.orgからも更新が配信されています。各サイトの管理画面で、修正版以降になっているか確認してください。
ただし、Nethembaは、1.26.13でも一部の古いキーが残ると指摘しています。Nethembaは、更新後も「設定 → UpdraftPlus → Advanced Tools → UpdraftCentral」で既存キーを確認し、削除するよう勧めています。管理サービスの一覧からサイトを外すだけでは、サイト内のキーは消えません。
UpdraftCentralを使った覚えがなくても、無料版・Premium版ともにteamupdraft.comアカウントの接続画面でCentralへの登録が初期状態で選ばれているため、キーが作られている場合があるとNethembaは説明しています。プラグインを導入しただけではキーは作られません。
Patchstackが調べたバックドアには、編集者と表示されながら設定変更やプラグイン導入の権限を持つアカウントを作るものがあります。このアカウントはプラグインを除去しても残るため、管理者以外のユーザーと追加権限も確認してください。発見者のNethembaは、一覧に出ない不正プラグインや、既存の管理者としてログインする亜種も報告し、ファイルとアクセスログの確認手順を公開しています。
同社は接続先サイトでの被害範囲を調査中です。次の確認とアカウント保護を案内しています。
- 見覚えのないユーザーやプラグインがないか確認する。プラグイン画面に「Must-Use」の欄がある場合は、そこも調べる。
- 不審なプラグインは管理画面から削除せず、無効化してWebルート外へ移す。痕跡を残すためのPatchstackとNethembaの案内です。
- 不正なユーザーを除去し、WordPress管理者のパスワードを変更する。不審な点があるサイトでは、開発元の案内に沿って10月17日より前のバックアップからの復元も検討する。
- teamupdraft.comのパスワードを変更する。同じパスワードを使っている他サービスも変更し、設定済みの2要素認証を再設定する。
UpdraftVault利用者はバックアップの再接続も必要
同社はUpdraftVaultの全サイト接続を解除し、認証情報を更新しました。再接続するまでVaultへのバックアップは届きません。WordPressのUpdraftPlus設定から再接続し、手動バックアップで動作を確認してください。
UpdraftCloneのクライアントキーも交換されました。開発元は、キーを発行・共有している利用者に、アカウント画面から新しいキーを取得し、利用先を切り替えるよう案内しています。
Google Drive、Dropbox、Amazon S3など、自分で用意した外部ストレージへのバックアップ自体は影響を受けないと説明されています。ただし、UpdraftCentral経由でサイトにアクセスされた場合は、外部ストレージの再認可とアクセスキーの変更も行うよう案内しています。
コメント