UpdraftPlus の接続キー流出 ― エックスサーバーで止められたプラグインを再開するまで

2026年10月26日、エックスサーバーから「■重要■」と書かれたメールが届きました。
WordPress のバックアップ用プラグイン「UpdraftPlus」の運営元が不正アクセスを受け、接続キーが流出したという注意喚起です。
さらに、私のブログではこのプラグインがすでにエックスサーバー側で止められていました。

この記事では、メールの意味と、プラグインを安全に再開するまでの具体的な手順と留意点を説明します。
エックスサーバーで WordPress のブログを運営している私が、実際に行った手順を画面に沿って、初心者にもわかりやすく解説します。

このメールの難しさは、「パーミッション」「接続キー」など聞き慣れない言葉が並び、何をどの画面で操作すればよいのかがわかりにくい点でしょう。
但し、やることは順番に並べると数ステップです。
最低限のポイントを押さえれば落ち着いて対応できるので、同じメールを受け取った方はぜひ参考にしてください。

同じ日には、PHP の脆弱性「php2shell」への対応も記事にしています。
あわせてご覧ください。
→ PHPの重大な脆弱性「php2shell」― エックスサーバーのWordPressで確認したこと・やったこと

何が起きたのか

UpdraftPlus と UpdraftCentral

まず、メールに出てくる二つの名前を整理します。

• UpdraftPlus（アップドラフトプラス）：WordPress のブログの中身を定期的にコピーして保管する、バックアップ用のプラグインです。利用者の多い定番のプラグインです。
• UpdraftCentral（アップドラフトセントラル）：複数のサイトの UpdraftPlus を、離れた場所からまとめて操作できる「リモコン」のような機能です。

このリモコンを使うために、サイトごとに「接続キー」という合鍵を登録します。
今回は、その合鍵の情報を管理していた運営元が不正アクセスを受け、合鍵が外に持ち出されました。
合鍵を手に入れた第三者は、リモコン経由でブログに好きなプラグインを入れられるおそれがあります。

運営元の TeamUpdraft の発表によると、経緯は次のとおりです。

• 10月17〜18日：不正アクセスを発見し、封じ込め
• 10月19日：修正版を公開。古い接続キーは無効化
• 10月21日：流出したキーが実際に悪用されたことを確認

影響を受けるバージョン

• 無料版：1.26.12 以下
• Premium版：2.26.12 以下

修正版は無料版 1.26.13、Premium版 2.26.13 です。

但し、UpdraftCentral を一度も使ったことがないサイトは、合鍵そのものがないので、乗っ取られる危険は小さいと考えられます。
運営元も、アカウントを持たずに無料版を使っている人は対応不要としています。

エックスサーバーが行った緊急措置

エックスサーバーは、10月20日の時点で UpdraftPlus が最新版になっていなかったサイトを対象に、プラグインのフォルダの**パーミッションを「000」**に変更しました。

パーミッションとは、フォルダやファイルに対する「誰が開けて、読めて、書けるか」の許可設定です。
「000」は、誰も出入りできない状態を指します。たとえると、金庫番（UpdraftPlus）の部屋に、外から鍵をかけたようなものです。

• 良い点：危険なプラグインが動かないので、被害を防げます。
• 注意点：バックアップも止まります。私の場合も、10月20日からバックアップが取られていませんでした。

なお、この措置は「事後のご案内」として、メールで知らされました。
気づかないままにしておくと、バックアップが止まったままになる点に注意してください。

まずメールが本物かを確かめる

この種の「重要なお知らせ」は、偽メール（フィッシング）の題材にもなりやすいものです。
私は作業の前に、次の二つを確かめました。

1. エックスサーバーの公式サイトのお知らせ：10月20日付で同じ内容の注意喚起が載っていて、影響バージョンや確認する画面の場所もメールと一致していました。
2. 運営元 TeamUpdraft の公式ブログ：事件の経緯と修正版の公開が発表されていました。

また、メールにはアカウントID とサーバーID が正しく書かれていました。
それでも作業のときはメール内のリンクは使わず、ふだんのブックマークからログインしてください。

実施例：私のブログで行った対応

ここからは、私のブログで実際に行った手順です。
全体の流れは次の4ステップです。

1. フォルダの鍵を外す（パーミッションを戻す）
2. プラグインを最新版に更新し、有効化する
3. UpdraftCentral の接続キーが残っていないかを確認する
4. 手動でバックアップを取り、結果を確認する

ファイルマネージャでパーミッションを 755 に戻す

• 目的：止められたプラグインを、更新できる状態に戻すこと
• 使う画面：エックスサーバーの「ファイルマネージャ」（XServerアカウントの「ファイル管理」から入ります）

手順は次のとおりです。

1. 「（ドメイン名）→ public_html → wp-content → plugins」の順にフォルダを開きます。
2. 右上の「≡」アイコンで一覧表示に切り替えると、「権限」の列が見えます。
3. 他のプラグインの権限（私の場合は 755）を確認します。
4. 一覧で updraftplus の行を1回だけクリックして選び、上のメニューの「パーミッション変更」を押します。
5. 他のプラグインと同じ値（755）を入れて実行します。

図1：ファイルマネージャの一覧。updraftplus の権限が 755 に戻ったところ

ここで私がつまずいたのは、updraftplus のフォルダの中に入ってしまうと、右側が空のまま何も操作できないことです。
鍵がかかっているので中身が見えないのです。
その場合は、上のパンくずリストで一つ上の「plugins」に戻ってから操作してください。

なお、パーミッションを変えても「更新日時」の欄は変わりません。
変更できたかどうかは「権限」の欄で確かめてください。

プラグインを更新して有効化する

WordPress の管理画面で「プラグイン → インストール済みプラグイン」を開き、UpdraftPlus を更新してから有効化します。

UpdraftPlus の設定画面の上部に「バージョン: 1.26.13」と表示されていれば、更新は完了です。

UpdraftCentral の接続キーとログを確認する

次に、合鍵が登録されていないかを確認します。

1. 「設定 → UpdraftPlus」を開きます。
2. タブの「高度なツール」を押します。
3. 左側のメニューから「UpdraftCentral」を押します。

図2：UpdraftCentral の画面。「コントロールできる UpdraftCentral ダッシュボードはありません」の表示

メールでは「詳細ツール」と書かれていますが、私の画面では「高度なツール」という名前でした。
日本語訳の違いなので、同じものと考えてください。

私の場合は「現在、このサイトをコントロールできる UpdraftCentral ダッシュボードはありません。」と表示されていました。
これが「接続キーが0件」という意味です。

但し、修正版には古い接続キーを自動で消す働きがあります。
そのため、0件でも「もともと無かった」のか「更新で消えた」のかは、この表示だけでは区別できません。
そこで、同じ画面の一番下にある「UpdraftCentral の最近のログイベントを表示」も押してみました。
「（まだ何もありません）」と出たので、リモコンが使われた記録はないと判断しました。

もし接続キーやログが残っていた場合は、次の対応が必要です。

• 接続キーをすべて削除する
• WordPress の管理者パスワードを変更する
• 見覚えのない管理者ユーザーやプラグインが増えていないか確認する

手動バックアップと「警告」の正体

最後に、10月20日から止まっていたバックアップを手動で取りました。
「バックアップ / 復元」タブの「今すぐバックアップ」を押します。

結果は「バックアップは成功したようで（警告が発生）」という表示でした。
「警告」の文字に一瞬ひやりとしましたが、バックアップ一覧の「ログを表示」で中身を確認すると、原因は次のものでした。

• 「非常に大きなファイルが検出されました」が4件
• どれも、以前アップロードした約300MBの動画ファイル

図3：ログの警告部分

これは「大きな荷物があるので時間がかかりますよ」というお知らせで、ファイルはきちんとバックアップに含まれていました。
警告が出ても、まずログを見て内容を確認すれば、慌てる必要はありません。

なお、一覧で「ログを表示」のすぐ隣には「復元」と「削除」のボタンが並んでいます。
押し間違えないよう注意してください。

まとめ

エックスサーバーから届いた UpdraftPlus の注意喚起メールについて、その意味と、止められたプラグインを再開するまでの手順を説明してきました。

重要なポイントは次の三つです。

• メールが本物かを、公式サイトのお知らせで確かめてから作業する
• 「パーミッションを戻す → 更新 → 有効化」の順に進める
• UpdraftCentral の接続キーとログを確認し、使われた形跡がないかを見る

但し、UpdraftCentral を実際に使っていた方や、ログに見覚えのない記録があった方は、パスワードの変更や不審なユーザー・プラグインの確認まで進めてください。
様子がおかしい場合は、10月17日より前のバックアップからの復元も選択肢になります。

今回は、同じ日に PHP の脆弱性「php2shell」への対応も重なりました。
サーバーやプラグインの注意喚起は突然届きますが、仕組みと手順を理解して取り組めば、落ち着いて対応できるでしょう。

---

参考

• TeamUpdraft：Security incident – October 2026
• エックスサーバー：UpdraftCentral の接続キー流出に関する注意喚起（2026/10/20）
• エックスサーバー マニュアル：ファイルマネージャ