何が起きたか
バックアップのプラグイン「UpdraftPlus」（300 万サイト超）に、過去に遠隔管理の画面（UpdraftCentral）とつないだことがあるサイトで、ログインなしで管理者として命令を実行できる脆弱性がありました（CVE-2026-10795。Wordfence の評価 CVSS 9.8 ／ NVD 8.1）。
さらに 10 月 19 日には、UpdraftCentral の正規の鍵を使って不正なプログラムを入れる攻撃が報告されました（Patchstack）。これはプラグイン自体の脆弱性ではないとされています。
対象と修正版
- 対象: 無料版 1.26.4 以下、有料版 2.26.5 以下
- 修正版: 1.26.5
確認すること
- UpdraftPlus を最新版に更新する
- 使っていない UpdraftCentral の接続（鍵）を削除する
- 見覚えのない編集者・管理者アカウントがないか確かめる
出典
ご自身での確認が難しい場合
公開されている情報の範囲で状況を確認し、ご確認いただきたい点を 1 枚にまとめて無料でお送りします。