TeamUpdraftに不正アクセス―WordPress遠隔管理の接続キーを無効化

TeamUpdraftは2026年10月19日、17〜18日に自社サイトへの不正アクセスを確認したと公表しました。20日の更新では、遠隔管理サービスUpdraftCentralの接続キーを無効化するUpdraftPlus更新版を公開し、この経路からのアクセスを遮断したと説明しています。

同社は、顧客の氏名、メールアドレス、ハッシュ化パスワード、各サービスの接続キーを含むデータベースがアクセスされたとみています。UpdraftCentralのキーは、接続したWordPressサイトへ命令を送れるため、顧客アカウントのパスワード変更だけでは対処が完了しません。

利用者にはUpdraftPlus 1.26.13（無料版）または2.26.13（有料版）以降への更新と、各サイトの管理者・プラグインの点検を案内しています。更新前の侵入は別途確認が必要です。

プラグイン本体や配布ファイルへの改ざんではなく、提供元サイト側の侵害です。セルフホスト版UpdraftCentralは対象外としています。同社アカウントのパスワード変更と、設定済みの二要素認証の再設定も求めています。