WordPressの定番バックアッププラグイン「UpdraftPlus」に緊急の脆弱性、ログインなしで管理者権限を奪われるおそれ（CVE-2026-10795）
ひとことで言うと：300万件以上のサイトで使われているバックアッププラグイン「UpdraftPlus」に、特定の機能を有効にしていると、ログインなしで管理者権限を乗っ取られるおそれがある不具合（CVE-2026-10795）が見つかりました。いわば、倉庫のバックアップ金庫を遠隔操作するための暗証番号チェックが、確認に失敗したときに「000000」という工場出荷時の初期番号で開いてしまう作りになっていた、という話です。2026年6月5日に修正版（1.26.5）が公開されています。すべての導入サイトが対象というわけではありませんが、対象条件に当てはまる場合は影響が大きい問題です。
何が起きたか
UpdraftPlusは、WordPressでサイトのバックアップを取るために広く使われているプラグインです。いわば、サイトのデータを守る倉庫のバックアップ金庫のような存在です。セキュリティ企業Wordfenceによると、このプラグインが外部からの遠隔操作命令（RPCコマンド）を受け取る仕組みに不具合（CVE-2026-10795）があり、本来は暗号化・署名の確認で守られているはずの命令チェックを回避できる状態になっていました。
Wordfenceの技術解説によると、命令の復号に失敗した場合に、本来は拒否すべきところを「全てゼロ」という推測可能な鍵で処理を続けてしまう作りになっていたとされています。金庫の暗証番号チェックが、照合エラーのときに拒否ではなく「0000」のような推測しやすい初期番号を正解として受け付けてしまう、というイメージです。この不具合を悪用すると、ログインなしの第三者が、管理者権限で実行される命令を偽造できてしまい、悪意のあるプラグインのアップロード・有効化などを経て、サイトを乗っ取られるおそれがあるとされています。
ただし、この不具合が実際に悪用できるのは、すべてのUpdraftPlus導入サイトではありません。Wordfenceの記載によると、対象となるのは、プラグインの遠隔管理機能「UpdraftCentral」のキー、または有料版（Premium）の「Migrator」キーが有効になっているサイトです。金庫そのものに遠隔操作の口を取り付けていなければ、この暗証番号チェックの出番自体がない、ということです。バックアップ目的でプラグインを入れているだけで、これらの連携機能を使っていない場合は、今回の不具合の直接の対象にはならないとされています。Wordfenceは、公表後24時間で8,000件以上の攻撃をブロックしたとも報告しています。
なお、脆弱性の深刻度についてはWordfenceがCVSS 9.8（緊急）と評価しているのに対し、NVD（米国の脆弱性データベース）に連携した記録ではCVSS 8.1（重要）とする評価も見られ、評価元によって差があります。本記事ではいずれの数値も確定した唯一の評価として扱わず、両方を紹介しています。
誰に関係するか
- UpdraftPlus（無料版・有料版（Premium）とも）を使っていて、遠隔管理機能「UpdraftCentral」や有料版の「Migrator」機能を有効にしている方
- 自分では設定した記憶がなくても、制作会社が初期設定でこれらの機能を有効にしている可能性がある方
UpdraftPlusは300万件以上のサイトで使われているとされる非常に利用者の多いプラグインです。対象条件に当てはまらない場合でも、金庫の鍵は新しいものに替えておくに越したことはない、というのと同じで、古いバージョンを使い続けること自体は別のリスクにつながるため、更新をおすすめします。
何をすべきか
1. バージョンを確認し、今すぐ更新する
WordPress管理画面の「プラグイン」一覧で、UpdraftPlusのバージョンが1.26.5より前であれば、今すぐ最新版に更新してください。有料版（Premium）を使っている場合も、同じく1.26.5以降への更新が必要です。
2. UpdraftCentral・Migrator連携を使っていないか確認する
UpdraftPlusの設定画面で、遠隔管理（UpdraftCentral）や移行（Migrator）の連携キーを発行した記憶がないか確認してください。使っていない連携機能であれば、無効化しておくとより安全です。金庫に付けた遠隔操作の口自体を塞いでしまうようなイメージです。判断がつかない場合は、制作・管理会社に確認を依頼してください。
3. 管理を委託している場合は委託先に確認する
自分でプラグインの更新作業をしていない場合は、制作会社・保守会社がすでに対応済みかどうかを問い合わせてください。
よくある質問
UpdraftPlusを入れているだけで危険ですか？
この不具合は、UpdraftPlusの「UpdraftCentral」という遠隔管理機能のキー、または有料版の「Migrator」キーが有効になっているサイトが対象です。ただインストールしてバックアップに使っているだけで、これらの機能を使っていない場合は、今回の不具合の直接の対象にはならないとされています。ただし古いバージョンを使い続けること自体にリスクがあるため、更新は必要です。
どのバージョンが対象ですか？
無料版・有料版（Premium）ともに、2026年6月5日公開の1.26.5より前のバージョンが対象です。1.26.5以降に更新すれば修正が適用されます。
何をすればいいですか？
WordPress管理画面のプラグイン一覧でUpdraftPlusのバージョンを確認し、1.26.5より前であれば今すぐ更新してください。管理を委託している場合は、制作会社・管理会社に更新済みか確認を依頼してください。
参考にした公開情報
CVSS評価は情報源によって9.8（Wordfence）・8.1（NVD連携記録）と差があり、本記事ではいずれも確定した単一の評価として記載していません。この記事は公開情報をもとに、セキュリティ担当がいない方にも分かるよう編集部がまとめたものです。個別のサイトの安全を保証するものではありません。