更新（2026/10/28）： 公開時点の記事にCVE-IDがなく、影響条件の説明が不正確でした。CVE-2026-10795の公式情報（NVD・開発元TeamUpdraftの告知と更新履歴）に合わせて全面的に直しました。また、公式が示していないWebサーバー設定例は削除しました。
WordPressのバックアップ・移行プラグイン「UpdraftPlus: WP Backup & Migration Plugin」に、認証なしの攻撃者が管理者として操作を実行できる脆弱性（CVE-2026-10795）があります。無料版は1.26.5で修正されており、1.26.4以前を使っている場合はすぐに更新してください。
今すぐやること
- ✓WordPress管理画面の「プラグイン」でUpdraftPlusのバージョンを確認し、無料版は1.26.5以降へ更新する（有料版は2.26.5以降）
- ✓UpdraftCentralのプラグインを使っている場合は、0.8.32以降へ更新する
- ✓ライセンス切れなどで更新できない場合は、開発元が配布している公式のホットフィックス（updraftplus-hotfix-jun2026）を導入する。入手先と手順は、参考ソースのTeamUpdraft告知に書かれている。修正版へ更新したあとは削除してよい
- ✓見覚えのない管理者ユーザーや、見覚えのないプラグインがないかを確認する
- ✓不審なプラグインや管理者が見つかったら、サイトを保守担当者またはレンタルサーバー事業者に相談し、パスワードとサーバーの認証情報の変更も行う
このスコアは、NVDに掲載されているCVE採番元（Wordfence）の評価です。2026年10月28日時点で、NIST自身の評価は付いていません。CVSSの版や評価元によって数値が変わりうるため、最新値はNVDのページで確認してください。
何が起きる脆弱性か
NVDの説明によると、UpdraftPlusのリモート通信処理（UpdraftPlus_Remote_Communications_V2::wp_loaded）で、メッセージ形式の検証が不十分です。署名の検証を回避でき、復号の失敗が予測可能な暗号鍵になってしまうため、認証なしの攻撃者が偽のRPCコマンドを作り、接続済みの管理者として実行できます。たとえば悪意あるプラグインをアップロードして有効化し、最終的にサーバー上で任意のコードを実行（RCE）される可能性があります。
影響を受けるサイトと修正版
- ▸影響を受けるバージョン：無料版UpdraftPlusの1.26.4以前（NVDの記載）。開発元は、UpdraftPlusとUpdraftCentralの過去10〜11年ほどのバージョンが影響を受けるとしている
- ▸修正版：UpdraftPlus無料版1.26.5、有料版2.26.5以降、UpdraftCentralプラグイン0.8.32以降（開発元の告知）
- ▸プラグイン開発元の更新履歴によると、問題の影響を受けるのは、有効なMigratorキー（有料版のみ）またはUpdraftCentralキー（無料版・有料版）があるサイトです
公開当初の記事は「Migratorキー（有料機能）があるサイトが対象」とだけ書いていましたが、無料版でもUpdraftCentralキーを作っていれば対象になります。UpdraftCentralを使っていない場合でも、更新は必須と考えてください。
公開当初の記事には、/wp-admin/ へのアクセスをIPアドレスで絞るNginx設定例を載せていました。これは開発元やCVEの情報にある対策ではなく、今回の脆弱性を防げる根拠もないため削除しました。公式が示す対策は、修正版への更新、または公式ホットフィックスの導入です。
攻撃の状況について
公開当初の記事にあった攻撃件数は、一次情報で確認できないため削除しました。2026年10月28日時点で、CISAの悪用が確認された脆弱性カタログ（KEV）に本CVEは載っていません。KEVに載っていないことは、攻撃がないことを意味しません。数字を追うより、更新済みかどうかで判断してください。
📦