WordPressプラグインの脆弱性・続報2件（Duplicator・UpdraftPlus）と確認方法

※当社で保守を担当しているサイトに、今回の2件に該当するサイトはありませんので、ご安心ください。

2026年10月20日〜21日に、WordPressのプラグインについて、確認していただきたい情報が2件出ました。1件は移行・バックアップ用のプラグイン「Duplicator」の重大な脆弱性、もう1件は前回の記事でお伝えしたUpdraftPlus（UpdraftCentralの接続キーの流出）の続報です。

どちらも、プラグインを更新するだけでは対応が終わらない点に注意が必要です。

結論

• 危険度（CVSS）は10点満点で、8.8は「重要（High）」です。UpdraftPlusの件は脆弱性ではなく、開発元のサイトが不正アクセスを受けた事故のため、点数はついていません。
• Duplicatorは、更新する前に作った移行用パッケージを使わないでください。UpdraftPlusは、更新したあとも接続キーが残っていないかを確かめてください。

1. Duplicator（移行のときに発動する脆弱性）

Duplicatorは、サイト全体をひとまとめにした「パッケージ」を作り、別のサーバーへの引っ越し（移行）や複製、バックアップに使うプラグインです。無料のものと、有料のDuplicator Proがあります。

• どのような脆弱性か：ログインしていない第三者が、コメント欄から細工したデータを送り込めてしまう問題です（CVE-2026-82814）。コメントが「承認待ち」のままでも、データはサイトの中に残ります。
• いつ発動するか：そのあと管理者がパッケージを作り、そのパッケージで移行やインポートを行ったときに発動します。無料のものでは、サーバー上で不正な命令を実行されるおそれがあります。Proでは、サーバーのファイルを消されるおそれがあり、WordPressの設定ファイル（wp-config.php）を消されると、サイトを乗っ取られることにつながります。
• 発動しない場面：パッケージを作るだけ、保存しておくだけでは発動しません。一方で、コメント欄を閉じたり、承認制にしたりしても、対策にはなりません。
• 対応：5.0.0以降へ更新し、移行やインポートに使うパッケージは、更新したあとに作り直してください。

一番の注意：古い移行用パッケージは、更新しても安全にならない

パッケージの中には、移行先でサイトを組み立てるためのインストーラーが入っています。プラグインを5.0.0以降に更新しても、以前に作ったパッケージの中のインストーラーは、古いバージョンのままです。公表したWordfenceは、新しいバージョンのDuplicator Proでも、古いバージョンで作ったパッケージを読み込むと発動することを確かめています。

• 無料は1.5.17以下、Proは4.6.10以下で作ったパッケージは、移行やインポートに使わない
• サーバーやパソコンに保存している古いパッケージは、移行に使う予定があれば、更新後に作り直したものと入れ替える
• 近いうちに引っ越しや複製を予定している場合は、特に注意する

なお、修正された5.0.0は9月に公開されているため、自動更新を有効にしているサイトでは、すでに更新が済んでいることもあります。その場合も、それより前に作ったパッケージは作り直しが必要です。

2. UpdraftPlus（UpdraftCentralの接続キー）の続報

前回の記事でお伝えした、UpdraftCentral（複数のサイトをまとめて管理できるサービス）の「接続キー」が流出した件の続報です。UpdraftPlusを使っているだけでは当てはまりません。当てはまるのは、開発元のクラウドで動くUpdraftCentralに、サイトをつないでいた場合です。

• 古い接続キーを無効にする更新が、2回に分かれた：10月19日の無料1.26.12では、古い接続キーが実際には無効になっていませんでした。同じ日に1.26.13（Premiumは2.26.13）が出て、正しく無効になるよう直されています。1.26.12で止まっている場合は、1.26.13以降へ更新してください。
• 更新しても、自動では消えないキーがある：調査会社の報告によると、1.26.13で無効になるのは、日本時間の10月18日午後9時ごろより前に作られた接続キーです。それより後（10月19日午前6時ごろまで）に作られたキーや、サイトの移行用の「Migrator」のキーは残ります。更新したあとも、接続キーは手作業ですべて削除してください。
• 不正なプラグインを入れられた事例：流出したキーを使って、プラグインに見せかけた不正なプログラム（裏口）を入れられた事例が報告されています。更新しても、すでに入れられたものは消えません。下の「4.」の確認を行ってください。

接続キーの確かめ方と削除の場所は、前回と同じです。管理画面の「設定」の中にあるUpdraftPlusの画面で、「高度なツール」→「UpdraftCentral」を開き、「Manage existing keys」（既存のキーの管理）からキーをすべて削除します。アカウントをつないだときに初めから選ばれていることがあるため、覚えがなくても確かめてください。

お使いかどうかの確かめ方と、更新の注意

1. プラグインの一覧を確かめる
   WordPressの管理画面で「プラグイン」→「インストール済みプラグイン」を開き、「Duplicator」「Duplicator Pro」「UpdraftPlus」があるか、あればバージョンがいくつかを確認します。
2. 更新の前にバックアップを取る
   更新によって表示や動きが変わることがあるため、更新前にバックアップを取っておくと安心です。
3. 更新し、そのあとの作業を行う
   表の更新先へ更新し、トップページやお問い合わせフォームなど、主なページが正しく動くかを確認してください。そのうえで、Duplicatorは移行用パッケージの作り直し、UpdraftPlusは接続キーの削除を行います。
4. 乗っ取りの痕跡がないかを確認する
   UpdraftCentralにつないでいた場合や、古いDuplicatorのパッケージで移行したことがある場合は、次の点も確認してください。
   • いつものパスワードで、管理画面にログインできるか
   • 管理画面の「ユーザー」に、見覚えのない管理者がいないか
   • 管理画面の「プラグイン」に、見覚えのないプラグインがないか
   • サーバーの「wp-content」フォルダの中（「plugins」「mu-plugins」など）に、見覚えのないPHPファイルやフォルダがないか

痕跡が見つかった場合は、更新するだけでは安心できません。不正なファイルや不審なアカウントの削除、パスワードの変更など、専門的な対応が必要になります。UpdraftPlusの件では、不正なプラグインが管理画面の一覧に出てこないように隠されることもあります。

ご自身での対応が難しい場合は

「どのプラグインが入っているか分からない」「古いパッケージがどこにあるか分からない」という場合は、当社にご相談ください。他社で制作されたホームページの保守も承っています。

ホームページ保守サポート

当社で保守を担当しているサイトでは、5分おきの死活監視と毎朝の巡回でサイトの異常を見守り、WordPress本体のセキュリティ修正は自動で適用する方針としています。今回のような脆弱性が公表されたときも、当社で影響を確認しています。

▶ グレート・ビーンズのホームページ保守サポート

定期的にアップデートする「GBケア」

保守サポートのオプションとして、WordPress本体・プラグイン・サーバーのPHPを定期的に最新の状態へ更新し、更新後の動作確認まで行う「GBケア」もご用意しています。今回のようなプラグインの脆弱性にも、計画的に備えられます。

▶ WordPressアップデート「GBケア」のご案内

保守契約のない方からの、今回の2件についてのスポットでのご相談にも対応できます。まずはお尋ねください。

▷ お問い合わせ・無料相談・お見積り

参考（公式情報）

• Wordfence：Duplicatorの脆弱性（CVE-2026-82814）
• Wordfence：Duplicatorの脆弱性についての解説（英語）
• WordPress.org：UpdraftPlusの更新履歴（英語）
• TeamUpdraft：セキュリティ事故についての案内（英語）
• Nethemba：UpdraftCentralの接続キーを使った不正なプラグインの分析（英語）

※本記事は2026年10月21日時点の公式情報をもとにしています。