WORDPRESS SECURITY

UpdraftPlusに未認証の認証回避からRCEへ至る脆弱性、実悪用報告あり（CVE-2026-10795）

High 実攻撃を確認

更新日：2026年9月2日

対象製品: UpdraftPlus: WP Backup & Migration Plugin（プラグイン）
CVE: CVE-2026-10795
CVSS / 深刻度: 8.1 / High
影響バージョン: Free 1.26.4以下 / Premium 2.26.4以下（UpdraftCentralまたはMigratorのリモート接続キーを利用する影響構成）
修正版: Free 1.26.5 / Premium 2.26.5
脆弱性種別: 未認証Authentication Bypass → 任意RPCコマンド → プラグインアップロード・有効化 → RCE

脆弱性の概要

UpdraftPlus 1.26.4以下には、リモート通信の認証を回避して管理者権限相当のRPCコマンドを実行できる脆弱性があります。悪用すると攻撃者が悪意あるプラグインをアップロード・有効化し、Remote Code Executionからサイト完全侵害へ到達可能です。CVSSは8.1 Highですが、KEV Intelligenceでは実悪用ありとしてHigh confidenceで追跡されています。

技術的な内容

UpdraftCentralのリモート通信メッセージ形式の検証不足により署名検証を迂回でき、復号失敗時の戻り値が予測可能なゼロ値の暗号鍵として扱われることで、認証されていない攻撃者が任意のRPCコマンドを偽造できます。開発元は影響サイトを全体の10%未満と推定し、Free 1.26.5 / Premium 2.26.5で修正しています。開発元は公開時点では攻撃を確認していませんでしたが、その後の外部KEV情報で実悪用が報告されています。

悪用状況

実攻撃を確認

推奨対応

UpdraftPlusをFree 1.26.5以上 / Premium 2.26.5以上、実運用では最新版へ更新してください。UpdraftCentral利用時はBase plugin 0.8.32以上も確認してください。影響構成を公開していた場合は、不審なAdministratorや未知のプラグイン、管理操作履歴を確認し、侵害が疑われる場合はUpdraftCentral等の接続キーとWordPressの認証キー・saltのローテーションも行ってください。

情報源

情報確認日時：2026年9月2日 12:28

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。