UpdraftPlusの認証回避と更新｜CVE-2026-10795
更新前に製品とエディションを確認してください。旧記事はUpdraftCentralとUpdraftPlusに同じ修正バージョンを記載していましたが、番号は異なります。
確認された問題
CVE-2026-10795はUpdraftPlusの遠隔通信の認証回避です。メッセージと署名の不適切な検証により、未認証者が接続済み管理者の権限で命令し、遠隔コード実行に至る可能性があります。NVDのCVSS 3.1は8.1（高）です。単なるWordPress nonceの欠落ではありません。
修正バージョンと確認
提供元の修正版はUpdraftPlus Free 1.26.5、Premium 2.26.5、UpdraftCentral基本プラグイン0.8.32です。この問題の修正版であり、現在の最新版という意味ではありません。UpdraftCentral Premiumはこの更新が不要でした。更新できない場合は、対象エディションと公式の暫定修正を公告で確認してください。各サイトの製品・版・番号を記録し、信頼できる配布元で更新後、実際の番号を確かめます。不明な管理者、プラグイン、ファイル変更も確認します。更新は既存の侵入を除去しません。隔離環境で新しいバックアップと復元、利用中の遠隔管理接続を試します。
ルールと時系列
URLの単語を一律に遮断する旧例は削除しました。updraftという文字列だけでは対象処理を識別できず、通常管理を妨げる可能性があります。問題と連携構成に対して検証済みのルールを依頼してください。TeamUpdraftの公告は2026年6月5日、NVD公開は6月11日で別の出来事です。当時の攻撃状況の説明を現在の評価として扱わないでください。支援はManaged-WPのチャットを利用してください。