プラグイン updraftplus/updraftplus.php はエラーにより無効化されましたと表示された原因と対策まとめ

この記事では、「ワードプレスのバックアッププラグイン「updraftplus」が無効化されファイルが存在しない」と表示された時の原因と対策をご紹介します。

2026年10月21日、PHPの重大な脆弱性がニュースになり、修正するセキュリティアップデートが公開され多くのサーバー会社が対応に追われましたね。

私が主に使ってるXサーバーとシンレンタルサーバーは対応が早く2026年10月22日ごろにはすべてのサイトのPHPが8.3.36にバージョンアップされてました。

PHP脆弱性の問題で個人的に対応したこと

• PHPのバージョンの確認
• 怪しいプラグインの確認
• 怪しいユーザー名の確認
• サイトの表示

PHP公式が案内している修正版は、次のとおりです。

• PHP 8.2.35
• PHP 8.3.36
• PHP 8.4.27
• PHP 8.5.12

サーバーに入れない時に、PHPのバージョンを確認する方法は、

WordPressの管理画面から、

「ツール」
↓
「サイトヘルス」
↓
「情報」
↓
「サーバー」

以上で、使用しているPHPのバージョンを確認できます。

Xサーバーとシンレンタルサーバーのサイトは10月22日時点ですでにPHP 8.3.36になってました。

プラグインを確認して発覚したupdraftplusのエラー

プラグインを確認すると、何個かのサイトに表示されたのが以下の内容。

一瞬、すでに攻撃されたの！？と胸がドキドキ。

でも、シンレンタルサーバーからのメールでこれはサーバー側の対応が原因とわかり。一安心。

メールは次の通り
↓

このたび、バックアップ管理プラグイン「Updraftplus」の運営元への不正アクセスによる「UpdraftCentral」の接続キー（秘密鍵情報）が、外部へ流出するインシデントが公表されました。

本件は「UpdraftCentral」機能を利用している場合、外部からの攻撃により第三者による任意のコード実行を引き起こす可能性がございます。これを受けまして、当社にて下記に該当するお客様への緊急的な制限を実施しました。

【制限対象となった環境について】
・該当プラグインにおいて最新バージョンではないお客様
【実施内容】
・該当プラグインのパーミッションを「000」へ変更
事後のご案内となりましたこと、深くお詫び申し上げます。

以上のメールが10月22日17時頃に届いてました。

簡単に言うと、updraftplusプラグインが最新バージョン出ない場合にパーミッションを「000」へ変更し第三者に侵入されないよう無効化の緊急対策をしたということ。

想像するにUpdraftPlusプラグインの緊急の自動更新に即時対応したのでしょう。
エックスサーバーもシンレンタルサーバーと同様です。

そういえば、10月21日の深夜1時ごろに、UpdraftPlusプラグインを自動更新した、と言うメールが来てたんですよね。
↓

いつもはこんなメールは来ないのにおかしいなと思ったけど、念のためいくつかのサイトでUpdraftPlusプラグインの更新を行いました。
でも、更新しなかったサイトがあり、サーバー側が無効化ファイル削除で対応してくれたんです。

サーバー側が対策してくれたから安心、と言うわけではありません。その後に自分で「パーミッションを元の設定に戻す」という作業があったんです。

シンレンタルサーバーからのメールの下に、以下の文面がありました。

脆弱なバージョンである「Updraftplus」について
アップデートを実施していただくにあたり、
「対象ディレクトリ」のパーミッションを元の設定に戻し
結局エックスサーバーのFTPから入り一度そのプラグインをパーミッション変更し削除してから再インストール。

1.無効化されたディレクトリのパーミッションを戻す
2.プラグインアップデートで最新化する
3.WordPress管理画面よりプラグインを有効化する

パーミッションを元の設定に戻すって、どうやるんだったっけ？

と内心焦りました。

ネット上で調べると、詳しい情報が少ないですよね。私がいろいろな情報から実行した方法をご紹介します。

サーバーで無効化されたラグインのパーミッションを元の設定に戻す方法

サーバーにログイン

対象のサーバーIDの「サーバー管理」をクリック
↓
・左メニューの｛FTP]→「FTPアカウント設定」をクリック
↓
メインのFTPアカウント（初期FTP）で「管理」をクリック
↓
左メニューで対象のサイトURLをクリック
↓
フォルダー「Public_html」をダブルクリック
↓
フォルダー「wp-content」をダブルクリック
↓
フォルダー「plugins」をダブルクリック
↓
UpdraftPlus を左クリックし左上の「パーミッション変更」を」クリック
↓
000に表示された部分を755に変更

以上で無効化されたパーミッションを元にの設定に戻す作業は終了。
やってみると意外に簡単でした。

さらにその後、第三者に操作されてないか確認することを忘れてはいけません。

シンレンタルサーバーのメールによると、

「UpdraftCentral」接続キーのご利用有無をご確認ください
WordPress管理画面の、
「設定 → UpdraftPlus → 詳細ツール → UpdraftCentral」を開き、
接続キーが登録されているかをご確認ください。

■ 接続キーが1件も登録されていない場合

STEP1 の対応で完了です。追加の対応はありません。

■ 接続キーを利用していた または 過去に登録していた場合

流出した接続キーを悪用され、
第三者にサイトを操作されている可能性がございます。

早急に対応を進めてください。

【対応手順】

(1) 接続キーの削除・再発行
「設定 → UpdraftPlus → 詳細ツール → UpdraftCentral」より、
登録されている接続キーをすべて削除してください。
UpdraftCentralのご利用を継続される場合は、削除後に
新しい接続キーを作成し、再登録をお願いいたします。

(2) WordPress管理者ユーザーのパスワード変更
すべての管理者ユーザーのパスワードを、
推測されにくいものへ変更してください。
他サービスと同じパスワードをご利用の場合は、
そちらの変更も併せてご検討ください。

(3) 不正アクセスの有無のご確認
・身に覚えのない管理者ユーザーが追加されていないか

・インストールした覚えのないプラグイン・テーマが追加
または有効化されていないか

・サーバーアカウント内に
不審なファイルが設置されていないか上記以外にも不審な点を確認した場合、被害の拡大を防ぐため該当ファイルの削除や、改ざん前のバックアップからの復元をご検討ください。

詳細は、運営元であるTeamUpdraftの以下のお知らせをご確認ください。

◇詳細について（外部サイト）
https://teamupdraft.com/blog/security-incident-october-2026/

まとめ

PHPの重大な脆弱性の問題で、バックアッププラグイン「Updraftplus」の運営元への不正アクセスによる「UpdraftCentral」の接続キー（秘密鍵情報）が、外部へ流出するインシデントが公表されました。

Updraftplusプラグインを更新してなかった場合、サーバー側でディレクトリを「０００」無効化の緊急対策をしてました。

おかげで私のサイトでは、第三者による操作はなく難を逃れました。

同様の問題があった場合は、

以下の不審な変化がないか確認が必要です。

• 知らないユーザーや管理者が追加されてる
• 覚えがないページやリンクがある
• 違うサイトへ移動する
• 不信なメールが送られる
• サイトが重くなった

サイトのトップページや記事ページ、WordPressの管理画面、お問い合わせフォーム、申込フォームや決済ページなどの画面の崩れやエラーもチェック！

今回のことで、常日頃から、PHP、ワードプレス本体、テーマ、プラグインの更新はこまめにやっておくことが必須と感じました。

さらに使ってないプラグインやテーマは、無効化するだけではなく削除しましょう。大切なブログを守るためにも確認しておきましょう！