はじめに：引越しのあと、プラグインはそのままになりがちです
サーバーを乗り換えたときや、サイトを作り直したときに、引越し用のプラグインを入れた方は多いと思います。作業が終わると、そのまま管理画面の奥に残っていて、普段は存在を忘れている。よくある状態です。
その代表的なプラグインのひとつ Duplicator について、米国の脆弱性データベースで2026年10月21日に弱点が公表されました。対象は 無料版 1.5.17 以前 と Pro 版 4.6.10 以前 で、深刻度は10段階で 8.8 です。100万以上のサイトで使われています。
この弱点は、普段サイトを表示しているだけでは動きません。古い版で バックアップ（パッケージ）を作り、それを使って引越しや復元をするとき に、外の人が仕込んだ値が読み込まれてしまう、というものです。ログインしていない第三者でも仕込めるため、甘く見ないほうがよい内容です。
開発元はすでに 5.0.0 で修正 しており、10月27日には 5.1.0 も出ています。
※2026年10月30日時点で公表されている情報をもとにしています。
私がこういうニュースのときに最初にすること
私は2016年から、旅行会社や整体院のサイトなど、500件以上の PHP 更新やトラブル対応をしてきました。
脆弱性のニュースが出ると、お客さんから「うちも急いだほうがいいですか」と相談を受けることがあります。このときに大事にしているのは、慌てて触る前に、自分のサイトが当てはまるかを確かめる ことです。実際に、サーバー会社の対応を先に確かめてから、事前の検証をして、順番に更新したこともあります。
今回の Duplicator も同じで、「入っているか」「どの版か」「これから引越しや復元の予定があるか」の3つを確かめれば、やることがはっきりします。
1. 入っているか、どの版かを確かめる
管理画面の「プラグイン」→「インストール済みプラグイン」を開き、一覧に Duplicator（または Duplicator Pro）があるか見ます。
名前の下か横に バージョン が出ています。無料版なら 1.5.17 以前、Pro 版なら 4.6.10 以前が今回の対象です
停止中でも一覧には残ります。止めてあるから安心、ではなく、版を確かめておきましょう
複数のサイトを持っている方は、サイトごとに確かめます。引越しの練習用に作った複製のサイトに残っていることもあります
一覧に無ければ、今回の件はひとまず当てはまりません。
2. 更新する前に、いまの状態を残しておく
更新は「更新」を押すだけですが、その前にひと手間かけておくと安心です。
サーバー会社の管理画面などで、ファイルとデータベースのバックアップ を取っておく
主要なページ（トップ・よく見られるページ・お問い合わせ）を開いて、いまの表示を見ておく
私も PHP の更新を頼まれたときは、事前確認 → ファイルとデータベースのバックアップ → 更新 → 動作確認、の順で進めています。プラグイン1つの更新でも、考え方は同じです。
3. 最新の版に更新し、表示と管理画面を確かめる
一覧の「今すぐ更新」から、5.1.0 以上 に上げます。1.5 系から 5 系へ大きく数字が飛びますが、開発元が無料版と Pro 版を1つにまとめたためで、版の並びとしては 1.5.17 の次が 5.0.0 です。
更新したら、次の3か所を確かめます。
サイトの主要なページが、更新前と同じように表示されるか
管理画面に入れて、ほかのプラグインの画面も開けるか
お問い合わせフォームから、テストの送信ができるか
4. 古い版で作ったバックアップは、作り直す
今回いちばん気をつけたいのがここです。弱点は「古い版で作ったパッケージで、引越し・復元をするとき」に動きます。
古い版で作ったパッケージ（バックアップのファイル）で、このあと引越しや復元をしない
引越しや複製の予定がある方は、更新したあとの版でパッケージを作り直してから 進める
使い終わった古いパッケージやインストール用のファイルがサーバーに残っていたら、手元に必要な分を保存したうえで片付けておく
これは開発元が出した手当てではなく、弱点が動く条件から考えた、安全側の進め方です。
5. もう使わないなら、停止して削除も考える
引越しのときだけ使って、その後は使っていないなら、停止して削除 するのもひとつの選び方です。使っていないプラグインは更新を忘れやすく、今回のような公表があったときに気づきにくくなります。
ほかのバックアップの方法（サーバー会社の自動バックアップなど）を用意してあるか、先に確かめてから削除しましょう。
困ったとき：更新でおかしくなったら
更新のあとで表示が崩れた、管理画面に入れない、という場合は、慌てて何度も操作せず、2. で取っておいたバックアップに戻すのが近道です。管理画面に入れないときは、サーバーのファイルの管理画面から、プラグインのフォルダの名前を一時的に変えると、そのプラグインだけを止められます。
自分で更新を始めたものの、途中で手が止まってしまった、というご相談も実際にありました。無理に進めず、いまの状態を残して相談するほうが、結果として早く済むことが多いです。
まとめ
Duplicator の 無料版 1.5.17 以前・Pro 版 4.6.10 以前 に弱点が公表され、5.0.0 で修正 済み（最新は 5.1.0）
まず一覧で 入っているか・版 を確かめる。停止中でも確かめる
バックアップを取ってから更新し、表示・管理画面・フォームを確かめる
古い版で作ったパッケージで引越し・復元をしない。作り直してから進める
使っていないなら、停止と削除も選べる
更新や点検を自分で進めるのが不安な方は、下のおすすめのサービスも参考にしてください。
