Chiavi UpdraftCentral rubate: backdoor su siti WordPress

TeamUpdraft, lo sviluppatore del plugin di backup UpdraftPlus e dei servizi collegati per WordPress, ha subito un accesso non autorizzato al sito teamupdraft.com nel fine settimana del 17–18 ottobre 2026. Secondo l’avviso del produttore, riportato da BleepingComputer e CSO Online, è stato probabilmente consultato il database dei clienti, che conteneva anche le chiavi di connessione dei servizi UpdraftCentral, UpdraftVault e UpdraftClone.

Il problema non resta confinato al produttore: secondo i ricercatori di Patchstack, dal 18 ottobre gli attaccanti usano le chiavi rubate per mandare comandi ai siti WordPress collegati a UpdraftCentral Cloud, il servizio per gestire più siti da remoto, e vi installano plugin con backdoor e account amministratore.

Cosa è stato esposto

Stando al produttore, nel database dei clienti c’erano nomi, indirizzi email e di fatturazione, storico degli ordini, hash delle password, impostazioni dell’autenticazione a due fattori e chiavi di connessione dei servizi. I dati delle carte non c’erano: i pagamenti passano da Stripe e PayPal.

TeamUpdraft dichiara non compromessi i file e i download del plugin UpdraftPlus, le istanze di UpdraftCentral installate in proprio (self-hosted) e i backup conservati negli spazi remoti dei clienti (Google Drive, Dropbox, Amazon S3). Ha chiuso la via d’accesso, disconnesso tutti gli account, sostituito le chiavi e le credenziali coinvolte, comprese quelle di UpdraftVault e UpdraftClone, e aggiunto monitoraggio. Secondo CSO Online l’incidente è stato segnalato all’ICO britannico e alle altre autorità competenti.

Quanti siti siano esposti non è certo. UpdraftPlus supera i 4 milioni di installazioni, ma solo i siti con una chiave UpdraftCentral attiva sono raggiungibili con questo attacco. BleepingComputer, unica fonte a dare una stima, scrive che circa il 10% dei siti con UpdraftPlus ha una chiave UpdraftCentral o Migrator: circa 400.000 siti.

Come lavorano gli attaccanti

Le chiavi di UpdraftCentral servono a firmare i comandi che la console di gestione manda ai siti collegati. Con chiavi valide l’attaccante non deve sfruttare nessuna vulnerabilità: per il sito, i comandi arrivano dal canale di gestione legittimo.

Secondo Patchstack, citata da entrambe le testate:

• gli attacchi sono cominciati il 18 ottobre alle 15:32 UTC;
• i comandi servono a eseguire codice arbitrario e a creare account con pieni privilegi di amministratore;
• i ricercatori hanno contato almeno 99 plugin malevoli con nomi diversi, mascherati da strumenti di manutenzione e ottimizzazione, come «Site Health Cache»;
• una prima variante della backdoor non funzionava per un errore nel codice.

La società di sicurezza Nethemba ha documentato una variante più recente, che permette di creare account privilegiati o di entrare come un amministratore esistente. Tre siti WordPress di Nethemba sono stati presi di mira attraverso UpdraftCentral e su due il plugin malevolo è stato installato. Secondo quanto riportato da BleepingComputer, i tre siti avevano WordPress 7.1.3 e UpdraftPlus 2.26.11, già corretto per la vulnerabilità di giugno CVE-2026-10795: l’ingresso non è passato da una falla né da un errore di configurazione, ma da comandi firmati con chiavi valide della console.

CSO Online aggiunge che alcune varianti sono fatte per non comparire nelle schermate standard di amministrazione di WordPress e che revocare la chiave non toglie i plugin, gli account e le sessioni attive creati durante l’attacco.

Le fonti non pubblicano un elenco completo di indicatori: rimandano a quelli di TeamUpdraft, Patchstack e Nethemba.

Nella nostra lettura le tecniche MITRE ATT&CK pertinenti sono T1199 (Trusted Relationship), T1078 (Valid Accounts), T1505 (Server Software Component), T1136 (Create Account), T1036.005 (Match Legitimate Name or Location) e T1564 (Hide Artifacts).

Il nodo della prima correzione

Secondo Nethemba, riportata solo da BleepingComputer, la prima versione correttiva, 1.26.12 / 2.26.12, doveva eliminare le chiavi di UpdraftCentral Cloud, ma un bug glielo impediva. Le versioni da installare sono la 1.26.13 (gratuita) e la 2.26.13 (Premium) o successive, che secondo il produttore revocano le vecchie connessioni a UpdraftCentral Cloud.

Impatto per le aziende europee e italiane

UpdraftCentral è pensato per chi gestisce molti siti: agenzie web, fornitori di hosting e reparti IT con più portali. Per loro una sola chiave rubata vuol dire accesso a tutti i siti collegati. Un amministratore WordPress fasullo può modificare contenuti, leggere i dati dei moduli e degli account dei clienti e usare il sito per distribuire malware.

Per i soggetti NIS2 è un caso di rischio della catena di fornitura: un servizio di gestione remota di terzi è diventato la via d’ingresso. Se i siti trattano dati personali, una compromissione accertata va valutata anche per la notifica prevista dal GDPR. I clienti di TeamUpdraft devono inoltre considerare esposti hash delle password e impostazioni 2FA del proprio account.

Cosa fare subito

1. Fai l’inventario dei siti WordPress con UpdraftPlus e verifica quali sono collegati a UpdraftCentral Cloud.
2. Aggiorna UpdraftPlus alla 1.26.13 (gratuita) o 2.26.13 (Premium) o successive. Non fermarti alla 1.26.12 / 2.26.12.
3. Elimina a mano le chiavi rimaste su ogni sito: Impostazioni → UpdraftPlus Backups → Advanced Tools → UpdraftCentral → Manage existing keys.
4. Controlla ogni sito direttamente, non solo dalla console: account amministratore, plugin installati (anche quelli con nomi da manutenzione come «Site Health Cache»), file e log alla ricerca degli indicatori pubblicati da TeamUpdraft, Patchstack e Nethemba. Ricorda che alcune varianti si nascondono dalle schermate di amministrazione: verifica anche nel database e nel file system.
5. Se trovi segni di compromissione, ripristina il sito da un backup verificato precedente al 17 ottobre (indicazione riportata da CSO Online), poi cambia le password degli amministratori, chiudi tutte le sessioni e controlla l’integrità dei file.
6. Cambia le credenziali dell’account TeamUpdraft e reimposta l’autenticazione a due fattori. Se un sito era gestito da UpdraftCentral, autorizza di nuovo lo spazio di backup remoto e cambia le sue chiavi d’accesso, come consiglia il produttore.

Come aiuta ARXDOME

Sui server che ospitano i siti, l’agent di ARX Sentry controlla l’integrità dei file nelle cartelle stabilite e può segnalare un nuovo plugin comparso in wp-content/plugins. ARX Trace mostra le modifiche ai file per cartella, utili per ricostruire cosa è cambiato dal 18 ottobre, e con ARX Shield si isola dalla rete una macchina compromessa in attesa della bonifica.

Ultimo aggiornamento: 21 ottobre 2026