Chei UpdraftCentral furate: backdoor pe site-uri WordPress

TeamUpdraft, dezvoltatorul pluginului de backup UpdraftPlus și al serviciilor conexe pentru WordPress, a suferit un acces neautorizat la site-ul teamupdraft.com în weekendul 17–18 octombrie 2026. Potrivit avizului producătorului, preluat de BleepingComputer și CSO Online, baza de date a clienților a fost probabil accesată, iar aceasta conținea și cheile de conectare ale serviciilor UpdraftCentral, UpdraftVault și UpdraftClone.

Problema nu a rămas la producător: potrivit cercetătorilor Patchstack, din 18 octombrie atacatorii folosesc cheile furate pentru a trimite comenzi site-urilor WordPress conectate la UpdraftCentral Cloud, serviciul de administrare la distanță a mai multor site-uri, și instalează pe ele pluginuri cu backdoor și conturi de administrator.

Ce a fost expus

Potrivit producătorului, baza de date a clienților conținea nume, adrese de email și de facturare, istoricul comenzilor, hash-uri ale parolelor, setările autentificării în doi pași și cheile de conectare ale serviciilor. Datele cardurilor nu erau stocate: plățile trec prin Stripe și PayPal.

TeamUpdraft declară necompromise fișierele și descărcările pluginului UpdraftPlus, instanțele UpdraftCentral instalate pe propriul server (self-hosted) și backupurile păstrate în spațiile de stocare proprii ale clienților (Google Drive, Dropbox, Amazon S3). A închis calea de acces, a deconectat toate conturile, a înlocuit cheile și credențialele afectate, inclusiv cele pentru UpdraftVault și UpdraftClone, și a adăugat monitorizare. Potrivit CSO Online, incidentul a fost raportat autorității britanice ICO și celorlalte autorități competente.

Nu se știe sigur câte site-uri sunt expuse. UpdraftPlus depășește 4 milioane de instalări, dar doar site-urile cu o cheie UpdraftCentral activă pot fi atinse prin acest atac. BleepingComputer, singura sursă care dă o estimare, scrie că aproximativ 10% dintre site-urile cu UpdraftPlus au o cheie UpdraftCentral sau Migrator: circa 400.000 de site-uri.

Cum acționează atacatorii

Cheile UpdraftCentral servesc la semnarea comenzilor pe care consola de administrare le trimite site-urilor conectate. Cu chei valide, atacatorul nu trebuie să exploateze nicio vulnerabilitate: pentru site, comenzile vin pe canalul legitim de administrare.

Potrivit Patchstack, citată de ambele publicații:

• atacurile au început pe 18 octombrie la 15:32 UTC;
• comenzile servesc la executarea de cod arbitrar și la crearea de conturi cu privilegii complete de administrator;
• cercetătorii au numărat cel puțin 99 de pluginuri malițioase cu nume diferite, deghizate în instrumente de întreținere și optimizare, cum ar fi „Site Health Cache”;
• o primă variantă a backdoorului nu funcționa din cauza unei erori în cod.

Firma de securitate Nethemba a documentat o variantă mai nouă, care permite crearea de conturi privilegiate sau autentificarea ca un administrator existent. Trei site-uri WordPress ale Nethemba au fost vizate prin UpdraftCentral, iar pe două dintre ele pluginul malițios a fost instalat. Potrivit BleepingComputer, cele trei site-uri rulau WordPress 7.1.3 și UpdraftPlus 2.26.11, deja corectat pentru vulnerabilitatea din iunie CVE-2026-10795: intruziunea nu s-a bazat pe o vulnerabilitate sau pe o configurare greșită, ci pe comenzi semnate cu chei valide ale consolei.

CSO Online adaugă că unele variante sunt făcute pentru a nu apărea în ecranele standard de administrare WordPress și că revocarea cheii nu elimină pluginurile, conturile și sesiunile active create în timpul atacului.

Sursele nu publică o listă completă de indicatori: trimit la cei publicați de TeamUpdraft, Patchstack și Nethemba.

În lectura noastră, tehnicile MITRE ATT&CK relevante sunt T1199 (Trusted Relationship), T1078 (Valid Accounts), T1505 (Server Software Component), T1136 (Create Account), T1036.005 (Match Legitimate Name or Location) și T1564 (Hide Artifacts).

Problema primei corecturi

Potrivit Nethemba, preluată doar de BleepingComputer, prima versiune corectivă, 1.26.12 / 2.26.12, trebuia să elimine cheile UpdraftCentral Cloud, dar o eroare a împiedicat acest lucru. Versiunile de instalat sunt 1.26.13 (gratuită) și 2.26.13 (Premium) sau ulterioare, care, potrivit producătorului, revocă vechile conexiuni la UpdraftCentral Cloud.

Impactul pentru companiile europene și italiene

UpdraftCentral este gândit pentru cei care administrează multe site-uri: agenții web, furnizori de hosting și departamente IT cu mai multe portaluri. Pentru ei, o singură cheie furată înseamnă acces la toate site-urile conectate. Un administrator WordPress fals poate modifica conținutul, poate citi datele din formulare și din conturile clienților și poate folosi site-ul pentru a distribui malware.

Pentru entitățile NIS2 este un caz de risc în lanțul de aprovizionare: un serviciu terț de administrare la distanță a devenit calea de intrare. Dacă site-urile prelucrează date personale, o compromitere confirmată trebuie evaluată și în vederea notificării prevăzute de GDPR. Clienții TeamUpdraft trebuie să considere expuse și hash-urile parolelor și setările 2FA ale propriului cont.

Ce să faci acum

1. Fă inventarul site-urilor WordPress cu UpdraftPlus și verifică care sunt conectate la UpdraftCentral Cloud.
2. Actualizează UpdraftPlus la 1.26.13 (gratuită) sau 2.26.13 (Premium) sau ulterioare. Nu te opri la 1.26.12 / 2.26.12.
3. Șterge manual cheile rămase pe fiecare site: Setări → UpdraftPlus Backups → Advanced Tools → UpdraftCentral → Manage existing keys.
4. Verifică fiecare site direct, nu doar din consolă: conturile de administrator, pluginurile instalate (inclusiv cele cu nume de întreținere precum „Site Health Cache”), fișierele și jurnalele, căutând indicatorii publicați de TeamUpdraft, Patchstack și Nethemba. Ține minte că unele variante se ascund din ecranele de administrare: verifică și baza de date și sistemul de fișiere.
5. Dacă găsești semne de compromitere, restaurează site-ul dintr-un backup verificat anterior datei de 17 octombrie (indicație preluată de CSO Online), apoi schimbă parolele administratorilor, închide toate sesiunile și verifică integritatea fișierelor.
6. Schimbă credențialele contului TeamUpdraft și resetează autentificarea în doi pași. Dacă un site era administrat prin UpdraftCentral, autorizează din nou spațiul de stocare la distanță al backupurilor și schimbă-i cheile de acces, așa cum recomandă producătorul.

Cum te ajută ARXDOME

Pe serverele care găzduiesc site-urile, agentul ARX Sentry controlează integritatea fișierelor în folderele stabilite și poate semnala un plugin nou apărut în wp-content/plugins. ARX Trace arată modificările fișierelor pe foldere, utile pentru a reconstitui ce s-a schimbat din 18 octombrie, iar cu ARX Shield izolezi de rețea o mașină compromisă până la curățare.

Ultima actualizare: 21 octombrie 2026