Chei UpdraftCentral furate, folosite pentru a instala backdoor-uri pe site-uri WordPress

Un incident de securitate la TeamUpdraft, compania care dezvoltă pluginul de backup UpdraftPlus, a transformat un canal de administrare de încredere într-o cale de livrare a malware-ului. Atacatorii au pătruns pe site-ul furnizorului, au obținut cheile de conectare la serviciile sale cloud și le-au folosit pentru a instala pluginuri cu backdoor pe site-urile WordPress conectate.

Ce s-a întâmplat

TeamUpdraft spune că a detectat acces neautorizat la teamupdraft.com în weekendul 17–18 octombrie 2026. Baza de date expusă conținea nume, adrese de email și de facturare, istoricul comenzilor, parole stocate în formă hash, setările 2FA și, cel mai grav, cheile de conectare pentru UpdraftCentral, UpdraftVault și UpdraftClone. Potrivit furnizorului, nu au fost stocate date de card (plățile trec prin Stripe și PayPal), iar pluginul UpdraftPlus, versiunea self-hosted a UpdraftCentral și backup-urile din spațiul de stocare propriu al clienților nu au fost afectate.

UpdraftCentral este un panou de control pentru administrarea simultană a mai multor site-uri WordPress, iar componenta sa client este inclusă în fiecare copie UpdraftPlus, plugin cu peste patru milioane de instalări active. O cheie validă permite trimiterea de comenzi semnate către site-ul conectat. Într-un interval de 18 ore, pe 18–19 octombrie, un atacator care deținea chei valide a trimis o comandă de încărcare de plugin prin canalul de apel la distanță, iar WordPress a instalat și activat pluginul atacatorului ca și cum ar fi făcut-o un administrator.

Pluginul malițios așteaptă o cerere cu un parametru URL și un token secret. Când o primește, creează un cont ascuns de Editor cu drepturi suplimentare (manage_options, install_plugins). Asta e suficient pentru a încărca cod PHP arbitrar, a modifica setările site-ului sau a deschide înregistrarea cu rol implicit de administrator. Pentru că editorii pot publica HTML nefiltrat, contul poate injecta și JavaScript care rulează în browserul fiecărui administrator. Ștergerea pluginului nu elimină contul; acesta rămâne, cu o parolă cunoscută, până când este șters manual. O primă versiune defectă bloca site-urile cu erori HTTP 500. Atacatorul a șters-o de la distanță și a urcat o variantă funcțională, care creează un cont complet de administrator. Cercetătorii au identificat 99 de nume distincte de pluginuri cu backdoor.

De ce contează

Un patch nu rezolvă problema. Pe site-urile victimelor nu a fost exploatată nicio vulnerabilitate: atacatorul a folosit comenzi legitime, semnate, venite de la un serviciu în care proprietarul avea încredere. Orice instrument de tip „administrează toate site-urile dintr-un singur loc” funcționează la fel: dacă furnizorul e compromis, toate site-urile conectate sunt expuse. Este și a doua problemă pe acest canal în cinci luni. CVE-2026-10795 (CVSS 8.1), remediată în UpdraftPlus 1.26.5 / 2.26.5 în iunie, permitea falsificarea comenzilor UpdraftCentral fără nicio cheie, iar tentativele de exploatare continuă. Site-urile cu versiuni mai vechi sunt expuse la ambele probleme.

Ce trebuie făcut

Sunteți probabil afectați dacă UpdraftPlus (Free sau Premium) era activ pe un site care avea o cheie de conectare la serviciul UpdraftCentral găzduit în cloud în perioada incidentului. În acest caz:

1. Autentificați-vă direct în panoul WordPress, nu prin UpdraftCentral.
2. Actualizați UpdraftPlus la 1.26.13 (Free) / 2.26.13 (Premium) sau mai nou. Aceste versiuni deconectează automat orice conexiune UpdraftCentral creată înainte de 18 octombrie, ora 22:00 BST, astfel încât cheile vechi nu mai funcționează.
3. Ștergeți vechea cheie de conectare din Settings → UpdraftPlus → Advanced Tools → UpdraftCentral.
4. Verificați utilizatorii. Eliminați orice administrator sau editor necunoscut, în special conturi precum data-ops43 („Site Tools”), system_team850, web.tech988, cmseditor170, cms.tech644, web_mgr684 sau conturi cu email @example.com.
5. Verificați pluginurile, inclusiv tabul Must-Use. Nume cunoscute de backdoor: Site Health Cache, Site Health 364F, Asset Forge 2, Content Helper, Wp Forge, Query Shelf, Style Bridge 8F5, Media Kit 183, Post Dock 776, Nav Hub, Speed Desk, Speed Kit 300, Link Latch, Script Shelf, Feed Case. Căutați descrierea „Small maintenance toolkit: keeps option storage tidy.”
6. Verificați jurnalele pentru trafic de la 43.250.53.42 și 2a09:bac5:4e21:2e3c::49b:9.
7. Schimbați parolele tuturor administratorilor și activați 2FA pentru toate conturile privilegiate. 2FA împiedică contul backdoor rămas să se autentifice prin formularul de login obișnuit.
8. Dacă găsiți ceva suspect, restaurați dintr-un backup anterior datei de 17 octombrie, apoi reconectați site-ul la UpdraftCentral.
9. Utilizatorii UpdraftVault / UpdraftClone: reconectați site-urile și preluați cheile noi. Dacă site-ul a fost administrat prin UpdraftCentral, reautorizați și spațiul de stocare la distanță și schimbați cheile de acces.
10. Titularii de cont teamupdraft.com: schimbați parola, și oriunde ați refolosit-o. Resetați 2FA și tratați cu suspiciune emailurile neașteptate „de la TeamUpdraft”, care pot fi phishing.

Un plugin pe care nu l-ați instalat niciodată, o versiune învechită sau un cont de administrator pe care nu îl recunoaște nimeni sunt exact lucrurile pe care scanarea de vulnerabilități este făcută să le găsească. Echipa noastră rulează scanări WordPress externe și autentificate care compară versiunile pluginurilor cu CVE-urile cunoscute și semnalează componentele neașteptate, astfel încât astfel de probleme să fie depistate din timp, nu după incident.

Sursa informației: The Hacker News. Detaliile tehnice provin din declarațiile și analizele publice ale TeamUpdraft, Patchstack, Nethemba și Wordfence.