Пробив в инфраструктурата на TeamUpdraft, разработчик на популярни плъгини за резервни копия и управление на WordPress сайтове, може да е изложил на риск около 400 000 уебсайта. Изследователи съобщават, че нападатели вече използват откраднати ключове за отдалечено управление, за да инсталират зловредни плъгини и да създават акаунти с администраторски права.
TeamUpdraft е установила неоторизиран достъп до сайта си teamupdraft.com през уикенда на 17 и 18 октомври. Компанията смята, че нападателят е получил достъп до клиентската база данни, съдържаща информация за клиенти и фактуриране, история на поръчките, хешове на пароли, настройки за двуфакторна автентикация и ключове за свързване с услугите UpdraftCentral, UpdraftVault и UpdraftClone.
Разработчикът съобщава, че е ограничил достъпа, прекратил е всички активни сесии и е подменил ключовете и идентификационните данни, които може да са засегнати. Компанията не съхранява данни за платежни карти, а файловете и изтеглянията на плъгина UpdraftPlus не са засегнати. Самостоятелно хостваните инсталации на UpdraftCentral също не попадат в обхвата на инцидента.
Откраднатите ключове дават достъп до свързани сайтове
Най-сериозният риск произтича от ключовете за UpdraftCentral – услуга за дистанционно управление на множество WordPress инсталации. Според водещия изследовател на Patchstack Оливър Силд приблизително 10% от сайтовете, използващи UpdraftPlus, разполагат с ключ за UpdraftCentral или Migrator. Това поставя потенциално изложената аудитория в порядъка на 400 000 сайта.
Patchstack съобщава, че атаките са започнали на 18 октомври в 15:32 UTC. Нападателите използват компрометираните ключове, за да изпълняват произволен код и да добавят потребителски акаунти с пълни администраторски права.
Изследователите са регистрирали най-малко 99 зловредни плъгина с различни имена, маскирани като инструменти за поддръжка и оптимизация на WordPress. Сред примерите е „Site Health Cache“.
Първоначален вариант на зловредния плъгин е съдържал грешка в кода, но анализ на компанията Nethemba описва по-нова версия, която позволява създаване на привилегировани акаунти или влизане като съществуващ администратор.
Nethemba съобщава, че три нейни WordPress сайта са били атакувани през канала за дистанционно управление на UpdraftCentral, като на два от тях зловредни плъгини са инсталирани успешно. И трите сайта са използвали актуални към момента версии на WordPress 7.1.3 и UpdraftPlus 2.26.11, поправяща по-ранната уязвимост CVE-2026-10795.
Според компанията нападателят не е пробил директно сървърите ѝ и не е използвал слабост в локалната конфигурация. Командите са били изпратени през легитимния канал за дистанционно управление и подписани с валидни частни ключове на таблото за управление. Това показва как компрометиран ключ за доверен административен канал може да заобиколи защитите на отделния сайт.
Първата актуализация не е премахвала всички ключове
Според Nethemba първоначалното издание на UpdraftPlus 1.26.12/2.26.12 е било предназначено да премахне ключовете за UpdraftCentral Cloud, но грешка е попречила това да се случи.
Потребителите се съветват да актуализират до UpdraftPlus 1.26.13 за безплатната версия или 2.26.13 за Premium, или до по-нова версия.
След актуализацията администраторите трябва да влязат във всеки WordPress сайт и ръчно да изтрият ключовете за UpdraftCentral от менюто:
Settings → UpdraftPlus Backups → Advanced Tools → UpdraftCentral → Manage existing keys
Това е особено важно за сайтове, които са били свързани с UpdraftCentral Cloud. Самото обновяване не бива да се приема като достатъчно доказателство, че всички компрометирани ключове са премахнати.
Препоръчителни действия за администраторите
TeamUpdraft препоръчва на потребителите, които са управлявали сайтовете си чрез UpdraftCentral, да сменят идентификационните данни за отдалеченото хранилище и да упълномощят отново връзките. Дори когато резервните копия в собствено отдалечено хранилище не са засегнати, достъпът до ключове за управление може да създаде риск за свързаните сайтове.
Администраторите трябва да проверят логовете, инсталираните плъгини и потребителските акаунти за индикатори за компрометиране, публикувани от TeamUpdraft, Patchstack и Nethemba. Особено внимание заслужават непознати плъгини, новосъздадени администраторски акаунти и неочаквани промени във файловете.
При потвърдено компрометиране се препоръчва възстановяване от чисто резервно копие, смяна на паролата за TeamUpdraft, отмяна на активните сесии и повторно конфигуриране на двуфакторната автентикация.
Инцидентът подчертава, че сигурността на WordPress не зависи само от актуалността на самата платформа и нейните плъгини. Компрометирането на централизирана услуга за дистанционно управление може да превърне валидните административни ключове в средство за масово разпространение на зловреден код към множество иначе актуализирани сайтове.
