Более 100 сайтов взломали с помощью украденных ключей UpdraftCentral

По данным исследователей безопасности, с 18 октября атакующий устанавливал на сайты плагины-бэкдоры. Команды проходили проверку, поскольку были подписаны действительными ключами подключений.

TeamUpdraft обнаружила несанкционированный доступ к teamupdraft.com в выходные 17—18 октября. Компания закрыла путь доступа, завершила сеансы всех учётных записей и заменила ключи и учётные данные, которые могли быть затронуты. Она считает, что злоумышленник получил доступ к клиентской базе: там хранились контактные и платёжные адреса, история заказов, хеши паролей, настройки двухфакторной аутентификации и ключи подключений к UpdraftCentral, UpdraftVault и UpdraftClone. Платёжные реквизиты компания не хранила.

UpdraftCentral позволяет управлять несколькими сайтами удалённо, а плагин резервного копирования UpdraftPlus установлен более чем на 4 млн сайтов. По прежней оценке TeamUpdraft, ключ UpdraftCentral или Migrator есть менее чем у 10% установок — около 400 тысяч сайтов. Это оценка числа сайтов с ключами, а не подтверждённое число взломов. Хостинг-провайдер Levamo сообщил о более чем 100 скомпрометированных сайтах к понедельнику.

Компания Patchstack зафиксировала начало установки бэкдоров 18 октября в 15:32 по UTC и обнаружила не менее 99 названий вредоносных плагинов. Они маскировались под инструменты обслуживания и оптимизации WordPress, например Site Health Cache. Одна из ранних версий бэкдора не работала из-за ошибки в коде. Nethemba описала более новую версию, которая позволяет атакующему создать привилегированную учётную запись или войти под существующим администратором.

Атака затронула три сайта самой Nethemba, на двух из них вредоносные плагины установились успешно. Исследователи установили, что команды поступали через UpdraftCentral и были подписаны действительными закрытыми ключами панели управления. На всех трёх сайтах стояли WordPress 7.1.3 и UpdraftPlus 2.26.11 с исправлением июньской уязвимости CVE-2026-10795. Разработчик сообщил, что файлы плагина и его загрузки не затронуты; самостоятельно размещённые экземпляры UpdraftCentral также не пострадали.

Как защитить сайт WordPress после атаки UpdraftCentral

Владельцам сайтов рекомендуют проверить ключи UpdraftCentral, даже если они не подключали удалённое управление намеренно. В форме привязки сайта к учётной записи TeamUpdraft соответствующий флажок установлен по умолчанию. Чтобы удалить ключи, нужно открыть «Настройки → UpdraftPlus Backups → Advanced Tools → UpdraftCentral → Manage existing keys». Удаление сайта из панели UpdraftCentral не заменяет этот шаг: ключ хранится на самом сайте.

В основном сообщении рекомендуют обновить UpdraftPlus до версии 1.26.13 для бесплатной редакции или 2.26.13 для Premium, а затем удалить ключи подключений. Отдельно сообщается, что первоначальный выпуск 1.26.12/2.26.12 должен был удалить облачные ключи UpdraftCentral, но ошибка помешала этому. Само обновление версии 1.26.11 или 2.26.11 без удаления ключа не останавливало атаку: команды оставались действительными.

Администраторам советуют проверить журналы и файлы сайта на признаки компрометации. Если взлом подтвердился, рекомендации включают восстановление из чистой резервной копии, смену пароля TeamUpdraft, завершение всех сеансов и перенастройку двухфакторной аутентификации. Nethemba также советует проверять пользователей с дополнительными правами, а не только список администраторов: созданная бэкдором учётная запись может отображаться как редактор. После удаления ключа обычное резервное копирование продолжает работать, прекращается лишь удалённое управление через UpdraftCentral.

Предыдущая уязвимость того же канала

В июне TeamUpdraft исправила уязвимость CVE-2026-10795 в канале UpdraftCentral. Она позволяла подделывать команды с помощью устаревшего формата сообщений без подписи и без доступа к ключам. Исправление вышло в версиях UpdraftPlus 1.26.5 и 2.26.5.

Нынешняя атака использует другой путь. Как установила Nethemba, запросы подписаны настоящими ключами, поэтому проверки внутри UpdraftPlus их принимают. Исследователи также выяснили, что ключи, выпущенные ещё в ноябре 2025 года, оставались действительными в октябре 2026-го.

TeamUpdraft рекомендует повторно подключить очищенный сайт к UpdraftCentral. Nethemba, Patchstack и Levamo советуют не делать этого до выяснения причины утечки ключей. Рекомендации расходятся, поскольку компания не сообщила, каким способом злоумышленник проник в её инфраструктуру.