Firma TeamUpdraft, odpowiedzialna za wtyczki do kopii zapasowych oraz zarządzania stronami WordPress, wykryła nieautoryzowany dostęp do serwisu teamupdraft.com w weekend 17 i 18 października. Według komunikatu producenta intruz uzyskał dostęp do bazy danych klientów. Przechowywano w niej szczegóły dotyczące klientów i rozliczeń, historię zamówień, hashe haseł, konfiguracje uwierzytelniania dwuskładnikowego oraz klucze połączeń do usług UpdraftCentral, UpdraftVault i UpdraftClone. Firma poinformowała, że nie przechowywała żadnych danych płatniczych, a same pliki instalacyjne UpdraftPlus nie zostały zmodyfikowane. Włamanie nie dotyczy również samodzielnie hostowanych instancji UpdraftCentral.
Skala incydentu i mechanizm ataków
Szacuje się, że około 10 procent stron korzystających z UpdraftPlus posiada aktywny klucz UpdraftCentral lub Migrator, co oznacza narażenie w przybliżeniu 400 000 witryn. Według analityków z firmy Patchstack napastnicy rozpoczęli wykorzystywanie skradzionych danych dostępowych 18 października o godzinie 15:32 UTC. Ponieważ sprawcy dysponują prawidłowymi kluczami prywatnymi do komunikacji z panelem zarządzania, wysyłają do serwisów autoryzowane polecenia wykonania kodu bez konieczności przełamywania zabezpieczeń samego serwera.
Badacze odnotowali co najmniej 99 wariantów złośliwych wtyczek o unikalnych nazwach, maskujących swoją obecność pod postacią narzędzi konserwacyjnych i optymalizacyjnych, takich jak „Site Health Cache”. Po zainstalowaniu tylnej furtki atakujący tworzą konta z pełnymi uprawnieniami administratora lub logują się na profile już istniejących użytkowników.
Firma Nethemba poinformowała, że celem ataku stały się trzy z jej własnych stron na WordPressie, z czego na dwóch pomyślnie zainstalowano złośliwe wtyczki. Wszystkie trzy witryny działały na bieżącej wersji WordPress 7.1.3 oraz UpdraftPlus 2.26.11, która zawierała łatkę na wcześniejszą podatność CVE-2026-10795. Analiza wykazała, że żądania instalacji złośliwego oprogramowania nadeszły bezpośrednio przez oficjalny kanał zdalnego zarządzania UpdraftCentral.
Wymagane kroki naprawcze
Firma TeamUpdraft przygotowała poprawki mające usunąć klucze UpdraftCentral Cloud, jednak pierwsze wydanie 1.26.12 oraz 2.26.12 zawierało błąd uniemożliwiający ich skasowanie. Prawidłowo działający mechanizm wdrożono w wersji 1.26.13 dla wariantu darmowego oraz 2.26.13 dla wersji Premium.
Administratorzy witryn powinni wykonać następujące czynności:
- Zaktualizować wtyczkę UpdraftPlus do wydania 1.26.13, 2.26.13 lub nowszego.
- Przejść do zakładki Ustawienia, otworzyć UpdraftPlus Backups, wejść w Narzędzia zaawansowane, wybrać UpdraftCentral i ręcznie usunąć wszystkie istniejące klucze połączeń.
- Zmienić dane uwierzytelniające do zewnętrznych magazynów danych i ponowie autoryzować połączenia.
- Przejrzeć logi i pliki pod kątem wskaźników infekcji dostarczonych przez TeamUpdraft, Patchstack i Nethemba.
- W przypadku wykrycia infekcji przywrócić stronę z czystej kopii zapasowej, zmienić hasło do konta TeamUpdraft, zakończyć wszystkie aktywne sesje i zresetować składniki uwierzytelniania dwuskładnikowego.