Firma TeamUpdraft potwierdziła naruszenie bezpieczeństwa swojej strony internetowej, do którego doszło w weekend 17 i 18 października 2026 roku. Atakujący uzyskali dostęp do bazy danych zawierającej informacje o klientach oraz klucze połączeń dla usługi UpdraftCentral. Przejęte poświadczenia pozwoliły na wydawanie poleceń połączonym witrynom opartym na WordPressie bez konieczności posiadania loginu lub hasła.
Przejęcie kluczy i instalacja złośliwych wtyczek
Według analizy opublikowanej przez firmę Patchstack problem nie wynikał z błędu w kodzie samej wtyczki UpdraftPlus. Mechanizmy kontrolne na stronach działały zgodnie z założeniami, lecz polecenia przesyłane przez atakujących były poprawnie zaszyfrowane i podpisane autentycznymi kluczami prywatnymi usługi. Witryny uznawały przychodzące instrukcje za uprawnione.
Za pomocą skradzionych kluczy przesyłano polecenia nakazujące instalację i aktywację złośliwych wtyczek przez standardowy proces instalacji WordPressa. Patchstack zidentyfikował 99 różnych nazw złośliwych rozszerzeń, w tym Site Health Cache, które przypominały narzędzia do optymalizacji i konserwacji. Zainstalowany backdoor mógł utworzyć konto z rolą Redaktora, po czym nadawał mu dodatkowe uprawnienia administracyjne, z pominięciem standardowego procesu logowania oraz uwierzytelniania dwuskładnikowego. Analiza Patchstack wykazała, że złośliwe wtyczki zawierały błąd programistyczny, który powodował zwracanie błędów serwera przez witryny, zanim backdoor zdołał się aktywować.
Ukryte uprawnienia i domyślne połączenia
Incydent dotyczy stron z aktywnym połączeniem z usługą UpdraftCentral Cloud, zarówno w darmowej, jak i płatnej wersji wtyczki. Wersje samodzielnie hostowane (self-hosted) nie zostały naruszone. Właściciele witryn mogli posiadać aktywne połączenie bez wcześniejszego zamiaru korzystania ze zdalnego zarządzania, ponieważ opcja ta była domyślnie zaznaczona podczas łączenia witryny z kontem TeamUpdraft.
Zalecane działania dla administratorów
Wydano aktualizacje wtyczki: wersję 1.26.13 dla edycji bezpłatnej oraz 2.26.13 dla wersji płatnej. Wycofują one stare klucze i automatycznie odłączają witryny od UpdraftCentral Cloud, a WordPress.org automatycznie przesłał zaktualizowaną wtyczkę użytkownikom. Wprowadzone łatki uniemożliwiają dalszy dostęp tą drogą, ale nie usuwają złośliwych wtyczek ani utworzonych nieautoryzowanych kont.
Twórcy wtyczki zalecają sprawdzenie zainstalowanych rozszerzeń pod kątem nieznanych dodatków oraz skontrolowanie kont użytkowników pod kątem nieautoryzowanych administratorów. W panelu WordPressa należy usunąć pozostałe klucze połączeń w zakładce Ustawienia, UpdraftPlus, Narzędzia zaawansowane i UpdraftCentral. W przypadku wykrycia śladów naruszenia zalecana jest zmiana haseł administratora oraz rozważenie przywrócenia kopii zapasowej wykonanej przed 17 października. Użytkownikom kont TeamUpdraft zaleca się również zmianę haseł do tych kont.
