Злам UpdraftPlus: зловмисники отримали доступ до сайтів на WordPress через ключі UpdraftCentral
Головне за 30 секунд
- Хакерська атака на TeamUpdraft призвела до витоку ключів підключення UpdraftCentral, що дозволило зловмисникам контролювати зв’язані сайти WordPress.
- Атака здійснювалася шляхом надсилання легітимних команд для встановлення шкідливих плагінів та створення прихованих облікових записів з правами адміністратора.
- Випущено оновлення UpdraftPlus 1.26.13 для безкоштовної версії та 2.26.13 для преміум-версії, які відкликають скомпрометовані ключі.
- Оновлення плагіна не видаляє вже встановлені шкідливі модулі, тому власникам сайтів необхідно вручну перевірити список розширень і користувачів.
Зміст
Що сталося
Унаслідок зламу сайту компанії TeamUpdraft, який стався протягом вихідних 17–18 жовтня 2026 року, зловмисники отримали доступ до бази даних клієнтів. У ній містилися ключі підключення до сервісу віддаленого керування UpdraftCentral. Скомпрометовані ключі дозволили хакерам надсилати команди на сайти WordPress, які сприймалися системою як повністю авторизовані інструкції без необхідності вводити логін і пароль.
Використовуючи ці ключі, на сайти встановлювалися шкідливі плагіни (Patchstack ідентифікувала 99 різних назв, серед яких Site Health Cache). Ці плагіни містили бекдор, який створював обліковий запис з роллю Редактора та надавав йому адміністративні привілеї, а також дозволяв обходити двофакторну автентифікацію та обмеження на логін. 19 жовтня 2026 року було випущено оновлення UpdraftPlus 1.26.13 (для безкоштовної версії) та 2.26.13 (для преміум-версії), які скасовують ключі UpdraftCentral Cloud і блокують подальший доступ через цей канал.
Кого це стосується
Інцидент торкнувся сайтів, які мали активне підключення до UpdraftCentral Cloud. Оскільки опція віддаленого керування вмикалася за замовчуванням під час прив’язки акаунта TeamUpdraft, під загрозою опинилися навіть сайти, де UpdraftPlus використовувався виключно для резервного копіювання.
Проблема стосується як безкоштовної, так і преміум-версії плагіна. Водночас самостійно розміщені (self-hosted) інсталяції UpdraftCentral не зазнали впливу цієї атаки.
Що робити
Оскільки оновлення плагіна блокує лише майбутні спроби проникнення і не видаляє вже створені бєкдори, власникам сайтів необхідно виконати наступні кроки:
- Перевірити версію UpdraftPlus та переконатися, що встановлено виправлену версію (1.26.13, 2.26.13 або новішу).
- Переглянути список усіх встановлених плагінів та видалити невідомі чи підозрілі розширення.
- Перевірити список користувачів WordPress на наявність несанкціонованих записів з правами Редактора або Адміністратора.
- Перевірити й видалити залишкові ключі з’єднання у меню Settings -> UpdraftPlus -> Advanced Tools -> UpdraftCentral.
- Змінити паролі адміністраторів сайту та пароль від акаунта TeamUpdraft.
- У разі виявлення слідів взлому відновити сайт із резервної копії, створеної до 17 жовтня 2026 року.
Чого поки не відомо
Розслідування інциденту з боку TeamUpdraft триває. Наразі компанія зазначає, що доказів наявності повторного або збереженого доступу зловмисників до її внутрішніх систем немає.
