TeamUpdraft, разработчикът зад плъгина за архивиране и резервни копия на WordPress – UpdraftPlus, разкри пробив в своя уебсайт, довел до изтичане на ключове за дистанционно управление. Атакуващите са използвали тези ключове, за да инсталират зловредни плъгини на свързаните WordPress сайтове, превръщайки доверена функция за управление в канал за изпълнение на вредоносен код.

Компанията идентифицира неоторизиран достъп до teamupdraft.com в периода 17–18 октомври 2026 г. Атакуващите вероятно са осъществили достъп до клиентската база данни, включваща имена, имейл адреси, данни за фактуриране, история на поръчките, хешове на пароли, настройки за двуфакторна автентикация и ключове за връзка с UpdraftCentral, UpdraftVault и UpdraftClone.

Атакуващите инсталираха зловредни плъгини за WordPress

UpdraftCentral позволява на администраторите да управляват WordPress сайтове от едно общо табло за управление. Свързаните сайтове се доверяват на команди, подписани с частния ключ на таблото, и ги изпълняват с правата на WordPress потребителя, създал връзката.

Изследователи от Nethemba документираха как атакуващите изпращат командата plugin.upload_plugin с валидни ключове. Там, където свързаният потребител е имал правомощия да инсталира и активира плъгини, WordPress е приемал заявката и е зареждал зловреден PHP код. В един от разследваните сайтове опитът е бил неуспешен, тъй като свързаният потребител не е притежавал нужните права.

Това не е заобикаляне на по-ранната корекция за сигурност на CVE-2026-10795. Засегнатите сайтове, анализирани от Nethemba, вече са работели с UpdraftPlus 2.26.11. Откраднатите ключове са позволили на заявките да преминат стандартните проверки, без да се експлоатира въпросната по-стара уязвимост.

Изследователите са открили задни вратички (backdoors), маскирани като инструменти за поддръжка. Работещите варианти са позволявали на атакуващите да влизат в съществуващи администраторски акаунти или да създават нови. Някои от тях са се скривали от списъка с плъгини, докато дефектни версии са предизвиквали PHP грешки и сривове на сайтовете. Поради това нормалният списък с администратори не изключва компрометиране.

Както потребителите на безплатната, така и на Premium версията на UpdraftPlus могат да бъдат засегнати, ако техните сайтове са съдържали засегнатите облачни ключове за връзка с UpdraftCentral. Самото инсталиране на UpdraftPlus не създава автоматично такава връзка. Свързването на акаунт в TeamUpdraft обаче може да предостави предварително отметната опция за добавяне на сайта към UpdraftCentral, поради което забравените връзки си струва да бъдат прегледани.

От TeamUpdraft заявяват, че самият плъгин и неговите инсталационни пакети за изтегляне не са били модифицирани. Това се различава от атаката по веригата за доставки срещу GravityForms, при която зловреден код достигна до потребителите чрез компрометирани файлове за изтегляне. Предишният инцидент с излагане на архиви на UpdraftPlus също включваше отделна уязвимост в плъгина, а не откраднати облачни ключове за управление.

Доставчикът заявява, че самостоятелно хостваният UpdraftCentral и резервните копия, съхранявани в собствени акаунти на клиентите в Google Drive, Dropbox или Amazon S3, не са засегнати от пробива на уебсайта. Сайтовете, достъпвани през UpdraftCentral, все пак трябва да подновят достъпа до хранилищата като предпазна мярка.

TeamUpdraft посочва, че е затворил входната точка за достъп, прекратил е активните клиентски сесии, подменил е служебните идентификационни данни и е докладвал за пробива на съответните органи. Компанията не съхранява данни за банкови карти, тъй като плащанията се обработват през Stripe и PayPal.

Администраторите трябва да обновят до UpdraftPlus 1.26.13 Free или 2.26.13 Premium, или по-нова версия. Официалният списък с промени потвърждава, че тези версии коригират премахването на ключове, въведено в 1.26.12. Nethemba също така съобщава за несъответствие при прекъсването, което може да остави част от изложените ключове активни, така че ръчните проверки остават изключително важни.

Влезте директно във всяко WordPress табло за управление и отворете Settings > UpdraftPlus > Advanced Tools > UpdraftCentral. Изтрийте старите ключове за връзка, прегледайте файловете на плъгините и системните логове на сървъра и проверете за непознати потребители. Обновяването или изтриването на ключовете не може да премахне вече инсталираните задни вратички.

Притежателите на акаунти в TeamUpdraft трябва да сменят паролите си, да заменят повторно използваните пароли на други места и да нулират двуфакторната си автентикация. Администраторите трябва също така да сменят администраторските пароли на своите сайтове. При поява на съмнителна активност TeamUpdraft съветва да се обмисли възстановяване от резервно копие, направено преди 17 октомври. Свързвайте отново облачните услуги едва след приключване на проверките и обезопасяване на сайта.