Kľúče UpdraftCentral boli zneužité na inštaláciu backdoorov vo WordPresse

Kompromitované kľúče UpdraftCentral boli použité na vzdialenú inštaláciu škodlivých pluginov s backdoormi na niektorých WordPress stránkach. Spoločnosť TeamUpdraft potvrdila neoprávnený prístup k webu teamupdraft.com počas víkendu 17. až 18. októbra 2026. Podľa firmy mohla byť sprístupnená zákaznícka databáza vrátane kľúčov pre služby UpdraftCentral, UpdraftVault a UpdraftClone.

Incident sa netýka všetkých používateľov doplnku UpdraftPlus. Riziko sa vzťahuje na inštalácie s cloudovým pripojením UpdraftCentral, ktorého kľúče umožňujú odosielať príkazy pripojeným WordPress stránkam. Útočník, ktorý takýto kľúč získal, mohol cez dôveryhodný kanál vzdialenej správy nahrať plugin a vytvoriť si na webe perzistentný prístup.

Kompromitované kľúče UpdraftCentral a príkaz na nahratie pluginu

Bezpečnostné firmy Nethemba a Patchstack nezávisle zdokumentovali zneužitie platne podpísaných príkazov plugin.upload_plugin. Tieto príkazy boli použité na nasadenie škodlivých pluginov obsahujúcich backdoory na pripojených stránkach.

Podstatné je, že nejde o potvrdenú chybu v kóde UpdraftPlus ani o pozmenené inštalačné balíky doplnku. TeamUpdraft uviedol, že samotné distribučné balíky UpdraftPlus incident nezasiahol. Firma zároveň tvrdí, že problém sa netýka ani self-hosted nasadení UpdraftCentral.

Takýto scenár komplikuje bežnú kontrolu bezpečnosti WordPressu: správca mohol používať aktuálny a nezmenený plugin, no jeho stránka mohla byť napriek tomu zasiahnutá cez aktívne cloudové pripojenie. Nahratý škodlivý plugin môže slúžiť ako backdoor, teda mechanizmus na ďalší neoprávnený prístup.

Aktualizácia odvoláva staršie pripojenia

TeamUpdraft vydal verzie UpdraftPlus 1.26.13 a 2.26.13. Podľa dodávateľa táto aktualizácia automaticky odvolá staré pripojenia UpdraftCentral vytvorené pred 18. októbrom 2026, 22:00 BST. Cieľom je zablokovať použitie starších kľúčov, ktoré mohli byť pri incidente sprístupnené.

Pre správcov dotknutých cloudovo pripojených webov je preto dôležité overiť používanú verziu UpdraftPlus a prejsť na vydanie 1.26.13 alebo 2.26.13. Samotná aktualizácia však neodstráni škodlivý plugin, ktorý už mohol byť na stránku nainštalovaný, ani prípadné neoprávnene vytvorené administrátorské účty. Pri podozrení na zásah je potrebné preveriť nainštalované pluginy a používateľské účty vo WordPresse.

TeamUpdraft incident nahlásil britskému úradu ICO a ďalším príslušným orgánom. Verejne však neuviedol technickú príčinu neoprávneného prístupu ani definitívne nepotvrdil, ktoré konkrétne databázové záznamy boli exfiltrované.

Počet napadnutých webov zatiaľ nie je známy

Nie je verejne potvrdené, koľko WordPress stránok bolo napadnutých, aký bol rozsah následného prístupu útočníkov ani úplný zoznam použitých backdoorov. Nejasná zostáva aj situácia po vydaní opráv: TeamUpdraft tvrdí, že odvolanie starých pripojení tento vektor zablokovalo, zatiaľ čo Nethemba zaznamenala pokračujúce pokusy o odosielanie príkazov.

Pokračujúce pokusy samy osebe nepotvrdzujú úspešnú kompromitáciu už aktualizovaných webov. Ďalšie informácie by mali priniesť výsledky vyšetrovania TeamUpdraft, prípadné oznámenia dotknutým používateľom a technické indikátory od bezpečnostných dodávateľov či hostingových spoločností.

Overené a aktualizované: 21. 10. 2026 15:41