Украденные ключи UpdraftCentral использовали для взлома сайтов на WordPress

Компания TeamUpdraft, разработчик популярных плагинов резервного копирования и защиты для WordPress, сообщила о несанкционированном доступе к своей инфраструктуре. Инцидент произошёл в выходные 17–18 октября; по оценке компании, атакующий добрался до клиентской базы данных.

TeamUpdraft развивает несколько инструментов: UpdraftPlus (резервное копирование и восстановление, более 4 млн загрузок), UpdraftCentral (удалённое управление множеством сайтов), UpdraftVault (облачное хранилище бэкапов) и UpdraftClone (создание тестовых копий сайтов).

«В выходные 17–18 октября мы выявили несанкционированный доступ к сайту teamupdraft.com», — говорится в уведомлении. По словам разработчика, команда работала всю ночь: закрыла канал доступа, завершила все сессии и заменила ключи и учётные данные, которые могли быть затронуты.

Что утекло

В скомпрометированной базе, помимо сведений о клиентах, биллинге и заказах, находились хеши паролей, настройки двухфакторной аутентификации и ключи подключения для UpdraftCentral, UpdraftVault и UpdraftClone. Платёжные данные компания не хранит, а файлы и дистрибутивы плагина UpdraftPlus не пострадали. Не затронуты и самостоятельно размещённые экземпляры UpdraftCentral.

Масштаб угрозы

По оценкам, ключ UpdraftCentral или Migrator имеется примерно у 10% сайтов с UpdraftPlus — это около 400 тысяч ресурсов. Ведущий исследователь Patchstack Оливер Силд сообщил, что атакующие уже начали использовать похищенные ключи для установки бэкдоров, и предположил, что кампания может оказаться серьёзнее атаки «wp2shell».

Атаки начались 18 октября в 15:32 UTC: злоумышленники выполняют произвольный код и создают учётные записи с полными правами администратора. Patchstack зафиксировала не менее 99 вредоносных плагинов-бэкдоров с разными названиями, замаскированных под инструменты обслуживания и оптимизации — например, «Site Health Cache».

Ранняя версия бэкдора была нерабочей из-за ошибки в коде, однако фирма Nethemba описала более новый вариант, позволяющий создавать привилегированные аккаунты или входить под существующими администраторами. Три собственных сайта Nethemba подверглись атаке через UpdraftCentral, на двух плагины установились успешно. При этом все они работали на актуальной WordPress 7.1.3 и UpdraftPlus 2.26.11, где уже закрыта июньская уязвимость CVE-2026-10795. «Атакующий не взламывал наши серверы и не использовал слабостей конфигурации. Он вошёл через канал удалённого управления UpdraftCentral, подписав команды действительными приватными ключами», — отмечают в Nethemba.

Что делать

Первый выпуск исправления (1.26.12/2.26.12) должен был удалить облачные ключи UpdraftCentral, но из-за бага этого не сделал. Пользователям рекомендуется обновить UpdraftPlus до 1.26.13 (бесплатная версия) или 2.26.13 (Premium) и выше, а затем вручную удалить ключи подключения в настройках плагина. Администраторам стоит проверить журналы и файлы на признаки компрометации; при её подтверждении — восстановить сайт из чистой резервной копии, сменить пароль аккаунта TeamUpdraft, отозвать все сессии и перенастроить двухфакторную защиту.

Источник: Bleeping Computer