Wyciek kluczy UpdraftCentral: backdoory w WordPressie

Twórca wtyczki UpdraftPlus przyznaje się do wycieku kluczy UpdraftCentral

TeamUpdraft, firma stojąca za jedną z najpopularniejszych wtyczek do backupu WordPressa, UpdraftPlus, potwierdziła w połowie października 2026 roku nieautoryzowany dostęp do swojej infrastruktury. Włamanie miało miejsce w weekend 17-18 października. Z relacji serwisów branżowych (BleepingComputer, The Hacker News, CSO Online, Patchstack) wynika, że napastnicy wykorzystali wykradzione klucze połączenia UpdraftCentral, czyli funkcji do zdalnego zarządzania wieloma instalacjami WordPressa z jednego panelu, do instalowania złośliwych wtyczek i tworzenia ukrytych kont administratorskich na podłączonych stronach.

To nie jest atak na samą wtyczkę UpdraftPlus w wersji, którą instalujesz z repozytorium. Kod wtyczki i pliki do pobrania, według zapewnień TeamUpdraft, pozostały niezmienione. Problem leży w kluczach dostępowych do usługi UpdraftCentral Cloud, opcjonalnego dodatku do zdalnego zarządzania wieloma stronami naraz. Dotyczy to więc tylko tej części instalacji UpdraftPlus, które mają aktywne połączenie z UpdraftCentral, co Patchstack szacuje na około 10 procent wszystkich aktywnych wdrożeń wtyczki. Sama wtyczka ma ponad 3 miliony aktywnych instalacji, więc liczba potencjalnie narażonych stron idzie w setki tysięcy.

Mechanizm backdoora, opisany przez Patchstack i Nethembę, jest charakterystyczny: złośliwa wtyczka nasłuchuje sekretnego parametru w adresie URL, a po aktywacji tworzy konto z rolą Edytora i dopisuje mu uprawnienia administratora, obchodząc przy tym standardowe mechanizmy logowania, w tym dwuczynnikowe uwierzytelnianie.

TeamUpdraft wydał łatki, które unieważniają stare klucze, i zaleca aktualizację wtyczki do najnowszej wersji. To jednak nie usuwa backdoorów, które zdążyły się już zainstalować: aktualizacja zamyka drzwi, ale nie wyrzuca z domu kogoś, kto już wszedł.

Dla właściciela strony na WordPressie to przypomnienie, że ryzyko nie kończy się na samej wtyczce. Zdalne panele zarządzania i usługi w chmurze podpięte pod stronę to osobna powierzchnia ataku, którą trzeba traktować równie serio jak same aktualizacje. Jeśli korzystasz z UpdraftPlus z włączonym UpdraftCentral, sprawdź listę kont administratorów i edytorów w WordPressie pod kątem nieznanych wpisów, usuń powiązane klucze w ustawieniach wtyczki (Ustawienia: UpdraftPlus Backups, Advanced Tools, UpdraftCentral) i, przy jakimkolwiek podejrzeniu, przywróć kopię z daty wcześniejszej niż 17 października. To też dobry moment, żeby sprawdzić, czy wiesz, czym właściwie jest kopia zapasowa strony w twoim przypadku: kto ją robi, jak często i gdzie jest przechowywana. Bez tej wiedzy cała rozmowa o przywracaniu danych po incydencie jest czysto teoretyczna.

Dla hostingu to kolejny argument za tym, że warstwa ochronna na poziomie serwera, nie tylko sama wtyczka, ma sens: filtrowanie podejrzanych żądań, monitoring nowych kont administratorskich, alerty o nietypowej aktywności. W naszej metodologii testów sprawdzamy między innymi takie mechanizmy, bo dobrze napisana wtyczka backupowa nie zastąpi zabezpieczeń po stronie serwera. W rankingu hostingów pod blogi na WordPressie uwzględniamy właśnie takie różnice między firmami.