UpdraftPlus: wyciek kluczy pozwolił przejmować strony WWW

Tym razem źródłem kłopotów nie był błąd w kodzie wtyczki, tylko włamanie do jej producenta.

Strona TeamUpdraft została przejęta w weekend 17–18 października 2026 roku.

Firma przypuszcza, że napastnicy dostali się do bazy klientów, w której znajdowały się dane klientów oraz klucze połączeń do usług, w tym UpdraftCentral.

UpdraftCentral to funkcja zdalnego zarządzania, która pozwala obsługiwać wiele instalacji WordPressa z jednego panelu. Klucze bezpieczeństwa uwierzytelniają polecenia wysyłane z tego panelu do podłączonych stron, dzięki czemu usługa może wykonywać czynności administracyjne bez logowania się do każdej witryny z osobna.

Skradzione klucze pozwoliły wysyłać do stron polecenia, które wyglądały jak prawidłowe instrukcje z usługi zdalnego zarządzania. Standardowe zabezpieczenia nie były w stanie odróżnić ich od prawdziwych, więc strony wykonywały je jak autoryzowane.

Patchstack w pierwszej analizie ujął to tak: „To nie jest podatność w UpdraftPlus i na dzień 19 października żadna aktualizacja wtyczki tego nie powstrzymuje. Polecenia są poprawnie zaszyfrowane i podpisane prawdziwymi kluczami prywatnymi panelu. Każda kontrola we wtyczce przechodzi pomyślnie, bo z punktu widzenia strony polecenie jest prawidłowe” (w oryginale: „This is not a vulnerability in UpdraftPlus”).

Ta analiza ukazała się, zanim TeamUpdraft wydało aktualizacje bezpieczeństwa.

Za pomocą skradzionych kluczy napastnicy kazali stronom zainstalować i aktywować złośliwe wtyczki, a strony robiły to zwykłą ścieżką instalacji WordPressa. Wtyczki zawierały tylne drzwi, które mogły utworzyć konto z rolą Redaktor (Editor) i nadać mu dodatkowe uprawnienia administracyjne.

Takie konto może wyglądać na zwykłego redaktora, choć ma uprawnienia zarezerwowane dla administratorów. Tylne drzwi omijały też standardowe logowanie, a razem z nim uwierzytelnianie dwuskładnikowe i limity prób logowania.

Analiza Patchstack wykazała, że złośliwe wtyczki miały błąd w kodzie, przez który strony zwracały błędy serwera, zanim tylne drzwi zdążyły się uruchomić. Ten błąd nie usunął jednak zagrożenia.

Patchstack zidentyfikował 99 różnych nazw złośliwych wtyczek, w tym Site Health Cache.

Nazwy przypominały legalne narzędzia do konserwacji i poprawy wydajności, przez co były mniej oczywiste dla właścicieli stron.

Właściciel strony mógł mieć aktywne połączenie z UpdraftCentral, nawet jeśli nigdy nie zamierzał z niego korzystać. Podłączenie strony do konta TeamUpdraft mogło automatycznie utworzyć takie połączenie, bo opcja zdalnego zarządzania była domyślnie zaznaczona.

Problem dotyczy stron z aktywnym połączeniem UpdraftCentral Cloud, a nie każdej instalacji UpdraftPlus. Obejmuje zarówno wersję darmową, jak i premium. Samodzielnie hostowane instalacje UpdraftCentral nie zostały naruszone.

Droga nieautoryzowanego dostępu została zamknięta, a potencjalnie przejęte dane uwierzytelniające wymieniono. Wersje UpdraftPlus 1.26.13 (darmowa) i 2.26.13 (premium) ukazały się 19 października 2026 roku i unieważniają klucze UpdraftCentral Cloud, automatycznie odłączając strony od tej usługi. WordPress.org rozesłał zaktualizowaną wtyczkę automatycznie.

Firma nie ma obecnie dowodów, że napastnicy nadal mają dostęp do jej systemów, ale dochodzenie trwa.

Co to znaczy dla Twojej firmy

Jeśli Twoja strona działa na WordPressie i robi kopie zapasowe przez UpdraftPlus, sprawdź ją, nawet jeśli nigdy świadomie nie korzystałeś ze zdalnego zarządzania.

Automatyczna aktualizacja zamyka drzwi, którymi weszli napastnicy, ale nie sprząta tego, co mogli po sobie zostawić.

Dla praktyka

Lista kontrolna dla każdej strony z UpdraftPlus, także tej, na której UpdraftCentral nikt świadomie nie włączał:

• Wersja wtyczki. Właściciele stron powinni upewnić się, że mają UpdraftPlus 1.26.13 lub 2.26.13 albo nowszą wersję.
• Klucze połączeń. Klucze UpdraftCentral znajdziesz w kokpicie WordPressa: Ustawienia → UpdraftPlus → Zaawansowane narzędzia (Advanced Tools) → UpdraftCentral. Usuń wszystkie pozostałe klucze, które mogły zostać przejęte.
• Wtyczki. Przejrzyj listę zainstalowanych wtyczek pod kątem nieznanych pozycji. Szczególnie podejrzane są nazwy udające narzędzia do konserwacji lub wydajności, np. Site Health Cache.
• Konta użytkowników. Sprawdź nie tylko administratorów, ale też konta z rolą Redaktor. Redaktor standardowo nie może instalować wtyczek ani zmieniać ważnych ustawień. Konto redaktora z takimi możliwościami to sygnał alarmowy.
• Hasła. Zmień hasła administratorów. Posiadacze kont TeamUpdraft powinni zmienić także hasło do tego konta.
• Przywracanie. W razie wykrycia śladów włamania zalecane jest rozważenie przywrócenia strony z kopii utworzonej przed 17 października.

Czego nie robić:

• Nie zakładaj, że skoro wtyczka się zaktualizowała, strona jest czysta. Aktualizacja nie usuwa złośliwych wtyczek ani kont dodanych wcześniej.
• Nie odpuszczaj kontroli tylko dlatego, że strona pokazywała błędy serwera zamiast działać. Błąd w złośliwym kodzie nie oznacza, że zagrożenie zniknęło.

Źródła

• UpdraftPlus WordPress Plugin Security Breach Enables Backdoor Attacks, Search Engine Journal