Атака през UpdraftPlus слага скрит админ, изтрийте ключа

На 19 октомври 2026 г. TeamUpdraft, компанията зад плъгина за бекъп UpdraftPlus, съобщи за неразрешен достъп до teamupdraft.com през уикенда на 17 и 18 октомври. Сред изтеклите данни са ключовете за UpdraftCentral, услугата, през която много сайтове се управляват от едно място. С тези ключове нападателят праща команди до сайтовете и им инсталира плъгин със задна врата. Вечерта на 19 октомври TeamUpdraft пусна версии 1.26.13 (безплатната) и 2.26.13 (Premium), които отменят старите ключове. Според wordpress.org UpdraftPlus има над 3 милиона активни инсталации.

Обновлението обаче не изтрива всички ключове и не чисти сайт, който вече е нападнат. Ако задната врата е била качена, в сайта има потребител, който остава и след изтриването на плъгина.

Какво е изтекло от TeamUpdraft

Според TeamUpdraft нападателят е стигнал до базата данни с клиентите, в която има имена, имейл адреси, адреси за фактуриране, история на поръчките, хеширани пароли, настройки за двуфакторна защита и ключове за UpdraftCentral, UpdraftVault и UpdraftClone. Данни за карти компанията не пази. Самият плъгин и файловете за изтегляне не са засегнати, така че проблемът не е в кода на UpdraftPlus във Вашия сайт.

Според Patchstack нападателят праща на сайта команда plugin.upload_plugin, подписана с истински ключ. UpdraftPlus я приема и WordPress инсталира и активира плъгина. Patchstack е засякъл такива инсталации на 18 и 19 октомври под 99 различни имена, а част от тях носят описание, което започва със „Small maintenance toolkit“. Кампанията според Patchstack продължава. CVE няма, защото в кода на плъгина няма уязвимост.

Какво прави задната врата в сайта

Плъгинът чака заявка с таен параметър в адреса. Когато я получи, създава потребител с роля Editor (редактор) и му дава правата да инсталира плъгини и да сменя настройките. С тези права акаунтът може да се направи администратор, а в списъка с администратори не се вижда. От Nethemba са намерили и акаунти, създадени направо като администратори.

За да влезе, плъгинът сам поставя бисквитката за вход и пренасочва към wp-admin. Формата за вход се заобикаля, а с нея и двуфакторната защита и ограничението на опитите. Акаунтът остава и след като плъгинът бъде изтрит, а нападателят знае паролата му.

Ключовете за UpdraftCentral нямат срок на валидност. На 20 октомври от Nethemba са видели как нападателят пробва тайните адреси на вече махнати задни врати. Където задната врата още стои, той може да влезе.

Защо може да е засегнат и сайт без UpdraftCentral

Когато свържете плъгина с профила си в TeamUpdraft.com, например за обновленията на Premium или за UpdraftVault, във формата има отметка „Add this website to UpdraftCentral“. Ако сайтът още няма ключ, отметката е сложена по подразбиране, както се вижда в кода на версия 1.26.13. Едно влизане с оставена отметка стига, за да се създаде ключ. Самата инсталация на плъгина ключ не създава.

Махането на сайта от таблото на UpdraftCentral не помага, защото ключът е записан в самия сайт и остава там.

Засегнат ли е Вашият сайт?

Версията на UpdraftPlus се вижда в Plugins > Installed Plugins. В Terminal на cPanel първата команда по-долу показва версията, а втората проверява дали в сайта има ключ за UpdraftCentral. Как се работи с WP-CLI, е описано в ръководството за WP-CLI.

# cPanel > Terminal, в папката на сайта
# Само чете. Версията на UpdraftPlus и ключовете за UpdraftCentral.
wp plugin list --fields=name,status,version \
  --skip-plugins --skip-themes | grep -i updraft
wp option get updraft_central_localkeys \
  --skip-plugins --skip-themes

Ако втората команда отговори с „Could not get 'updraft_central_localkeys' option“ или с празен списък, ключ няма. Ако изведе записи, ключ има и сайтът трябва да се провери. С --skip-plugins --skip-themes WP-CLI не зарежда плъгините и темата и не изпълнява кода на евентуална задна врата (плъгините в mu-plugins се зареждат въпреки това).

Следващите команди търсят следи от атаката и също нищо не променят.

# cPanel > Terminal, в папката на сайта
# Само чете. Кой може да инсталира плъгини, новите потребители,
# плъгините и последно променените им папки.
wp user list --capability=install_plugins \
  --fields=ID,user_login,user_email,roles,user_registered \
  --skip-plugins --skip-themes
wp user list --orderby=registered --order=DESC --number=20 \
  --fields=ID,user_login,user_email,roles,user_registered \
  --skip-plugins --skip-themes
wp plugin list --fields=name,title,status,version \
  --skip-plugins --skip-themes
ls -lt wp-content/plugins | head -n 15

Първата команда показва всички, които могат да инсталират плъгини. Потребител с роля editor или непознат администратор в този списък е силен знак за задна врата. Втората показва последните 20 регистрирани потребители. Акаунтите от атаката имат имена като data-ops43 и имейли на @example.org или @example.com. Последните две изреждат плъгините (и тези в mu-plugins) и папките им, с най-скоро променените най-отгоре. Търсете непознати имена като site-health-cache и папки, променени от 18 октомври насам.

Какво да направите

1. Обновете UpdraftPlus до 1.26.13 или по-нова версия (Premium до 2.26.13). Версия 1.26.12 трябваше да отмени старите ключове, но заради грешка не го прави. Според кода 1.26.13 изтрива само ключовете, създадени преди 15:07 часа българско време на 18 октомври. По-новите остават, затова е нужна и следващата стъпка.
2. Изтрийте всички ключове за UpdraftCentral. В wp-admin това става от Settings > UpdraftPlus Backups > Advanced Tools > UpdraftCentral, под „Manage existing keys“, а през WP-CLI с командата по-долу. Бекъпите продължават да работят, спира само отдалеченото управление. Patchstack съветва да не свързвате сайта отново, докато TeamUpdraft не обясни как са изтекли ключовете.

# cPanel > Terminal, в папката на сайта
# Променя базата данни. Изтрива всички ключове за UpdraftCentral.
wp option delete updraft_central_localkeys \
  --skip-plugins --skip-themes

Изтритият ключ не се връща. При ново свързване с UpdraftCentral се създава нов.

3. Сменете паролата за teamupdraft.com, като отворите адреса сами. Ако ползвате същата парола и другаде, сменете я и там. Ако ползвате двуфакторна защита, настройте я наново от My Account. TeamUpdraft е изключила всички сайтове от UpdraftVault, затова ако го ползвате, свържете ги отново с новата парола.
4. Ако проверката открие непознат потребител или плъгин, приемете, че сайтът е хакнат. Първо изтрийте ключа, иначе нападателят може да качи нова задна врата. Не трийте плъгина през wp-admin, защото според Patchstack при изтриване той заличава следите си. Деактивирайте го, преместете папката му извън сайта, изтрийте акаунта, сменете паролите на администраторите и прекратете активните сесии. TeamUpdraft препоръчва при съмнение да възстановите сайта от бекъп отпреди 17 октомври, както е описано в ръководството за бекъп.

Какво правим ние

При наблюдението на уязвимостите всеки ден сверяваме плъгините, темата и WordPress на Вашия сайт с базите данни с уязвимости (CVE). Щом се появи уязвимост в нещо, което използвате, изпращаме Ви сигнал, а обновлението първо пробваме на копие в staging. Инцидентът с UpdraftPlus няма CVE, затова срещу него помагат проверките по-горе. Ако те покажат следи от атаката, при почистването на хакнат сайт махаме задната врата и скритите акаунти. Правим и двете, където и да е хостнат сайтът Ви.

Източници

• TeamUpdraft, Security incident October 2026
• WordPress.org, UpdraftPlus
• WordPress.org Plugin SVN, UpdraftPlus 1.26.13, admin.php
• WordPress.org Plugin SVN, UpdraftPlus 1.26.13, class-updraftplus.php
• Patchstack, Stolen UpdraftCentral Keys Are Backdooring WordPress Sites
• Nethemba, Critical security problem in UpdraftCentral, analysis of the backdoor
• WP-CLI, wp option get
• WP-CLI, wp option delete
• WP-CLI, wp user list
• WP-CLI, wp plugin list
• WordPress Developer Resources, WP_User_Query