Неизвестные злоумышленники взломали веб-сайт TeamUpdraft и, предположительно, получили несанкционированный доступ к ключам подключения клиентов для UpdraftCentral, UpdraftVault и UpdraftClone, используя их для установки бэкдоров на сайты WordPress.
TeamUpdraft является разработчиком UpdraftPlus, популярного плагина для резервного копирования WordPress с более чем четырьмя миллионами активных установок. Компания также предлагает UpdraftCentral, сервис удаленного управления, используемый для управления несколькими сайтами. Клиентский компонент UpdraftCentral включен в каждую копию UpdraftPlus.
«В выходные 17-18 октября мы выявили несанкционированный доступ к веб-сайту teamupdraft.com», — говорится в заявлении TeamUpdraft. «Наша команда немедленно отреагировала и работала всю ночь, чтобы устранить его — мы закрыли канал доступа, вышли из всех учетных записей и заменили ключи и учетные данные, которые могли быть затронуты».
Предполагается, что в результате инцидента злоумышленники получили доступ к базе данных клиентов, которая содержит следующую информацию:
TeamUpdraft заявила, что база данных не содержит никакой финансовой информации, поскольку эти данные обрабатываются Stripe и PayPal. Компания также подчеркнула, что плагин UpdraftPlus, а также локальные версии UpdraftCentral и резервные копии, отправленные на собственные удаленные хранилища клиентов, не пострадали.
«Однако, если ваш сайт был доступен через UpdraftCentral, пожалуйста, повторно авторизуйте ваше удаленное хранилище и измените любые ключи доступа к хранилищу в качестве меры предосторожности», — говорится в сообщении.
Кроме того, TeamUpdraft сообщила, что внедрила исправление для устранения основной проблемы, вышла из всех учетных записей teamupdraft.com и сбросила настройки безопасности входа на всем сайте, а также выпустила UpdraftPlus 1.26.13 (бесплатная версия) и 2.26.13 (Premium) для автоматического отключения всех подключений UpdraftCentral, сделанных до 22:00 BST 18 октября 2026 года, чтобы предотвратить работу старых ключей.
Другие предпринятые разработчиком шаги перечислены ниже:
Пользователям, имеющим учетную запись teamupdraft.com, рекомендуется немедленно сменить пароль (и в других местах, если тот же пароль использовался повторно), сбросить настройки двухфакторной аутентификации и проявлять осторожность при получении неожиданных электронных писем, якобы от TeamUpdraft.
TeamUpdraft также рекомендует облачным клиентам UpdraftCentral как можно скорее выполнить следующие шаги, поскольку ключи подключения могут отправлять команды на подключенные сайты:
Пользователям UpdraftVault настоятельно рекомендуется повторно подключить свои сайты к службе резервного копирования, а пользователям UpdraftClone, создавшим клиентский ключ, необходимо скопировать новые ключи из раздела «Моя учетная запись» > «UpdraftClone» > «Управление ключами UpdraftClone» и поделиться ими со своими клиентами.
Это происходит на фоне того, как компания по безопасности WordPress Patchstack сообщила, что зафиксировала атакующего, имеющего действительные ключи панели управления UpdraftCentral, отдающего команды на установку плагинов-бэкдоров на подключенные сайты WordPress. Кампания, как сообщается, продолжалась непрерывно в течение 18-часового окна 18 и 19 октября 2026 года.
«Злоумышленник отправляет команду signed plugin.upload_plugin через канал удаленного вызова процедур плагина, который прослушивает обычные POST-запросы к корневому каталогу сайта. WordPress устанавливает и активирует предоставленный плагин через стандартный установщик», — сказал исследователь безопасности Patchstack Дэйв Йонг.
Словацкая компания по тестированию на проникновение Nethemba, которая первой обнаружила атаку в реальных условиях, описала вредоносный плагин как бэкдор, который перехватывает каждый запрос к сайту, чтобы проверить, содержит ли URL параметр «?_9f5696=» и сравнивает его с 32-символьным токеном.
При обнаружении совпадающего токена создается пользователь «data-ops43» с отображаемым именем «Site Tools», ему присваивается роль редактора, а учетной записи предоставляются разрешения «manage_options» и «install_plugins», позволяющие оператору загружать произвольные PHP-плагины и открывать настройки сайта.
«Включение регистрации и установка роли по умолчанию «администратор» достаточно для злоумышленника, чтобы создать полноценного администратора», — заявила Nethemba. «На стандартном сайте WordPress редактор также имеет доступ к unfiltered_html, поэтому учетная запись может вставлять JavaScript в сообщения, который выполняется в браузере каждого администратора».
«Бэкдор имеет и второй уровень. Созданная учетная запись с известным паролем остается в WordPress даже после удаления плагина, и злоумышленник может войти в нее через обычную форму входа, если для этой учетной записи не включена двухфакторная аутентификация».
Хотя ранняя версия плагина содержала ошибку кодирования, из-за которой затронутые сайты выдавали ошибку 500, Nethemba сообщила, что злоумышленник удалил неисправный бэкдор, отправив команду «plugin.delete_plugin», а затем загрузил рабочую версию, которая создает полноценную учетную запись администратора или входит в систему как существующий администратор.
Владельцам сайтов WordPress рекомендуется проверять следующие признаки компрометации:
В общей сложности Patchstack зафиксировал 99 различных названий плагинов-бэкдоров, причем каждый образец содержал строку «Небольшой набор инструментов для обслуживания: поддерживает порядок в хранилище опций».
Wordfence, опубликовавшая собственный анализ инцидента, заявила, что сайт WordPress может быть затронут, если выполняются следующие критерии:
«Это второй инцидент в этом канале за пять месяцев», — предупредила Patchstack. «В июне 2026 года поставщик исправил CVE-2026-10795 (CVSS 8.1), где устаревший формат неподписанного сообщения позволял злоумышленнику подделывать команды UpdraftCentral без каких-либо ключей. Это было исправлено в версиях 1.26.5 и 2.26.5, но попытки эксплуатации продолжаются, поэтому сайты ниже этих версий сталкиваются с обеими проблемами одновременно».
Это происходит через несколько дней после того, как веб-сайт популярного плагина WordPress Rank Math PRO подвергся атаке на цепочку поставок программного обеспечения, в результате чего пользователи, загрузившие версию 3.0.123 между 15 октября 8:02 UTC и 16 октября 7:12 UTC, получили скомпрометированные версии, которые установили скрытые бэкдоры.
Инциденту присвоен идентификатор CVE CVE-2026-111862 (CVSS: 9.8). Проблема была исправлена в версии Rank Math PRO 3.0.124.
«Вредоносное ПО может установить постоянный доступ, взаимодействовать с rank1cdn[.]com, воссоздавать скрытые бэкдоры при посещении страниц и раскрывать учетные данные WordPress, учетные данные базы данных, ключи API и другие секреты, доступные веб-серверу», — заявила Wordefence.
Эти выводы также совпадают с консультативным уведомлением от PHP, в котором говорится, что компания намерена выпустить обновление безопасности, исправляющее две критические уязвимости (CVE-2026-109618 и CVE-2026-109619, CVSS: 9.2), поскольку информация об уязвимостях просочилась до их запланированного раскрытия. Уязвимости получили кодовое название PHP2Shell.
По словам генерального директора watchTowr Бенджамина Харриса, уязвимости затрагивают версии PHP 5, 6, 7 и 8 и должны были быть выпущены 22 октября в 11:00 ET.
«PHP повсюду. Он незаметно обеспечивает работу сайтов WordPress, Drupal, Joomla и Magento, платформ общего хостинга, панелей управления и множества программ, которые даже не рекламируют, что работают на PHP под капотом», — заявила Huntress. «Когда критическая ошибка возникает в самом PHP, а не в одном приложении, построенном на его основе, количество мест, где нужно искать уязвимые версии PHP, очень быстро становится огромным».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
