Украденные ключи UpdraftCentral позволили хакерам заражать сайты WordPress

17–18 октября 2026 года TeamUpdraft обнаружила несанкционированный доступ к своему сайту. Компания считает, что злоумышленники могли получить содержимое клиентской базы данных, включая ключи подключения UpdraftCentral, сведения об учетных записях и настройки двухфакторной аутентификации.

UpdraftCentral предназначен для централизованного управления несколькими сайтами WordPress. Через него администратор может устанавливать плагины, выполнять обновления и управлять другими функциями сайта. Для подтверждения команд используются специальные криптографические ключи.

Именно этот механизм оказался под угрозой. Получив действительные ключи, атакующий мог отправлять команды, которые WordPress воспринимал как разрешенные действия администратора.

Исследователи безопасности подтвердили случаи установки вредоносных плагинов через UpdraftCentral. На некоторых сайтах обнаружили программные закладки, предназначенные для создания учетных записей с повышенными привилегиями и последующего доступа к административной панели.

Особенность атаки в том, что она не требовала использования известной уязвимости самого WordPress или устаревшего плагина. Специалисты Nethemba обнаружили посторонние команды на сайтах с актуальными на тот момент версиями UpdraftPlus. Команды поступали по штатному каналу удаленного управления и имели действительные цифровые подписи.

Поэтому обычное обновление WordPress не гарантировало защиту. Проблема находилась в доверии к ключам, которые могли оказаться в чужих руках.

19 октября TeamUpdraft выпустила UpdraftPlus 1.26.13 для бесплатной версии и 2.26.13 для Premium. Эти обновления автоматически отключают соединения UpdraftCentral, созданные до 22:00 по британскому летнему времени 18 октября.

Компания подтвердила инцидент и описала необходимые действия. По ее заявлению, первоначальный путь несанкционированного доступа закрыт, а старые ключи отозваны. При этом самостоятельные установки UpdraftCentral, размещенные на серверах пользователей, инцидент не затронул.

Однако уже установленный вредоносный плагин не исчезает автоматически после обновления UpdraftPlus. Если злоумышленник успел создать дополнительную учетную запись или оставить программную закладку, доступ к сайту может сохраниться независимо от состояния старого ключа.

Владельцам сайтов с UpdraftCentral Cloud необходимо обновить UpdraftPlus как минимум до версии 1.26.13 или 2.26.13, после чего проверить существующие ключи подключения. Они находятся в настройках UpdraftPlus, в разделе Advanced Tools → UpdraftCentral. Старые соединения рекомендуется удалить.

Затем нужно проверить список администраторов WordPress, установленные плагины и каталог обязательных плагинов mu-plugins. Отдельного внимания заслуживают неизвестные расширения и учетные записи, появившиеся после 17 октября. При обнаружении следов взлома потребуется восстановление из заведомо чистой резервной копии.

Пароли администраторов и учетной записи TeamUpdraft также рекомендуется сменить. Если для входа использовалась двухфакторная аутентификация, ее настройки следует обновить.

Для пользователей UpdraftVault предусмотрено повторное подключение облачного хранилища, поскольку компания отозвала прежние учетные данные. При этом резервные копии, отправленные непосредственно в сторонние хранилища, не считаются затронутыми самим инцидентом.

По состоянию на 21 октября точное количество зараженных сайтов не установлено. Известно о подтвержденных случаях установки вредоносных плагинов, однако их наличие не означает, что каждый сайт с UpdraftPlus оказался взломан.

Риск в первую очередь касается сайтов, подключенных к облачной системе UpdraftCentral. Само присутствие UpdraftPlus, который используется более чем на четырех миллионах установок WordPress, не означает наличия опасного подключения.

Эта история показывает неприятную особенность централизованного администрирования: компрометация управляющего сервиса может затронуть сразу несколько независимых сайтов. В данном случае исправление закрывает путь повторного доступа через старые ключи, но последствия уже выполненных команд владельцам придется проверять самостоятельно.