Злоумышленники использовали ключи UpdraftCentral Cloud для установки бэкдоров
В октябре 2026 года злоумышленники скомпрометировали UpdraftCentral Cloud и получили действительные закрытые ключи панели управления. Эти ключи использовались для аутентификации удалённых команд на подключённых сайтах WordPress. Злоумышленники применяли легитимную команду plugin.upload_plugin, чтобы устанавливать и активировать вредоносные плагины, а затем выполнять произвольный код PHP с привилегиями, связанными с ключом UpdraftCentral. Затронутые сайты работали на актуальных версиях WordPress и UpdraftPlus и не обязательно были уязвимы к CVE-2026-10795. Эта CVE описывает отдельную уязвимость подделки команд, затрагивавшую более старые выпуски UpdraftPlus.
В ходе кампании установили несколько вариантов бэкдора со случайными именами плагинов, описаниями, токенами и учётными данными. Один неработающий вариант часто содержал описание о небольшом наборе инструментов для обслуживания, который поддерживает порядок в хранилище параметров. Некэшированные запросы к нему завершались ошибкой PHP undefined-class-constant и ответом HTTP 500. Рабочие варианты принимали секретные параметры URL и позволяли атакующему либо войти в существующую учётную запись администратора, либо создать новую. Для таких учётных записей часто использовались адреса с доменами @example.com или @example.org и имена System Team или Web Tech. Некоторые варианты пытались скрывать учётные записи и удалять себя из списка плагинов WordPress. Минимальный вариант только аутентифицировал атакующего как существующего администратора и потенциально не оставлял следов в базе данных.
Наблюдаемая активность включала разведывательные зонды и команды plugin.upload_plugin или plugin.delete_plugin. Основным IP-адресом источника был 43.250.53.42. Дополнительную активность зафиксировали с адресов 2a09:bac5:4e21:2e3c::49b:9, 178.83.37.220, 178.83.37.243 и 178.94.218.31. Триггеры бэкдора могли возвращать HTTP 302 при успешной аутентификации, HTTP 500 для варианта, вызывавшего сбой, или стандартный ответ HTTP 200 после удаления.
Авторы отчёта рекомендуют владельцам сайтов удалить все ключи UpdraftCentral и UpdraftPlus Migrator, проверить журналы UpdraftCentral и веб-сервера, просканировать данные плагинов, MU-плагинов, обновлений, параметров и пользователей, а также расследовать механизмы аутентификации, запускаемые через URL. При подтверждённой компрометации они рекомендуют восстановить систему из доверенной резервной копии, проверить файлы и содержимое базы данных, удалить несанкционированные учётные записи и механизмы закрепления, сменить учётные данные администратора и TeamUpdraft, аннулировать активные сеансы и включить многофакторную аутентификацию. По сообщениям, поставщик отозвал ключи в своём релизе, однако ранее скомпрометированным сайтам по-прежнему требуется криминалистический анализ.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
