Злоумышленники взламывают сайты WordPress с помощью украденных ключей UpdraftCentral
Изображение: OpenAI
Злоумышленники устанавливают бэкдоры на сайты WordPress с помощью ключей сервиса удалённого управления UpdraftCentral, похищенных при взломе его разработчика TeamUpdraft, сообщает BleepingComputer.
Под угрозой могут оказаться около 400 тыс. сайтов: примерно у 10% сайтов с плагином UpdraftPlus есть ключ UpdraftCentral или Migrator.
TeamUpdraft обнаружила взлом 17–18 октября и предполагает, что атакующий получил доступ к базе клиентов. Помимо сведений о клиентах, данных для выставления счетов и истории заказов, в ней находились настройки двухфакторной аутентификации и ключи подключения к UpdraftCentral, UpdraftVault и UpdraftClone. Платёжные данные компания не хранила; файлы плагина UpdraftPlus и установки UpdraftCentral на собственных серверах не затронуты. Тем, кто заходил на сайт через UpdraftCentral, TeamUpdraft рекомендует сменить учётные данные удалённых хранилищ и заново авторизовать подключения, даже если резервные копии не пострадали.
По данным Patchstack, компании по безопасности плагинов WordPress, атаки начались 18 октября. Злоумышленники используют украденные ключи, чтобы выполнять произвольный код и создавать учётные записи с полными правами администратора; по мнению ведущего исследователя Patchstack, кампания может оказаться серьёзнее атаки wp2shell. Исследователи обнаружили как минимум 99 вредоносных плагинов под разными названиями, замаскированных под инструменты обслуживания и оптимизации WordPress.
Компания Nethemba, специализирующаяся на безопасности веб-приложений, зафиксировала атаки на три своих сайта; на двух злоумышленники установили вредоносные плагины. Все три использовали актуальные WordPress 7.1.3 и UpdraftPlus 2.26.11 с исправлением CVE-2026-10795. По данным Nethemba, атакующий отправлял команды через UpdraftCentral, подписывая их действительными закрытыми ключами панели управления, а не использовал уязвимости серверов или ошибки в их настройке.
Nethemba также сообщила, что выпуски UpdraftPlus 1.26.12/2.26.12 должны были удалить ключи облачного UpdraftCentral, но ошибка помешала этому.
Пользователям рекомендуют установить UpdraftPlus 1.26.13 для бесплатной версии или 2.26.13 для платной либо более новые выпуски, а затем вручную удалить ключи UpdraftCentral в настройках каждого сайта. Журналы и файлы следует проверить по индикаторам компрометации, опубликованным TeamUpdraft, Patchstack и Nethemba; если взлом подтвердится, сайты рекомендуется восстановить из чистых резервных копий, сменить пароль учётной записи TeamUpdraft, завершить все сеансы и заново настроить двухфакторную аутентификацию.
