UpdraftCentral: компрометация ключей позволила устанавливать вредоносные плагины WordPress

Компрометация ключей UpdraftCentral позволила устанавливать вредоносные плагины WordPress

Компания TeamUpdraft сообщила о несанкционированном доступе к своему сайту teamupdraft.com в выходные 17-18 октября 2026 года. Злоумышленники получили доступ к базе данных клиентов, которая содержала ключи подключения для UpdraftCentral, UpdraftVault и UpdraftClone, а также информацию об учётных записях.

UpdraftCentral управляет WordPress-сайтами через облачный сервис

UpdraftCentral — это сервис удалённого управления, который позволяет управлять резервными копиями, плагинами, темами, пользователями и другими функциями WordPress из централизованной панели. При подключении сайта и панели управления устанавливаются криптографические ключи. UpdraftPlus принимает команды, подписанные доверенным ключом панели управления, и выполняет их с правами пользователя WordPress, создавшего подключение. Атаки использовали команду plugin.upload_plugin для установки вредоносных плагинов. Если пользователь WordPress имел права на установку и активацию плагинов, злоумышленник мог выполнить вредоносный PHP-код на сайте.

Уязвимость затронула UpdraftPlus Free и Premium до определённых версий

Атаки использовали скомпрометированные ключи UpdraftCentral. Запрос, подписанный скомпрометированным ключом, проходил проверку подлинности плагина и обрабатывался как доверенная инструкция. Успешные атаки с установкой вредоносных плагинов зафиксированы на UpdraftPlus Premium версии 2.26.11.x и на UpdraftPlus Free версии 1.26.10 или 1.26.11. Сайты с облачным подключением UpdraftCentral могли быть затронуты даже при использовании последних версий плагина. Уязвимость CVE-2026-10795 не предотвращала принятие команд, подписанных доверенными ключами. Облачные установки UpdraftCentral были скомпрометированы, но локальные установки не затронуты. Резервные копии, отправленные на сторонние хранилища (Google Drive, Dropbox, Amazon S3), не пострадали. Плагин UpdraftPlus и его пакеты загрузки не были затронуты.

Обновиться до 1.26.12 или 2.26.12 и удалить ключи подключения

Wordfence выпустил экстренное правило для межсетевого экрана, блокирующее входящие запросы UpdraftCentral UDRPC на затронутых версиях UpdraftPlus. Правило доступно для пользователей Wordfence Free, Premium, Care и Response. Для применения правила вручную в панели управления WordPress перейдите в раздел Wordfence > Firewall > All Firewall Options, разверните Advanced Firewall Options и нажмите Manually Refresh Rules. Правило блокирует как вредоносные, так и легитимные команды UpdraftCentral на время отзыва старых ключей. Оно не влияет на обычные резервные копии UpdraftPlus или копии, отправленные на сторонние хранилища. TeamUpdraft выпустила версии UpdraftPlus 1.26.12 (Free) и 2.26.12 (Premium), которые автоматически отключают подключения UpdraftCentral, созданные до 18 октября 2026 года. Рекомендуется обновить все установки UpdraftPlus до этих версий или новее. После обновления необходимо удалить все существующие ключи подключения UpdraftCentral в разделе Settings > UpdraftPlus > Advanced Tools > UpdraftCentral. Также следует сменить пароль от учётной записи teamupdraft.com и сбросить настройки двухфакторной аутентификации. Проведите сканирование сайта с помощью Wordfence в режиме High Sensitivity и проверьте файловую систему через SFTP или SSH.