Chaves roubadas do UpdraftCentral são usadas para instalar backdoors em sites WordPress
Aprofundamento CEVIU
Aprofundamento
A TeamUpdraft, que mantém o UpdraftPlus (mais de 4 milhões de downloads), o UpdraftCentral, o UpdraftVault e o UpdraftClone, detectou acesso não autorizado ao site teamupdraft.com no fim de semana de 17 e 18 de outubro de 2026. A empresa diz que fechou a rota de acesso, deslogou todas as contas e trocou chaves e credenciais. O banco de clientes foi provavelmente acessado, com dados de cobrança, histórico de pedidos e as chaves de conexão dos serviços. A TeamUpdraft afirma que não guarda dados de pagamento, que os arquivos e downloads do plugin UpdraftPlus não foram afetados e que instâncias self-hosted do UpdraftCentral não são impactadas.
O risco prático é que essas chaves permitem enviar comandos assinados a sites conectados. Segundo o pesquisador Oliver Sild, da Patchstack, os ataques começaram em 18 de outubro, às 15h32 UTC, executando código arbitrário e criando contas de administrador. Foram registrados ao menos 99 plugins backdoor com nomes distintos, disfarçados de ferramentas de manutenção, como "Site Health Cache". A Nethemba relata que três sites seus foram alvo e dois receberam o plugin malicioso, mesmo rodando WordPress 7.1.3 e UpdraftPlus 2.26.11, já corrigido contra a CVE-2026-10795. Ou seja, o ataque não explorou falha no site: entrou pelo canal legítimo de gerenciamento remoto. A estimativa é que cerca de 10% dos sites com UpdraftPlus tenham chave do UpdraftCentral ou do Migrator, algo como 400 mil sites expostos.
Por que isso importa
Para quem administra WordPress, o caso mostra que estar com tudo atualizado não basta quando a confiança está em credenciais guardadas por terceiros. Se você gerencia sites via UpdraftCentral, trate as chaves como comprometidas até removê-las. Atualizar para a versão 1.26.13 (free) ou 2.26.13 (Premium) e revogar as chaves é o mínimo, porque a versão 1.26.12/2.26.12 teve um bug que impediu a remoção das chaves do UpdraftCentral Cloud, segundo a Nethemba. Vale também buscar plugins desconhecidos e administradores novos nos logs.
Linha do tempo
Ataques com chaves roubadas do UpdraftCentral começam às 15h32 UTC, segundo a Patchstack.
TeamUpdraft divulga o incidente e a campanha de backdoors em sites WordPress ganha cobertura.
Perguntas frequentes
Quem corre risco com o vazamento da TeamUpdraft?
Quem usa UpdraftCentral, UpdraftVault ou UpdraftClone, principalmente quem acessa o site pelo UpdraftCentral. A estimativa é que cerca de 10% dos sites com UpdraftPlus tenham chave do UpdraftCentral ou do Migrator, o que daria cerca de 400 mil sites. Instâncias self-hosted do UpdraftCentral não são afetadas, segundo a empresa.
O que fazer para corrigir e mitigar?
Atualize o UpdraftPlus para 1.26.13 (free) ou 2.26.13 (Premium) ou superior. Depois, entre em cada site e apague as chaves em Settings, UpdraftPlus Backups, Advanced Tools, UpdraftCentral, Manage existing keys. Recomenda-se ainda rotacionar credenciais de armazenamento e reautorizar conexões.
Como saber se meu site foi comprometido?
Inspecione logs e arquivos com os indicadores de comprometimento divulgados por TeamUpdraft, Patchstack e Nethemba. Procure plugins com nomes de manutenção e otimização, como Site Health Cache, e contas de administrador que você não criou.
Se o site foi invadido, qual o procedimento?
Restaure o site a partir de um backup limpo, troque a senha da conta TeamUpdraft, revogue todas as sessões e redefina o método de autenticação de dois fatores. A fonte indica que hashes de senha e dados de 2FA também foram levados.
Fontes
- bleepingcomputer.comfonte original
- Categoria
- CEVIU Segurança da Informação
- Publicado
- 22 de outubro de 2026
- Editoria
- CEVIU Segurança da Informação