被盗的 UpdraftCentral 密钥被用于给 WordPress 网站植入后门

一名威胁行为者入侵了 TeamUpdraft 的网站——这是一家热门 WordPress 备份和安全插件的开发商——可能泄露了 UpdraftCentral 连接密钥，这些密钥可向已连接的网站发送命令。

TeamUpdraft 于周末检测到其基础设施遭到未经授权的访问，并认为黑客访问了客户数据库。

该开发商提供多款用于备份、存储和站点管理的 WordPress 工具：

• UpdraftPlus：网站备份和恢复插件，下载量超过 400 万次
• UpdraftCentral：用于远程管理多个站点
• UpdraftVault：用于云备份存储
• UpdraftClone：用于创建暂存网站

"在 10 月 17 日至 18 日的周末，我们发现了针对 teamupdraft.com 网站的未经授权访问，"TeamUpdraft 昨日在公告中表示。

"我们的团队立即响应并通宵工作以控制事态——我们关闭了访问途径，登出了所有账户，并替换了可能受影响的密钥和凭证。"

该厂商表示，其认为威胁行为者访问了其客户数据库，其中包含客户和账单详情、订单历史记录，以及更敏感的信息：

• 密码哈希
• 双因素身份验证设置
• UpdraftCentral、UpdraftVault 和 UpdraftClone 服务的连接密钥

该厂商表示未存储任何支付信息，并指出 UpdraftPlus 插件文件和下载未受影响。自托管的 UpdraftCentral 实例不受影响。

即使客户自有远程存储中的备份未受影响，该公司仍建议用户轮换存储凭证，并在通过 UpdraftCentral 访问过其网站的情况下重新授权连接。

巨大的影响范围

据估计，使用 UpdraftPlus 的网站中有 10% 拥有 UpdraftCentral 或 Migrator 密钥，可能使约 40 万个网站暴露于该攻击。

据 Patchstack 首席研究员 Oliver Sild 称，攻击者已开始使用被盗的访问密钥为连接到 UpdraftCentral 的网站植入后门，并表示该攻击活动可能比"wp2shell"攻击更为严重。

这家 WordPress 插件安全公司表示，攻击始于 10 月 18 日 15:32 UTC，旨在执行任意代码并添加拥有完整管理员权限的账户。

研究人员记录了至少 99 个名称各异的恶意后门插件，它们伪装成 WordPress 维护和优化工具，例如"Site Health Cache"。

尽管 Patchstack 描述的后门插件早期变体因编码错误而无法工作，但 Web 应用安全公司 Nethemba 的一份报告记录了一个较新版本，可让攻击者创建特权账户或以现有管理员身份登录。

Nethemba 表示，其自己的三个 WordPress 网站通过 UpdraftCentral 遭到攻击，其中两个成功被安装了恶意插件。

"这三个站点都运行当前的 WordPress 7.1.3 和 UpdraftPlus 2.26.11，后者已针对 6 月的漏洞 CVE-2026-10795 完成修补，"Nethemba 表示。

"攻击者没有闯入我们的服务器，也没有利用我们配置中的任何弱点。攻击者通过 UpdraftCentral 远程管理通道进入，并使用有效的私有仪表板密钥对命令进行签名。"

Nethemba 报告称，该厂商最初的 1.26.12/2.26.12 版本本意是移除 UpdraftCentral Cloud 密钥，但一个缺陷使其未能做到这一点。

建议用户将 UpdraftPlus 更新到 1.26.13（免费版）/ 2.26.13（高级版）或更高版本。

更新后，建议登录每个 WordPress 站点，从 设置 → UpdraftPlus Backups → Advanced Tools → UpdraftCentral → Manage existing keys 中删除 UpdraftCentral 连接密钥。

管理员应根据 TeamUpdraft、Patchstack 和 Nethemba 提供的入侵指标检查日志和文件。

如果确认遭到入侵，建议从干净的备份恢复网站、更改 TeamUpdraft 账户密码、撤销所有会话，并重置双因素身份验证保护方式。