Уязвимость в плагине UpdraftPlus: как злоумышленники получили доступ к более чем 3 миллионам сайтов на WordPress

Недавняя утечка данных, затронувшая плагин UpdraftPlus для резервного копирования WordPress, который установлен на более чем 3 миллионах сайтов, привела к тому, что злоумышленники смогли установить вредоносные плагины и создать несанкционированные учетные записи администраторов. Атака использовала скомпрометированные ключи подключения UpdraftCentral, что позволило злоумышленникам получить контроль над подключенными сайтами WordPress без необходимости вводить имя пользователя или пароль.

Компрометация сайта Updraft

Команда Updraft подтвердила, что их сайт был скомпрометирован в выходные дни 17-18 октября 2026 года. Компания полагает, что злоумышленники получили доступ к базе данных клиентов, которая содержала информацию о клиентах и ключи подключения для таких сервисов, как UpdraftCentral. Эти скомпрометированные ключи позволили злоумышленникам захватить контроль над подключенными сайтами WordPress.

Ответ безопасности Updraft

В блоге TeamUpdraft было объяснено, что маршрут несанкционированного доступа, ставший причиной утечки, был закрыт, скомпрометированные учетные данные были заменены, а также были выпущены обновления безопасности, которые отозвали старые подключения UpdraftCentral. Обновления, версии UpdraftPlus 1.26.13 для бесплатной версии и 2.26.13 для премиум-версии, были выпущены 19 октября 2026 года. В журнале изменений плагина описываются обновления как отзывающие ключи UpdraftCentral Cloud, при этом версия 1.26.13 исправляет способ применения отзыва в предыдущем релизе. Обновления автоматически отключают затронутые сайты от UpdraftCentral, блокируя дальнейший доступ через этот маршрут. Компания также сообщила, что WordPress.org автоматически развернул обновленный плагин для пользователей.

Плагин резервного копирования UpdraftPlus

Плагин UpdraftPlus используется на сайтах WordPress для создания резервных копий, восстановления сайтов и миграции на другие хостинг-провайдеры или доменные имена. Он поддерживает автоматические резервные копии и позволяет владельцам сайтов хранить резервные копии на таких сервисах, как Google Drive, Dropbox и Amazon S3. Плагин также включает UpdraftCentral, функцию удаленного управления, которая позволяет владельцам сайтов управлять несколькими установками WordPress из одной панели управления. Эта функция стала центром инцидента безопасности.

Компрометация UpdraftCentral

UpdraftCentral использует ключи безопасности для аутентификации команд, отправляемых с удаленной панели управления на подключенные сайты. Эти ключи позволяют сервису выполнять административные действия без необходимости входа в каждую отдельную установку сайта. Скомпрометированные ключи UpdraftCentral позволили злоумышленникам отправлять команды на подключенные сайты WordPress, которые выглядели как законные инструкции от удаленного сервиса управления. Стандартные проверки безопасности не могли отличить законные инструкции от тех, что были аутентифицированы с помощью украденных ключей. В результате сайты WordPress принимали команды злоумышленников как авторизованные.

Установка вредоносных плагинов

Используя скомпрометированные ключи безопасности UpdraftCentral, злоумышленники отправили команды на подключенные сайты WordPress, инструктируя их установить и активировать вредоносные плагины. Поскольку команды были аутентифицированы с помощью подлинных ключей безопасности, сайты воспринимали их как законные инструкции и устанавливали плагины через обычный процесс установки плагинов WordPress. Вредоносные плагины содержали бэкдор, который мог создать учетную запись пользователя WordPress с ролью редактора и затем предоставить этой учетной записи дополнительные административные права. Хотя учетная запись редактора обычно не имеет права устанавливать плагины или управлять важными настройками WordPress, вредоносный код отдельно предоставлял эти возможности. Это делало несанкционированные учетные записи трудными для идентификации, поскольку они могли выглядеть как обычные редакторы, но обладали правами, обычно зарезервированными для администраторов.

Неосознанные подключения сайтов

Важно отметить, что владелец сайта мог иметь активное подключение к UpdraftCentral, даже если он никогда не собирался использовать сервис удаленного управления. Patchstack сообщил, что подключение сайта к учетной записи TeamUpdraft могло автоматически создать подключение UpdraftCentral, поскольку опция включения удаленного управления была выбрана по умолчанию. Следовательно, сайты, использующие UpdraftPlus исключительно для резервного копирования, могли иметь активные ключи подключения, не подозревая об этом. Инцидент затрагивает сайты с активными подключениями UpdraftCentral Cloud, а не каждый сайт с установленным плагином UpdraftPlus. Patchstack также подтвердил, что проблема безопасности затронула как бесплатные, так и премиум-версии UpdraftPlus. TeamUpdraft заявила, что самохостинг UpdraftCentral не пострадал.

Рекомендации для пользователей UpdraftPlus

TeamUpdraft призывает владельцев сайтов, включая тех, кто никогда сознательно не использовал UpdraftCentral, проверить свои сайты на наличие признаков несанкционированной активности. Компания рекомендует:

Проверить установленные плагины на наличие незнакомых дополнений.

Проверить учетные записи пользователей WordPress на наличие несанкционированных администраторов.

Убедиться, что они используют UpdraftPlus версии 1.26.13 или 2.26.13, или более новой версии.

Удалить оставшиеся скомпрометированные ключи подключения UpdraftCentral через панель управления WordPress в разделе Настройки, UpdraftPlus, Расширенные инструменты и UpdraftCentral.

Кроме того, TeamUpdraft рекомендует изменить пароли администраторов и рассмотреть возможность восстановления из резервной копии, созданной до 17 октября, если будут обнаружены признаки компрометации. Пользователям с учетными записями TeamUpdraft также советуют изменить пароли своих учетных записей. Компания утверждает, что в настоящее время нет доказательств того, что злоумышленники сохраняют доступ к ее системам, однако расследование продолжается. Хотя обновления безопасности блокируют дальнейший доступ через скомпрометированные подключения, они не удаляют вредоносные плагины или несанкционированные учетные записи, которые уже могут существовать на затронутых сайтах. Поэтому проверка на наличие признаков компрометации остается важной даже после обновления.