TeamUpdraft a confirmat că atacatorii au folosit chei de conectare UpdraftCentral pentru a interveni asupra unor site-uri WordPress, inclusiv prin crearea de conturi neautorizate și instalarea de pluginuri malițioase. Incidentul a fost identificat în weekendul 17–18 octombrie 2026, iar informarea companiei, actualizată pe 23 octombrie, cere verificarea individuală a website-urilor conectate la platforma sa de administrare.
În centrul incidentului se află accesul neautorizat la website-ul furnizorului, obținut cu o cheie compromisă. Legăturile de administrare la distanță au permis apoi transmiterea de comenzi către instalările WordPress ale clienților. Compania a închis calea de acces, a înlocuit acreditări și a distribuit actualizări care revocă vechile conexiuni UpdraftCentral.
Pentru site-urile deja accesate, intervenția include verificarea conturilor, a extensiilor și a modificărilor făcute în perioada incidentului. Aceste operațiuni țin de mentenanța website-ului, alături de instalarea versiunilor corectate și controlul funcționării copiilor de siguranță. Producătorul le cere administratorilor să lucreze direct din panoul fiecărui site, pentru a elimina conexiunile vechi și a examina instalarea.
Cheile de administrare au deschis accesul către site-uri
UpdraftCentral permite administrarea mai multor website-uri dintr-un punct central. Cheile asociate fiecărei conexiuni autorizează operațiuni pe site-urile înregistrate. În acest incident, potrivit TeamUpdraft, atacatorul a exploatat tocmai această relație de încredere pentru a crea utilizatori și a instala extensii pe website-urile conectate.
Compania consideră că a fost accesată baza sa de date cu clienți. Aceasta conține nume, adrese de e-mail și de facturare, istoricul comenzilor, parole păstrate sub formă de hash, setări de autentificare în doi pași și chei pentru UpdraftCentral, UpdraftVault și UpdraftClone. Enumerarea descrie datele din baza investigată, fără a atribui fiecărui client toate consecințele posibile.
TeamUpdraft precizează că nu stochează datele cardurilor bancare, plățile fiind procesate de Stripe și PayPal. Parolele din baza de date nu erau păstrate în clar. În răspunsul la incident, compania a deconectat toate conturile de pe website-ul propriu și a cerut schimbarea parolelor și resetarea autentificării în doi pași pentru conturile care folosesc această protecție.
Furnizorul face o delimitare importantă între serviciul central și pluginul de backup. Potrivit informării sale, fișierele UpdraftPlus și pachetele distribuite pentru descărcare nu au fost modificate în acest atac. Varianta UpdraftCentral găzduită de utilizator pe infrastructura proprie este, de asemenea, în afara perimetrului afectat descris de companie.
Actualizările închid conexiunile vechi; verificarea urmărește modificările deja făcute
Versiunile UpdraftPlus 1.26.13 pentru ediția gratuită și 2.26.13 pentru ediția Premium au fost publicate pe 19 octombrie. TeamUpdraft cere folosirea acestor versiuni sau a uneia ulterioare. În descrierea detaliată a măsurilor, producătorul arată că actualizările deconectează automat legăturile UpdraftCentral stabilite înainte de 18 octombrie, ora 13:07 BST.
Instrucțiunile includ și ștergerea cheii de conectare direct din setările UpdraftPlus ale fiecărui site. Astfel, administratorul poate controla separat fiecare instalare, inclusiv website-urile gestionate mai rar. Reconectarea se face după verificarea utilizatorilor și a pluginurilor și după schimbarea parolelor conturilor de administrator.
În actualizarea din 21 octombrie, TeamUpdraft a cerut și utilizatorilor UpdraftPlus Premium care nu au folosit în mod conștient UpdraftCentral să examineze website-urile pentru activitate neobișnuită. Solicitarea privește conturile nou-apărute și extensiile neașteptate. Prin urmare, inventarul conexiunilor trebuie verificat efectiv, inclusiv pentru site-urile pe care proprietarul nu le asociază cu administrarea centralizată.
O precizare suplimentară, publicată pe 22 octombrie, vizează lista de website-uri din contul UpdraftCentral. Furnizorul cere examinarea site-urilor care apar acolo fără ca utilizatorul să fi stabilit în mod conștient o conexiune începând cu 19 octombrie. Verificarea leagă astfel evidența din contul central de situația reală a fiecărei instalări WordPress.
Compania semnalează în mod special apariția unor utilizatori neașteptați cu rol de editor, pe lângă verificarea administratorilor. Alte elemente urmărite sunt pluginurile necunoscute și adresele IP neobișnuite din jurnale. Controlul se extinde și la extensiile de tip Must-Use, care au o zonă separată în panoul WordPress.
Măsuri distincte pentru backup, stocare și clone
În cazul unui site pe care sunt identificate modificări suspecte, TeamUpdraft indică posibilitatea restaurării unei copii realizate înainte de 17 octombrie. Revocarea unei chei oprește folosirea acelei conexiuni; restaurarea și verificarea instalării tratează modificările făcute anterior. Cele două operațiuni au obiecte diferite și apar separat în instrucțiunile producătorului.
Compania afirmă că backupurile trimise către spațiul propriu de stocare al clientului, precum Google Drive, Dropbox sau Amazon S3, nu au fost afectate de incidentul furnizorului. Pentru website-urile accesate prin UpdraftCentral, cere totuși reautorizarea destinației de stocare și schimbarea cheilor de acces aferente, ca măsură aplicată acelei instalări compromise.
Pentru UpdraftVault, toate site-urile au fost deconectate, iar acreditările au fost înlocuite. Copiile noi nu ajung în Vault până la restabilirea conexiunii. Procedura publicată cere autentificarea cu noua parolă, salvarea configurației și executarea unui backup manual care să confirme reluarea funcționării pentru fiecare website în parte.
UpdraftClone are un flux separat: cheile de client au fost înlocuite, iar cele vechi nu mai funcționează. Clienții care au transmis asemenea chei către alte persoane trebuie să distribuie noile valori. Operațiunile de clonare care folosesc acreditările retrase vor eșua până la actualizarea configurației, potrivit explicațiilor furnizorului.
Pentru utilizatorii ediției gratuite UpdraftPlus care nu au cont TeamUpdraft, informarea nu cere o intervenție specifică acestui incident. Această delimitare păstrează separat publicul pluginului de backup de utilizatorii serviciilor și conturilor centrale implicate în investigație. Numărul instalărilor UpdraftPlus nu reprezintă un bilanț al website-urilor compromise.
TeamUpdraft a anunțat implicarea unei firme externe de securitate și notificarea autorității britanice pentru protecția datelor, ICO, precum și a altor autorități relevante. Măsurile publicate includ înlocuirea cheilor folosite cu furnizorii de plăți și serviciile conectate, monitorizare suplimentară și instrucțiuni diferențiate pentru fiecare produs din portofoliul său.
