Взлом TeamUpdraft: через ключи UpdraftCentral на сайты WordPress ставили вредоносные плагины

Что произошло

В сообщении TeamUpdraft сказано, что несанкционированный доступ обнаружили в выходные 17–18 октября 2026 года. Злоумышленник использовал скомпрометированный ключ, чтобы попасть на сайт компании. По оценке TeamUpdraft, он получил доступ к клиентской базе:

• имена, адреса почты, платёжные адреса и история заказов;
• пароли в хешированном виде;
• настройки двухфакторной аутентификации;
• ключи подключения UpdraftCentral, UpdraftVault и UpdraftClone.

Данных банковских карт компания не хранит, платежи идут через Stripe и PayPal. Резервные копии в облачных хранилищах вроде Google Drive, Dropbox и S3, по словам TeamUpdraft, не затронуты.

Как атаковали сайты

UpdraftCentral — облачная панель, из которой можно управлять многими сайтами на WordPress сразу.

Команды подписываются ключом. Если ключ украден, сайт принимает команду злоумышленника как обычную.

Через такие подключения создавали учётные записи администраторов и устанавливали вредоносные плагины. Масштаб, по словам TeamUpdraft, неизвестен. Компания Patchstack, которую цитирует Search Engine Journal, насчитала 99 названий вредоносных плагинов.

У UpdraftPlus больше 3 миллионов установок, но опасность не для всех. Канал атаки — облачные подключения UpdraftCentral.

Кого это касается

• Сайты, подключённые к облачному UpdraftCentral. Это главная группа риска.
• Владельцы аккаунта на teamupdraft.com. По данным Patchstack, удалённое управление при подключении аккаунта включено по умолчанию, так что о подключении можно не помнить. TeamUpdraft 21 октября попросил проверить сайты даже тех, кто никогда не пользовался UpdraftCentral.
• Самостоятельно развёрнутый UpdraftCentral не затронут.
• Бесплатные пользователи без аккаунта TeamUpdraft, по словам компании, ничего делать не должны, кроме обновления плагина.

Что исправили

Вечером 19 октября вышли UpdraftPlus 1.26.13 и Premium 2.26.13. Они отзывают ключи UpdraftCentral, а WordPress.org разослал обновление всем пользователям.

Установку стоит проверить вручную.

Есть и неточность. В инструкции на той же странице номера версий указаны как 1.26.12 и 2.26.12. Ориентируйтесь на 1.26.13, 2.26.13 или новее.

Что проверить сегодня

• Войти в админку напрямую, а не через UpdraftCentral.
• Обновить UpdraftPlus и убедиться, что версия не ниже исправленной.
• Удалить старый ключ в разделе «Настройки → UpdraftPlus → Advanced Tools → UpdraftCentral».
• Просмотреть пользователей и удалить незнакомых администраторов.
• Просмотреть плагины, включая вкладку Must-Use, и удалить незнакомые.
• Сменить пароли всех администраторов и аккаунта TeamUpdraft, сбросить двухфакторную аутентификацию.
• При подозрениях восстановить сайт из копии, сделанной до 17 октября, и заново подключить облачное хранилище с новыми ключами.

Наш комментарий

Это взлом не плагина, а цепочки доверия. Сайт честно выполнил команду, подписанную правильным ключом. Поэтому зелёная отметка «плагин обновлён» ничего не говорит о чистоте сайта. Обновление закрывает дверь, но не выносит то, что уже занесли.

Чем больше сайтов управляется из одной облачной панели, тем дороже стоит компрометация этой панели. Подключение удалённого управления стоит включать осознанно и раз в несколько месяцев проверять, какие сайты к нему подключены.

Неделя и так выдалась тяжёлой для WordPress. О критических уязвимостях PHP мы писали в новости про ограничения ActiveCloud.

С чего начать

Откройте в админке раздел «Пользователи», отсортируйте по роли и посмотрите, нет ли администраторов, которых вы не создавали. Об уязвимостях в популярных SEO-плагинах мы писали в новости про All in One SEO. Найти посторонние плагины, учётные записи и другие следы взлома помогает технический аудит сайта.