Diebstahl von UpdraftCentral keys ermöglicht WordPress site takeovers
Der Diebstahl von UpdraftCentral keys ermöglicht es einem Angreifer, mithilfe von Anweisungen, die von den Websites als legitim akzeptiert werden, Schadsoftware auf verbundenen WordPress-Websites zu installieren. Patchstack berichtete, dass die Kampagne am 18. und 19. Oktober 2026 über einen Zeitraum von 18 Stunden ununterbrochen lief. Die erste Installation wurde am 18. Oktober um 15:32 Uhr und die jüngste am folgenden Tag um 09:23 Uhr erfasst. Nethemba entdeckte die Aktivität zunächst in der eigenen Infrastruktur, analysierte sie und meldete den Vorfall an TeamUpdraft, während die Kampagne noch lief.
UpdraftPlus ist ein WordPress-Backup-Plugin, also eine Softwareerweiterung, die einer Website hinzugefügt wird, und hat mehr als vier Millionen aktive Installationen. UpdraftCentral ist ein separater Remote-Management-Dienst, dessen Client in kostenlosen und Premium-Versionen von UpdraftPlus enthalten ist. Nur Websites mit einem aktiven UpdraftCentral key sind gefährdet, dies betrifft jedoch jede UpdraftPlus-Version einschließlich der Releases 1.26.11 und 2.26.11.26. Patchstack erklärte am 19. Oktober um 08:00 UTC, dass die Ausnutzung weiterhin aktiv sei und keine Fehlerbehebung des Anbieters existiere. TeamUpdraft veröffentlichte um 13:00 UTC einen Beitrag zum Sicherheitsvorfall, in dem das Unternehmen die Geschehnisse und seine bisherigen Maßnahmen beschrieb.
Hierbei handelt es sich um eine Kompromittierung von Zugangsdaten und nicht um eine Software-Schwachstelle. Daher gibt es keine CVE-Kennung, und kein Plugin-Update stoppt den Angriff. Wenn eine Website verbunden wird, erzeugt sie ein RSA key pair, also zwei mathematisch miteinander verknüpfte digitale Zugangsdaten zur Überprüfung von Anweisungen, und speichert den public key des Dashboards. Der zugehörige private key verbleibt im UpdraftCentral Cloud-Dienst. Jeder Befehl mit einer gültigen Signatur dieses private key wird mit den Berechtigungen des Benutzers ausgeführt, der die Verbindung eingerichtet hat, ohne dass jede einzelne Anweisung von jemandem genehmigt werden muss.
Ein key kann erstellt werden, indem eine Website direkt mit einem UpdraftCentral-Dashboard verbunden wird. Er kann auch beim Verbinden eines TeamUpdraft.com-Kontos erstellt werden. Die Kontoseite enthält eine Option, mit der die Website zur zentralen Verwaltung von bis zu fünf Websites zu UpdraftCentral hinzugefügt werden kann. Diese Option ist standardmäßig ausgewählt. Sie erscheint nur, wenn eine Website noch keinen key besitzt. Folglich können einige Websites aktive Zugangsdaten enthalten, selbst wenn ihre Betreiber UpdraftPlus ausschließlich für Backups verwendet und sich nicht bewusst für Remote Management entschieden haben. Patchstack stellte fest, dass im November 2025 ausgestellte Zugangsdaten im Oktober 2026 weiterhin funktionierten, weil sie nicht ablaufen.
Der Angreifer sendet über den remote procedure call-Kanal, einen Mechanismus, mit dem ein System einem anderen über ein Netzwerk Anweisungen erteilen kann, einen korrekt signierten plugin.upload_plugin-Befehl. Er geht als gewöhnlicher POST request, einer Standardmethode zum Senden von Informationen an eine Website, an der Hauptadresse der Website ein. WordPress installiert und aktiviert das bereitgestellte Plugin anschließend über sein normales Installationsprogramm. Eine separate Anmeldung ist nicht erforderlich, weil die gestohlenen Dashboard-Zugangsdaten die Authentifizierungsprüfungen des Plugins bestehen.
Nethemba stellte fest, dass die betroffenen Websites über offizielle UpdraftPlus-Dateien, über mehrere Tage von Backups hinweg unveränderte Fingerabdrücke der Zugangsdaten, funktionierende Kryptografie und keine protokollierte unbefugte Administratoranmeldung oder herkömmliche Plugin-Installation verfügten. Die feindlichen Requests stammten außerdem von außerhalb der Infrastruktur des Anbieters und enthielten weder die Bibliotheksversion noch die URL, die im normalen Dashboard-Datenverkehr mitgeführt werden. Laut Patchstack deuten diese Belege darauf hin, dass die Zugangsdaten aus der UpdraftCentral Cloud-Umgebung abgeflossen sind. Als der erste Artikel von Patchstack veröffentlicht wurde, hatte TeamUpdraft noch keine Erklärung bereitgestellt.
Jedes installierte Plugin enthält eine backdoor, also eine verborgene Methode, mit der später erneut die Kontrolle über eine Website erlangt werden kann. Sie untersucht jeden Request auf einen geheimen Adressparameter, der ein 32 Zeichen langes Token enthält. Wenn dieses Token übermittelt wird, erstellt der Code ein WordPress-Konto mit einem fest vorgegebenen Passwort und weist ihm die Rolle Editor zu. Anschließend erteilt er dem Konto separat die Berechtigungen manage_options und install_plugins. Diese ermöglichen Änderungen an wichtigen Einstellungen, die Installation von ausführbarem Plugin-Code und die Hochstufung auf vollständigen Administratorzugriff. Die backdoor meldet den Besucher an, indem sie direkt ein dauerhaftes Browser-cookie setzt, und leitet ihn zu wp-admin weiter. Dadurch wird die normale Anmeldeseite umgangen, sodass two-factor authentication, Begrenzungen für Anmeldeversuche und Plugins zum Schutz der Anmeldung nicht ausgelöst werden.
Das alleinige Entfernen des schädlichen Plugins entfernt weder das Konto noch dessen bekanntes Passwort. Die analysierten Samples enthielten außerdem einen Programmierfehler, der noch vor der Prüfung des geheimen Tokens eine HTTP 500 response verursachte, also einen Fehler, der anzeigt, dass die Website einen Request nicht verarbeiten konnte. Dadurch fielen alle nicht zwischengespeicherten Seiten aus, was einigen Betroffenen half, das Problem innerhalb weniger Minuten zu bemerken. Websitebetreiber sollten den fehlerhaften Code nicht reparieren, da dies die backdoor aktiviert. Stattdessen sollten sie sie sicher entfernen.
Patchstack erfasste Installationen auf einer großen Bandbreite von Websites. Einige Plugins wurden installiert, aber nicht aktiviert, offenbar weil das Konto, mit dem die UpdraftCentral-Verbindung erstellt worden war, nicht zu ihrer Aktivierung berechtigt war. Diese Websites sollten dennoch als betroffen betrachtet werden. Die Requests kamen von 43.250.53.42 und 2a09:bac5:4e21:2e3c::49b:9, doch die Infrastruktur änderte sich innerhalb eines Tages, wodurch das Blockieren der Adressen wirkungslos wurde. Die Forscher beobachteten 99 Plugin-Namen. „Site Health Cache“ tauchte wiederholt auf, während die meisten anderen aus zufälligen Kombinationen von zwei oder drei Wörtern bestanden. Jedes Sample verwendete die Beschreibung „Kleines Wartungs-Toolkit: hält den Optionsspeicher aufgeräumt.“
Das schädliche Konto ist unter den Editoren und nicht unter den Administratoren verborgen. Zu den bestätigten Benutzernamen gehören data-ops43 und media-staff96, es ist jedoch mit weiteren Namen zu rechnen. Weitere Erkennungsmerkmale sind zwei Wörter gefolgt von zwei Ziffern im Benutzernamen, eine auf @example.org endende Adresse, der Anzeigename „Site Tools“ und eine Datenbankoption, die auf _sync_token endet. In den UpdraftCentral-Logs kann probe.central.updraftplus.com gefolgt von Command received: plugin.upload_plugin erscheinen. E-Mails zu unbekannten Plugin-Fehlern oder Installationen ohne passende Administratoraktion sind ebenfalls Warnzeichen.
Administratoren können mit `wp option get updraft_central_localkeys` prüfen, ob eine Gefährdung besteht. Jede Ausgabe bedeutet, dass Zugangsdaten gespeichert sind. Im WordPress-Dashboard können sie über Einstellungen, UpdraftPlus Backups, Erweiterte Werkzeuge und UpdraftCentral entfernt werden. Anschließend ist „Vorhandene keys verwalten“ auszuwählen und jeder Eintrag zu löschen. Die Alternative für die Kommandozeile lautet `wp option delete updraft_central_localkeys`. Es reicht nicht aus, eine Website nur aus dem Remote-Dashboard zu entfernen, weil die maßgeblichen Zugangsdaten auf der Website gespeichert bleiben. Durch ihre Löschung wird Remote Management beendet, geplante Backups werden jedoch nicht gestoppt. Patchstack rät davon ab, die Verbindung wiederherzustellen, bevor die Ursache erklärt wurde.
Wenn eine backdoor vorhanden ist, löschen Sie zuerst die UpdraftCentral-Zugangsdaten, um zu verhindern, dass der Angreifer einen korrigierten Ersatz übermittelt. Deaktivieren Sie das Plugin und verschieben Sie es aus dem über das Web erreichbaren Ordner, anstatt es über wp-admin zu löschen, da seine Deinstallationsroutine Spuren entfernt. Löschen Sie das zugehörige Konto und die Option _sync_token.