Vjedhja e key të UpdraftCentral mundëson marrjen nën kontroll të faqeve WordPress
Vjedhja e key të UpdraftCentral po i mundëson një sulmuesi të instalojë software keqdashës në faqet WordPress të lidhura, duke përdorur udhëzime që faqet i pranojnë si legjitime. Patchstack raportoi se fushata vazhdoi pa ndërprerje gjatë një periudhe 18-orëshe më 18 dhe 19 tetor 2026, me instalimin e parë të regjistruar në orën 15:32 më 18 tetor dhe më të fundit në orën 09:23 të ditës pasuese. Nethemba fillimisht e zbuloi aktivitetin në infrastrukturën e vet, e analizoi dhe ia raportoi incidentin TeamUpdraft ndërsa fushata ishte ende aktive.
UpdraftPlus është një plugin për kopje rezervë në WordPress, pra një zgjerim software që i shtohet një faqeje interneti, me më shumë se katër milionë instalime aktive. UpdraftCentral është një shërbim i veçantë menaxhimi në distancë, klienti i të cilit përfshihet në kopjet falas dhe premium të UpdraftPlus. Vetëm faqet që mbajnë një key aktiv të UpdraftCentral janë të ekspozuara, por kjo përfshin çdo version të UpdraftPlus, përfshirë versionet 1.26.11 dhe 2.26.11.26. Patchstack tha në orën 08:00 UTC më 19 tetor se shfrytëzimi mbetej aktiv dhe nuk ekzistonte asnjë rregullim nga ofruesi. TeamUpdraft publikoi në orën 13:00 UTC një njoftim për incidentin e sigurisë, ku përshkroi çfarë kishte ndodhur dhe veprimet e ndërmarra deri atëherë.
Ky është një komprometim kredencialesh dhe jo një cenueshmëri software, ndaj nuk ka identifikues CVE dhe asnjë update i plugin nuk e ndalon sulmin. Kur lidhet një faqe, ajo gjeneron një RSA key pair, dy kredenciale digjitale të lidhura matematikisht që përdoren për të verifikuar udhëzimet, dhe ruan public key të panelit. Private key përkatës mbetet në shërbimin UpdraftCentral Cloud. Çdo command që përmban një nënshkrim të vlefshëm nga ai private key ekzekutohet me lejet e përdoruesit që krijoi lidhjen, pa qenë e nevojshme që dikush të miratojë çdo udhëzim veçmas.
Një key mund të krijohet duke lidhur drejtpërdrejt një faqe me një panel UpdraftCentral. Ai mund të krijohet gjithashtu kur lidhet një llogari TeamUpdraft.com. Ekrani i asaj llogarie përfshin një mundësi për ta shtuar faqen në UpdraftCentral, për kontroll të centralizuar të deri në pesë faqeve, dhe kjo mundësi është e zgjedhur si parazgjedhje. Ajo shfaqet vetëm kur një faqe nuk ka tashmë një key. Si rrjedhojë, disa faqe mund të mbajnë kredenciale aktive edhe nëse pronarët e tyre e përdorën UpdraftPlus vetëm për kopje rezervë dhe nuk zgjodhën qëllimisht menaxhimin në distancë. Patchstack zbuloi se kredencialet e lëshuara në nëntor 2025 vazhdonin të funksiononin në tetor 2026, sepse nuk skadojnë.
Sulmuesi dërgon një command plugin.upload_plugin të nënshkruar saktë përmes kanalit remote procedure call, një mekanizëm që i lejon një sistemi t'i japë udhëzime një tjetri përmes një rrjeti. Ai mbërrin si një POST request i zakonshëm, që është një mënyrë standarde për t'i dërguar informacion një faqeje interneti, në adresën kryesore të faqes. Më pas WordPress instalon dhe aktivizon plugin e dhënë përmes instaluesit të vet normal. Nuk nevojitet hyrje më vete, sepse kredencialet e vjedhura të panelit kalojnë kontrollet e authentication të plugin.
Nethemba zbuloi se faqet e prekura kishin skedarë zyrtarë të UpdraftPlus, gjurmë identifikuese të pandryshuara të kredencialeve në kopjet rezervë të disa ditëve, cryptography funksionale dhe asnjë administrator të paautorizuar apo ngarkim konvencional të plugin të regjistruar. Kërkesat armiqësore vinin gjithashtu nga jashtë infrastrukturës së ofruesit dhe nuk përmbanin versionin e library dhe URL që shoqërojnë trafikun normal të panelit. Sipas Patchstack, këto prova tregojnë se kredencialet kanë rrjedhur nga mjedisi UpdraftCentral Cloud. TeamUpdraft nuk kishte dhënë shpjegim kur u publikua artikulli fillestar i Patchstack.
Çdo plugin i instaluar përmban një backdoor, një metodë të fshehur për të rimarrë kontrollin e një faqeje interneti. Ai kontrollon çdo kërkesë për një parametër sekret adrese që përmban një token me 32 karaktere. Kur jepet ai token, kodi krijon një llogari WordPress me një fjalëkalim fiks dhe e etiketon si Editor. Më pas i jep veçmas llogarisë lejet manage_options dhe install_plugins, të cilat mundësojnë ndryshimin e cilësimeve të rëndësishme, instalimin e kodit të ekzekutueshëm të plugin dhe ngritjen në akses të plotë administratori. backdoor e fut vizitorin në llogari duke vendosur drejtpërdrejt një cookie të qëndrueshme në browser dhe e ridrejton te wp-admin. Kjo shmang ekranin normal të hyrjes, ndaj two-factor authentication, kufizimet e përpjekjeve për hyrje dhe plugin për mbrojtjen e hyrjes nuk aktivizohen.
Heqja vetëm e plugin keqdashës nuk e heq llogarinë apo fjalëkalimin e saj të njohur. Mostrat e analizuara përmbanin gjithashtu një gabim programimi që shkaktonte një HTTP 500 response, një gabim që tregon se faqja nuk mund ta përpunonte një kërkesë, përpara se të kryhej kontrolli i token sekret. Kjo bënte që çdo faqe pa cache të dështonte dhe i ndihmoi disa viktima ta vërenin problemin brenda pak minutash. Pronarët e faqeve nuk duhet ta riparojnë kodin me defekt, sepse kjo aktivizon backdoor. Në vend të kësaj, duhet ta heqin në mënyrë të sigurt.
Patchstack regjistroi instalime në një gamë të gjerë faqesh. Disa plugin u instaluan, por nuk u aktivizuan, me sa duket sepse llogaria që krijoi lidhjen me UpdraftCentral nuk kishte leje për t'i aktivizuar; edhe këto faqe duhet të trajtohen si të prekura. Kërkesat erdhën nga 43.250.53.42 dhe 2a09:bac5:4e21:2e3c::49b:9, por infrastruktura ndryshoi brenda një dite, duke e bërë joefektiv bllokimin e adresave. Studiuesit vëzhguan 99 emra plugin. “Site Health Cache” u shfaq në mënyrë të përsëritur, ndërsa shumica e emrave të tjerë ishin kombinime të rastësishme me dy ose tre fjalë. Çdo mostër përdorte përshkrimin “Small maintenance toolkit: keeps option storage tidy.”
Llogaria keqdashëse fshihet mes Editor dhe jo mes administratorëve. Emrat e konfirmuar të përdoruesve përfshijnë data-ops43 dhe media-staff96, por duhen pritur edhe emra të tjerë. Treguesit mbështetës përfshijnë dy fjalë të ndjekura nga dy shifra në emrin e përdoruesit, një adresë që përfundon me @example.org, emrin e shfaqur “Site Tools” dhe një option të database që përfundon me _sync_token. Log-et e UpdraftCentral mund të shfaqin probe.central.updraftplus.com, të ndjekur nga Command received: plugin.upload_plugin. Shenja paralajmëruese janë gjithashtu email-et e panjohura për gabime të plugin ose instalimet pa një veprim përkatës nga administratori.
Administratorët mund ta kontrollojnë ekspozimin me `wp option get updraft_central_localkeys`; çdo rezultat do të thotë se është ruajtur një kredencial. Në panelin WordPress, ai mund të hiqet duke ndjekur Settings, UpdraftPlus Backups, Advanced Tools, UpdraftCentral, më pas “Manage existing keys” dhe duke fshirë çdo element. Alternativa në command line është `wp option delete updraft_central_localkeys`. Heqja e një faqeje vetëm nga paneli në distancë nuk mjafton, sepse kredenciali përkatës mbetet i ruajtur në faqe. Fshirja e tij ndalon menaxhimin në distancë, por nuk ndalon kopjet rezervë të planifikuara. Patchstack këshillon të mos bëhet rilidhja derisa të jetë shpjeguar shkaku.
Nëse është i pranishëm një backdoor, fshini fillimisht kredencialin e UpdraftCentral për ta penguar sulmuesin të dërgojë një zëvendësues të korrigjuar. Çaktivizoni plugin dhe zhvendoseni jashtë folder të aksesueshëm nga web, në vend që ta fshini përmes wp-admin, sepse rutina e tij e çinstalimit heq gjurmët. Fshini llogarinë e lidhur dhe option _sync_token.