WordPress-Websites mit UpdraftCentral keys durch backdoor kompromittiert
WordPress-Websites, die mit dem cloud-hosted Dienst UpdraftCentral verbunden waren, wurden mit einer backdoor versehen, nachdem unbekannte Angreifer gültige connection keys erlangt hatten. Diese ermöglichen es dem Remotedienst, Befehle an verknüpfte Websites zu senden. TeamUpdraft stellte am Wochenende des 17. und 18. Oktober 2026 unbefugten Zugriff auf teamupdraft.com fest. Patchstack beobachtete später, wie ein Angreifer während einer 18-stündigen Kampagne am 18. und 19. Oktober gültige UpdraftCentral dashboard keys verwendete, um schädliche Plugins zu installieren.
Nach Angaben von TeamUpdraft haben die Eindringlinge vermutlich auf eine Kundendatenbank zugegriffen, die Namen, E-Mail- und Rechnungsadressen, Bestellhistorien, hashed passwords, Einstellungen für two-factor authentication (2FA) sowie connection keys für UpdraftCentral, UpdraftVault und UpdraftClone enthielt. Bei hashed passwords werden Passwörter als unleserlich veränderter Wert statt als lesbarer Text gespeichert, während 2FA eine zweite Anmeldeprüfung hinzufügt. Die Datenbank enthielt keine Zahlungsinformationen, da diese von Stripe und PayPal verarbeitet werden. Laut TeamUpdraft waren weder das UpdraftPlus Plugin selbst noch selbst gehostete UpdraftCentral-Installationen oder Backups betroffen, die im eigenen Remotespeicher der Kunden abgelegt waren.
Der Entwickler schloss den Zugangsweg, meldete alle Konten auf teamupdraft.com ab und ersetzte Zugangsdaten, die möglicherweise offengelegt worden waren. Außerdem veröffentlichte er UpdraftPlus 1.26.13 Free und 2.26.13 Premium. Diese Versionen trennen automatisch UpdraftCentral-Verbindungen, die vor dem 18. Oktober 2026 um 22:00 Uhr BST eingerichtet worden waren. TeamUpdraft trennte zudem jede Website von UpdraftVault, stellte neue Zugangsdaten aus, ersetzte UpdraftClone client keys, erneuerte die bei Zahlungsanbietern und anderen verbundenen Diensten verwendeten Zugangsdaten, führte zusätzliche Überwachung ein und meldete den Sicherheitsvorfall dem britischen Information Commissioner's Office sowie weiteren zuständigen Behörden.
Kunden des cloud-hosted UpdraftCentral sollten das eigene WordPress dashboard jeder Website öffnen, anstatt den Remotedienst zur Verwaltung zu verwenden. TeamUpdraft empfiehlt, UpdraftPlus mindestens auf 1.26.12 Free oder 2.26.12 Premium zu aktualisieren und anschließend Einstellungen, UpdraftPlus, Erweiterte Werkzeuge und UpdraftCentral zu öffnen, um den vorhandenen Eintrag für connection keys zu löschen. Da die Versionen 1.26.13 und 2.26.13 ausdrücklich veröffentlicht wurden, um ältere Verbindungen ungültig zu machen, sorgt die Installation dieser Versionen zusätzlich für die spätere automatische Trennung. Administratoren sollten die Benutzer-Seite auf unbekannte Konten prüfen und sowohl die normale Plugins-Seite als auch den Must-Use Tab kontrollieren, der Plugins enthält, die WordPress automatisch lädt. Alle Administratorpasswörter sollten geändert werden. Falls verdächtige Änderungen entdeckt werden, empfiehlt TeamUpdraft, eine Wiederherstellung aus einem vor dem 17. Oktober erstellten Backup in Betracht zu ziehen und die Website anschließend erneut zu verbinden.
Patchstack zufolge sendete der Angreifer über den remote procedure call (RPC) channel des Plugins einen signierten plugin.upload_plugin-Befehl. Dabei handelt es sich um einen Mechanismus, mit dem ein System ein anderes über ein Netzwerk zur Ausführung einer Aktion anweisen kann. Die Anfrage erreichte die Hauptadresse der Website über einen gewöhnlichen POST request. Anschließend installierte und aktivierte WordPress das bereitgestellte Plugin mit seinem normalen Installer. Nethemba, das die Aktivität erstmals in realen Systemen feststellte, fand heraus, dass die backdoor jede Anfrage auf einen bestimmten URL parameter prüfte und diesen mit einem 32 Zeichen langen token verglich. Stimmte der Wert überein, erstellte der Code ein Konto namens data-ops43 mit dem Anzeigenamen Site Tools.
Dieses Konto erhielt die Editor role, zugleich aber auch die permissions manage_options und install_plugins. Dadurch konnte es Website-Einstellungen ändern und beliebige PHP Plugins installieren. Laut Nethemba würden die Aktivierung der öffentlichen Registrierung und die Festlegung von administrator als Standardrolle anschließend die Erstellung eines vollständigen Administratorkontos ermöglichen. In einer WordPress-Standardinstallation kann ein Editor außerdem JavaScript in Beiträge einfügen, das im Browser eines Administrators ausgeführt wird. Das Entfernen des schädlichen Plugins allein reicht nicht aus, weil das zugehörige Konto durch ein dem Angreifer bekanntes Passwort geschützt ist und sich weiterhin über die normale Anmeldeseite anmelden kann, sofern für dieses Konto keine 2FA vorgeschrieben ist. Eine frühe Version des Plugins führte dazu, dass betroffene Websites den HTTP error 500 zurückgaben, was bedeutet, dass der Server die Anfrage nicht abschließen konnte. Der Angreifer löschte dieses fehlerhafte Plugin aus der Ferne und lud eine funktionierende Version hoch, die ein vollständiges Administratorkonto erstellen oder sich als ein bereits vorhandenes Konto anmelden konnte.
Zu den indicators of compromise, also Hinweisen darauf, dass eine Website verändert worden sein könnte, zählen Plugins mit den Namen Site Health Cache, Site Health 364F, Asset Forge 2, Content Helper, Wp Forge, Query Shelf, Style Bridge 8F5, Media Kit 183, Post Dock 776, Nav Hub, Speed Desk, Speed Kit 300, Link Latch, Script Shelf oder Feed Case. Zu den verdächtigen Benutzernamen gehören system_team850, web.tech988, cmseditor170, cms.tech644 und web_mgr684. Sie treten häufig zusammen mit einer @example.com-Adresse und Anzeigenamen wie System Team, Web Tech, System Staff, System Ops oder Cms Tech auf. Die gemeldeten IP-Adressen lauten 43.250.53.42 und 2a09:bac5:4e21:2e3c::49b:9. Patchstack zählte 99 verschiedene Namen für backdoor Plugins; einige Samples enthielten die Zeile „Small maintenance toolkit: keeps option storage tidy.“
Laut Wordfence kann eine Website betroffen sein, wenn UpdraftPlus Free oder Premium aktiv war, während offengelegte connection keys vorhanden waren, und die Website während des Vorfalls aktiv mit dem cloud-hosted UpdraftCentral-Dienst von TeamUpdraft verbunden war. Patchstack verwies außerdem auf eine frühere Schwachstelle im selben Befehlskanal: CVE-2026-10795 mit einem CVSS-Schweregrad von 8.1. Diese Schwachstelle ermöglichte es, Befehle ohne key zu fälschen, und wurde in den Versionen 1.26.5 und 2.26.5 behoben. Berichten zufolge dauern Ausnutzungsversuche jedoch weiterhin an. Websites mit älteren Versionen können daher von beiden Schwachstellen betroffen sein.
Der Vorfall folgt auf eine separate supply chain compromise im Zusammenhang mit Rank Math PRO. Downloads der Version 3.0.123, die zwischen dem 15. Oktober um 20:02 Uhr UTC und dem 16. Oktober um 7:12 Uhr UTC heruntergeladen wurden, enthielten eine backdoor. Das Problem mit der Kennung CVE-2026-111862 und einem CVSS-Wert von 9.8 wurde in Version 3.0.124 behoben. Laut Wordfence konnte die Malware den Zugriff aufrechterhalten, rank1cdn[.]com kontaktieren, bei Seitenaufrufen eine verborgene backdoor neu anlegen und Zugangsdaten, Datenbankinformationen, API keys sowie weitere Geheimnisse offenlegen, auf die der Webserver zugreifen konnte.
Unabhängig davon veröffentlichte die PHP Foundation Patches für CVE-2026-109618 und CVE-2026-109619. Diese beiden mit 9.2 bewerteten Schwachstellen können code execution ohne Authentifizierung ermöglichen oder sensible Daten aus dem process memory offenlegen. Informationen über die PHP2Shell-Probleme gelangten vor der geplanten Veröffentlichung am 22. Oktober um 11:00 Uhr ET an die Öffentlichkeit. Der gemeldete betroffene Versionsbereich umfasst PHP 5, 6, 7 und 8. TeamUpdraft nahm sein Supportformular wegen des fortbestehenden Problems bei der PHP Foundation vorübergehend offline und verwies Kunden an seine Supportforen. Website-Betreibern, die eine externe Verwaltung wünschen, bietet AEU Hosting vollständig abgesichertes Managed WordPress Hosting. Unabhängig von der Hosting-Konfiguration müssen betroffene Updraft-Nutzer dennoch ihre Kontozugangsdaten erneuern, ihre Websites überprüfen und die von TeamUpdraft beschriebenen offengelegten Dienstverbindungen ersetzen.