Siti WordPress compromessi con backdoor tramite le connection keys di UpdraftCentral
I siti WordPress collegati al servizio UpdraftCentral ospitato nel cloud sono stati compromessi con backdoor dopo che threat actor sconosciuti hanno ottenuto connection keys valide, che consentono al servizio remoto di inviare comandi ai siti web collegati. TeamUpdraft ha individuato un accesso non autorizzato a teamupdraft.com durante il fine settimana del 17 e 18 ottobre 2026. Patchstack ha successivamente osservato un aggressore utilizzare connection keys valide della dashboard di UpdraftCentral per installare plugin malevoli durante una campagna di 18 ore svoltasi tra il 18 e il 19 ottobre.
TeamUpdraft ha dichiarato che si ritiene che gli intrusi abbiano avuto accesso a un database dei clienti contenente nomi, indirizzi email e di fatturazione, cronologie degli ordini, hashed passwords, impostazioni di two-factor authentication (2FA) e connection keys per UpdraftCentral, UpdraftVault e UpdraftClone. Le hashed passwords vengono archiviate come valori alterati anziché come testo leggibile, mentre la 2FA aggiunge un secondo controllo al login. Il database non conteneva informazioni di pagamento, che vengono gestite da Stripe e PayPal. TeamUpdraft ha dichiarato che il plugin UpdraftPlus stesso, le installazioni self-hosted di UpdraftCentral e i backup collocati nello spazio di archiviazione remoto dei clienti non sono stati interessati.
Lo sviluppatore ha chiuso la via di accesso, disconnesso tutti gli account di teamupdraft.com e sostituito le credenziali che avrebbero potuto essere esposte. Ha inoltre rilasciato UpdraftPlus 1.26.13 Free e 2.26.13 Premium, che disconnettono automaticamente i collegamenti a UpdraftCentral stabiliti prima delle 22:00 BST del 18 ottobre 2026. TeamUpdraft ha inoltre disconnesso separatamente ogni sito da UpdraftVault, emesso nuove credenziali, sostituito le chiavi client di UpdraftClone, effettuato il rollover delle credenziali utilizzate con i fornitori di servizi di pagamento e altri servizi collegati, aggiunto sistemi di monitoraggio e segnalato la violazione all'Information Commissioner's Office del Regno Unito e alle altre autorità competenti.
I clienti di UpdraftCentral ospitato nel cloud devono accedere alla dashboard WordPress di ciascun sito anziché utilizzare il servizio di gestione remota. TeamUpdraft consiglia di aggiornare UpdraftPlus almeno alla versione 1.26.12 Free o 2.26.12 Premium, quindi aprire Settings, UpdraftPlus, Advanced Tools e UpdraftCentral per eliminare la connection key esistente. Poiché le versioni 1.26.13 e 2.26.13 sono state rilasciate appositamente per invalidare le connessioni precedenti, la loro installazione fornisce la successiva misura di disconnessione automatica. Gli amministratori devono controllare la pagina Users alla ricerca di account sconosciuti e verificare sia la normale pagina Plugins sia la scheda Must-Use, che contiene i plugin caricati automaticamente da WordPress. Tutte le password degli amministratori devono essere cambiate. Se compaiono modifiche sospette, TeamUpdraft consiglia di valutare il ripristino da un backup creato prima del 17 ottobre e quindi di ricollegare il sito.
Patchstack ha dichiarato che l'aggressore ha inviato un comando firmato plugin.upload_plugin attraverso il canale remote procedure call (RPC) del plugin, un meccanismo che consente a un sistema di impartire istruzioni a un altro tramite la rete. La richiesta ha raggiunto l'indirizzo principale del sito attraverso una normale richiesta POST, dopodiché WordPress ha utilizzato il proprio installer standard per installare e attivare il plugin fornito. Nethemba, che ha rilevato per prima l'attività in circolazione, ha scoperto che la backdoor esaminava ogni richiesta alla ricerca di uno specifico parametro URL e lo confrontava con un token di 32 caratteri. Quando il valore corrispondeva, il codice creava un account denominato data-ops43 con il nome visualizzato Site Tools.
A tale account veniva assegnato il ruolo Editor, ma gli venivano anche concesse le autorizzazioni manage_options e install_plugins, consentendo la modifica delle impostazioni del sito e l'installazione di plugin PHP arbitrari. Nethemba ha affermato che l'attivazione della registrazione pubblica e l'impostazione di administrator come ruolo predefinito avrebbero quindi consentito di creare un account administrator completo. In un'installazione WordPress standard, un Editor può anche inserire nei post codice JavaScript che viene eseguito nel browser di un administrator. La sola rimozione del plugin malevolo non è sufficiente, perché il suo account, protetto da una password nota all'aggressore, può continuare a utilizzare la normale pagina di login, a meno che per tale account non sia obbligatoria la 2FA. Una prima versione del plugin faceva sì che i siti interessati restituissero HTTP error 500, indicando che il server non riusciva a completare la richiesta. L'aggressore ha eliminato da remoto il plugin difettoso e caricato una versione funzionante in grado di creare un account administrator completo o di effettuare il login come un account esistente.
Tra gli indicators of compromise, ossia le prove che un sito potrebbe essere stato modificato, figurano plugin denominati Site Health Cache, Site Health 364F, Asset Forge 2, Content Helper, Wp Forge, Query Shelf, Style Bridge 8F5, Media Kit 183, Post Dock 776, Nav Hub, Speed Desk, Speed Kit 300, Link Latch, Script Shelf o Feed Case. Tra gli username sospetti figurano system_team850, web.tech988, cmseditor170, cms.tech644 e web_mgr684, spesso associati a un indirizzo @example.com e a nomi visualizzati come System Team, Web Tech, System Staff, System Ops o Cms Tech. Gli indirizzi IP segnalati sono 43.250.53.42 e 2a09:bac5:4e21:2e3c::49b:9. Patchstack ha contato 99 nomi distinti di plugin backdoor, con campioni contenenti la riga "Small maintenance toolkit: keeps option storage tidy."
Wordfence ha dichiarato che un sito può essere interessato se UpdraftPlus Free o Premium era attivo mentre era presente una connection key esposta e il sito aveva un collegamento attivo al servizio UpdraftCentral di TeamUpdraft ospitato nel cloud durante l'incidente. Patchstack ha inoltre segnalato una vulnerabilità precedente nello stesso canale di comando, CVE-2026-10795, con un punteggio di gravità CVSS pari a 8.1. Tale vulnerabilità permetteva di falsificare i comandi senza una chiave ed è stata corretta nelle versioni 1.26.5 e 2.26.5, sebbene, secondo quanto riferito, i tentativi di exploit continuino. I siti che eseguono versioni precedenti potrebbero quindi essere esposti a entrambe le vulnerabilità.
L'incidente segue una distinta compromissione della supply chain riguardante Rank Math PRO, nella quale i download della versione 3.0.123 ottenuti tra le 20:02 UTC del 15 ottobre e le 7:12 UTC del 16 ottobre contenevano backdoor. Il problema, CVE-2026-111862 con un punteggio CVSS di 9.8, è stato corretto nella versione 3.0.124. Wordfence ha dichiarato che quel malware poteva mantenere l'accesso, contattare rank1cdn[.]com, ricreare backdoor nascoste durante le visite alle pagine ed esporre credenziali, dettagli del database, chiavi delle application programming interface e altri dati segreti accessibili al web server.
Separatamente, la PHP Foundation ha rilasciato patch per CVE-2026-109618 e CVE-2026-109619, due vulnerabilità con punteggio 9.2 che possono consentire code execution senza autenticazione o rivelare dati sensibili dalla memoria del processo. Le informazioni sui problemi PHP2Shell sono trapelate prima della divulgazione prevista per il 22 ottobre alle 11:00 ET e l'intervallo di versioni interessate segnalato comprende PHP 5, 6, 7 e 8. TeamUpdraft ha temporaneamente disattivato il proprio modulo di assistenza a causa del problema ancora in corso presso la PHP Foundation e ha indirizzato i clienti ai propri forum di supporto. Per i proprietari di siti web che cercano una gestione esterna, AEU Hosting offre hosting WordPress gestito e protetto end to end. Indipendentemente dalla soluzione di hosting adottata, gli utenti Updraft interessati devono comunque effettuare il rollover delle credenziali degli account, controllare i propri siti e sostituire le connessioni ai servizi esposte descritte da TeamUpdraft.