Faqeve WordPress iu instalua backdoor përmes UpdraftCentral keys
Faqeve WordPress të lidhura me shërbimin UpdraftCentral të hostuar në cloud iu instalua backdoor pasi aktorë të panjohur kërcënimi siguruan connection keys të vlefshme, të cilat i lejojnë shërbimit në distancë t'u dërgojë komanda faqeve të lidhura. TeamUpdraft identifikoi akses të paautorizuar në teamupdraft.com gjatë fundjavës së 17 dhe 18 tetorit 2026. Patchstack më pas vërejti një sulmues që përdorte UpdraftCentral dashboard keys të vlefshme për të instaluar plugins keqdashës gjatë një fushate 18-orëshe që u zhvillua më 18 dhe 19 tetor.
TeamUpdraft tha se besohet që ndërhyrësit kanë hyrë në një bazë të dhënash të klientëve që përmbante emra, adresa emaili dhe faturimi, histori porosish, hashed passwords, cilësime të two-factor authentication (2FA) dhe connection keys për UpdraftCentral, UpdraftVault dhe UpdraftClone. Një hashed password ruhet si vlerë e përzier dhe jo si tekst i lexueshëm, ndërsa 2FA shton një kontroll të dytë gjatë hyrjes. Baza e të dhënave nuk përmbante informacione pagese, të cilat përpunohen nga Stripe dhe PayPal. TeamUpdraft tha se vetë UpdraftPlus plugin, instalimet self-hosted të UpdraftCentral dhe backups të vendosura në remote storage të vetë klientëve nuk u prekën.
Zhvilluesi mbylli rrugën e aksesit, çidentifikoi çdo llogari në teamupdraft.com dhe zëvendësoi kredencialet që mund të ishin ekspozuar. Ai publikoi gjithashtu UpdraftPlus 1.26.13 Free dhe 2.26.13 Premium, të cilat shkëputin automatikisht lidhjet me UpdraftCentral të krijuara para orës 22:00 BST më 18 tetor 2026. Më vete, TeamUpdraft shkëputi çdo faqe nga UpdraftVault, lëshoi kredenciale të reja, zëvendësoi UpdraftClone client keys, ndërroi kredencialet e përdorura me ofruesit e pagesave dhe shërbime të tjera të lidhura, shtoi monitorimin dhe e raportoi shkeljen pranë UK Information Commissioner's Office dhe autoriteteve të tjera përkatëse.
Klientët e UpdraftCentral të hostuar në cloud duhet të hyjnë në WordPress dashboard të vetë secilës faqe dhe jo të përdorin shërbimin e menaxhimit në distancë. TeamUpdraft këshillon përditësimin e UpdraftPlus të paktën në 1.26.12 Free ose 2.26.12 Premium, pastaj hapjen e Settings, UpdraftPlus, Advanced Tools dhe UpdraftCentral për të fshirë connection key ekzistuese. Meqë versionet 1.26.13 dhe 2.26.13 u publikuan posaçërisht për të bërë të pavlefshme lidhjet më të vjetra, instalimi i këtyre versioneve siguron masën e mëvonshme të shkëputjes automatike. Administratorët duhet të kontrollojnë faqen Users për llogari të panjohura dhe të kontrollojnë si faqen e zakonshme Plugins, ashtu edhe skedën Must-Use, e cila përmban plugins që ngarkohen automatikisht nga WordPress. Të gjitha fjalëkalimet e administratorëve duhet të ndryshohen. Nëse shfaqen ndryshime të dyshimta, TeamUpdraft rekomandon të merret në konsideratë rikthimi nga një backup i krijuar para 17 tetorit dhe më pas rilidhja e faqes.
Patchstack tha se sulmuesi dërgoi një komandë të nënshkruar plugin.upload_plugin përmes kanalit remote procedure call (RPC) të plugin, një mekanizëm që i lejon një sistemi t'i japë udhëzim një sistemi tjetër përmes rrjetit. Kërkesa arriti në adresën kryesore të faqes përmes një kërkese të zakonshme POST, pas së cilës WordPress përdori instaluesin e tij normal për të instaluar dhe aktivizuar plugin e dhënë. Nethemba, e cila e zbuloi e para aktivitetin në përdorim real, konstatoi se backdoor kontrollonte çdo kërkesë për një parametër të caktuar URL-je dhe e krahasonte atë me një token prej 32 karakteresh. Kur vlera përputhej, kodi krijonte një llogari me emrin data-ops43 dhe display name Site Tools.
Ajo llogari mori rolin Editor, por iu dhanë gjithashtu lejet manage_options dhe install_plugins, duke mundësuar ndryshime në cilësimet e faqes dhe instalimin e çfarëdo PHP plugins. Nethemba tha se aktivizimi i regjistrimit publik dhe vendosja e administrator si roli i parazgjedhur do të mundësonin më pas krijimin e një administratori me të drejta të plota. Në një instalim standard të WordPress, një Editor mund të vendosë gjithashtu JavaScript në postime, i cili ekzekutohet në browser-in e një administratori. Vetëm heqja e plugin keqdashës nuk mjafton, sepse llogaria e tij, e mbrojtur me një fjalëkalim të njohur nga sulmuesi, vazhdon të jetë në gjendje të përdorë faqen normale të hyrjes, përveç rastit kur 2FA kërkohet për atë llogari. Një version i hershëm i plugin bëri që faqet e prekura të kthenin HTTP error 500, që do të thotë se serveri nuk mund ta përfundonte kërkesën. Sulmuesi e fshiu në distancë atë plugin me defekt dhe ngarkoi një version funksional, të aftë për të krijuar një administrator me të drejta të plota ose për t'u identifikuar si një administrator ekzistues.
Indicators of compromise, domethënë prova se një faqe mund të jetë ndryshuar, përfshijnë plugins me emrat Site Health Cache, Site Health 364F, Asset Forge 2, Content Helper, Wp Forge, Query Shelf, Style Bridge 8F5, Media Kit 183, Post Dock 776, Nav Hub, Speed Desk, Speed Kit 300, Link Latch, Script Shelf ose Feed Case. Emrat e dyshimtë të përdoruesve përfshijnë system_team850, web.tech988, cmseditor170, cms.tech644 dhe web_mgr684, shpesh të shoqëruar me një adresë @example.com dhe display names si System Team, Web Tech, System Staff, System Ops ose Cms Tech. IP addresses e raportuara janë 43.250.53.42 dhe 2a09:bac5:4e21:2e3c::49b:9. Patchstack numëroi 99 emra të ndryshëm backdoor plugin, me mostra që përmbanin rreshtin "Small maintenance toolkit: keeps option storage tidy."
Wordfence tha se një faqe mund të jetë prekur kur UpdraftPlus Free ose Premium ishte aktiv ndërkohë që ekzistonte një connection key e ekspozuar dhe faqja kishte një lidhje aktive me shërbimin UpdraftCentral të TeamUpdraft të hostuar në cloud gjatë incidentit. Patchstack përmendi gjithashtu një dobësi të mëparshme në të njëjtin kanal komandash, CVE-2026-10795 me një CVSS severity score prej 8.1. Ajo dobësi lejonte falsifikimin e komandave pa një key dhe u rregullua në versionet 1.26.5 dhe 2.26.5, megjithëse, sipas raportimeve, përpjekjet për shfrytëzim vazhdojnë. Prandaj, faqet që përdorin versione më të vjetra mund të përballen me të dyja dobësitë.
Incidenti pason një komprometim të veçantë të supply chain që përfshinte Rank Math PRO, ku shkarkimet e versionit 3.0.123 të marra midis orës 20:02 UTC më 15 tetor dhe orës 07:12 UTC më 16 tetor përmbanin backdoors. Problemi, CVE-2026-111862 me një CVSS score prej 9.8, u rregullua në versionin 3.0.124. Wordfence tha se ai malware mund të ruante aksesin, të kontaktonte rank1cdn[.]com, të rikrijonte backdoors të fshehura gjatë vizitave në faqe dhe të ekspozonte kredenciale, hollësi të bazës së të dhënave, application programming interface keys dhe sekrete të tjera të disponueshme për web server.
Më vete, PHP Foundation publikoi patches për CVE-2026-109618 dhe CVE-2026-109619, dy dobësi të vlerësuara me 9.2 që mund të lejojnë ekzekutimin e kodit pa authentication ose të zbulojnë process memory sensitive. Informacioni për dobësitë PHP2Shell doli para publikimit të planifikuar për 22 tetor, në orën 11:00 ET, dhe intervali i prekur i raportuar përfshin PHP 5, 6, 7 dhe 8. TeamUpdraft e çaktivizoi përkohësisht formularin e vet të asistencës për shkak të problemit në vazhdim të PHP Foundation dhe i drejtoi klientët te support forums e tij. Për pronarët e faqeve që kërkojnë menaxhim të jashtëm, AEU Hosting ofron managed WordPress hosting, të siguruar nga njëri skaj në tjetrin. Pavarësisht mënyrës së hosting, përdoruesit e prekur të Updraft duhet ende të ndërrojnë kredencialet e llogarive, të kontrollojnë faqet e tyre dhe të zëvendësojnë lidhjet e ekspozuara të shërbimit të përshkruara nga TeamUpdraft.