Equipes de segurança descobrem violação no repositório do TeamUpdraft
A equipe do TeamUpdraft, desenvolvedora de plugins populares de backup e segurança para WordPress, identificou na semana passada acesso não autorizado em seu site. O incidente foi detectado durante o fim de semana de 17 e 18 de outubro, e a empresa acredita que invasores obtiveram acesso ao banco de dados de clientes.
Como resposta, a equipe agiu imediatamente, bloqueando a rota de entrada, encerrando todas as sessões e substituindo chaves e credenciais potencialmente comprometidas. O fornecedor afirma que nenhum dado de pagamento foi armazenado, e os arquivos do plugin UpdraftPlus permanecem inalterados. Instâncias locais do UpdraftCentral não foram afetadas.
Apesar de os backups nos serviços de armazenamento remoto dos clientes não terem sido impactados, a empresa recomenda que os usuários alterem as credenciais de armazenamento e reautoricem as conexões feitas através do UpdraftCentral. Estima-se que 10% dos sites que usam o UpdraftPlus possuem uma chave de UpdraftCentral ou Migrator, o que pode representar cerca de 400 mil sites expostos ao ataque.
Pesquisadores da Patchstack observaram que atacantes já começaram a utilizar chaves de acesso roubadas para inserir backdoors em sites conectados ao UpdraftCentral. A campanha pode ser mais grave que o ataque “wp2shell”, segundo Oliver Sild, pesquisador principal da Patchstack. Os ataques tiveram início em 18 de outubro, às 15h32 UTC, com o objetivo de executar código arbitrário e adicionar contas com privilégios totais de administrador.
Pelo menos 99 plugins maliciosos de backdoor foram registrados, disfarçados como ferramentas de manutenção e otimização do WordPress, incluindo um chamado “Site Health Cache”. Uma variante anterior do plugin de backdoor apresentou um erro de codificação, mas uma versão mais recente, documentada pela Nethemba, permite que atacantes criem contas privilegiadas ou façam login como administradores existentes.
A Nethemba relata que três de seus próprios sites WordPress foram alvo do ataque via canal de gerenciamento remoto do UpdraftCentral, com a instalação bem-sucedida de plugins maliciosos em dois deles. As versões mais recentes do WordPress (7.1.3) e do UpdraftPlus (2.26.11) estavam em uso, sendo que a atualização de junho para a vulnerabilidade CVE-2026-10795 já estava aplicada.
O fornecedor lançou as versões 1.26.13 (gratuitas) e 2.26.13 (Premium) do UpdraftPlus para corrigir o problema. Após a atualização, os usuários devem fazer login em cada site WordPress e remover as chaves de conexão do UpdraftCentral em Configurações → UpdraftPlus Backups → Ferramentas Avançadas → UpdraftCentral → Gerenciar chaves existentes. Administradores devem revisar logs e arquivos em busca de indicadores de comprometimento fornecidos pelo TeamUpdraft, Patchstack e Nethemba. Se o comprometimento for confirmado, recomenda-se restaurar os sites a partir de backups limpos, alterar a senha da conta TeamUpdraft, revogar todas as sessões e redefinir o método de proteção de autenticação em dois fatores.
Com informações de: BleepingComputer