Un atacator a spart site-ul TeamUpdraft în weekendul 17-18 octombrie 2026 și a ajuns la baza de date cu clienți, inclusiv la cheile de conexiune UpdraftCentral. Patchstack a înregistrat cel puțin 99 de pluginuri backdoor instalate prin comenzi semnate cu chei valide. Site-urile cu WordPress la zi nu au fost protejate, pentru că nu a existat un exploit: atacatorul a intrat pe canalul legitim de administrare remote.

Ce s-a întâmplat, pe scurt

TeamUpdraft, dezvoltatorul pluginurilor UpdraftPlus, UpdraftCentral, UpdraftVault și UpdraftClone, a detectat acces neautorizat la infrastructura proprie în weekendul 17-18 octombrie 2026. Compania a închis ruta de acces, a delogat toate conturile și a înlocuit cheile și credențialele afectate, potrivit advisory-ului citat de BleepingComputer.

În baza de date compromise au intrat date de client și facturare, istoric de comenzi, dar și informații mult mai sensibile: hash-uri de parole, setări de autentificare în doi factori și chei de conexiune pentru UpdraftCentral, UpdraftVault și UpdraftClone. Compania susține că nu stochează date de plată și că fișierele și download-urile pluginului UpdraftPlus nu au fost afectate. Instanțele UpdraftCentral găzduite pe infrastructura clientului nu sunt vizate.

Cifra care contează: aproximativ 10% dintre site-urile care folosesc UpdraftPlus au o cheie UpdraftCentral sau Migrator, ceea ce înseamnă în jur de 400.000 de site-uri potențial expuse. UpdraftPlus are peste 4 milioane de descărcări, deci vorbim de o bază de instalare uriașă, cu o minoritate conectată la management remote, dar suficient de mare cât să conteze.

De ce nu a ajutat „avem WordPress la zi”

Aici e partea care trebuie înțeleasă de orice operator de site. Nethemba, firmă de securitate pentru aplicații web, a raportat că trei dintre site-urile proprii WordPress au fost vizate prin UpdraftCentral, iar pe două dintre ele pluginurile malițioase au fost instalate cu succes. Toate trei rulau WordPress 7.1.3 și UpdraftPlus 2.26.11, versiune patch-uită pentru vulnerabilitatea din iunie, CVE-2026-10795.

Concluzia Nethemba este tranșantă: atacatorul nu a spart serverele, nu a exploatat o slăbiciune de configurare. A intrat prin canalul legitim de management remote și a semnat comenzile cu chei private valide de dashboard. Cu alte cuvinte, nu exista un bug de reparat prin update de plugin. Exista o cheie furată de la furnizor, iar site-ul a executat comenzi pentru că semnătura era corectă.

Asta schimbă modelul mental cu care majoritatea oamenilor evaluează securitatea unui site. „Am totul la zi” răspunde la întrebarea „am patch-uit vulnerabilitățile cunoscute?”. Nu răspunde la întrebarea „ce canale au dreptul să dea comenzi pe site-ul meu și cine deține cheile acelor canale?”.

Ce fac atacatorii după ce intră

Patchstack a documentat atacuri începute pe 18 octombrie, la 15:32 UTC, cu scopul de a executa cod arbitrar și de a adăuga conturi cu privilegii complete de administrator. Cercetătorii au înregistrat cel puțin 99 de pluginuri malițioase, cu nume distincte, deghizate în unelte de mentenanță și optimizare WordPress, de tipul „Site Health Cache”.

Un detaliu util: Patchstack descrie o variantă timpurie a pluginului backdoor ca fiind stricată din cauza unei erori de cod. Dar raportul Nethemba documentează o versiune mai nouă, care permite atacatorilor să creeze conturi privilegiate sau să se autentifice ca administratori existenți. Altfel spus, prima generație de unelte a fost neîndemânatică, a doua nu mai este.

Odată ce ai un cont de administrator, jocul s-a terminat pe termen scurt. Poți instala pluginuri, modifica teme, schimba permisiuni, injecta scripturi, exfiltra baze de date. Și, important pentru cine administrează mai multe site-uri: o cheie UpdraftCentral nu deschide o singură ușă, ci un panou care poate trimite comenzi către toate site-urile conectate la acel cont.

Ce trebuie făcut concret, în ordine

TeamUpdraft recomandă actualizarea la UpdraftPlus 1.26.13 (gratuit) sau 2.26.13 (Premium) ori mai nou. Există un motiv pentru care versiunea anterioară nu e suficientă: release-ul 1.26.12/2.26.12 trebuia să elimine cheile UpdraftCentral Cloud, dar un bug a împiedicat operațiunea. Deci nu te opri la „am dat update”, verifică versiunea exactă.

Apoi, pentru fiecare site WordPress, intră în Settings, UpdraftPlus Backups, Advanced Tools, UpdraftCentral, Manage existing keys și șterge cheile de conexiune. Chiar dacă nu ai folosit activ UpdraftCentral, o cheie existentă este o cheie care poate fi folosită de altcineva.

Insp ecționează logurile și fișierele pentru indicatorii de compromitere publicați de TeamUpdraft, Patchstack și Nethemba. Dacă găsești confirmarea unei compromiteri, pașii sunt: restaurezi site-ul dintr-un backup curat, schimbi parola contului TeamUpdraft, revoci toate sesiunile și resetezi metoda de autentificare în doi factori. Ultimul pas contează: dacă atacatorul are deja sesiune validă, schimbarea parolei singură nu îl scoate.

Pentru backupurile din stocarea remote proprie, acestea nu sunt afectate, dar compania recomandă rotirea credențialelor de storage și reautorizarea conexiunilor dacă ai accesat site-ul prin UpdraftCentral. Recomandarea mea, dincolo de ce spune sursa: tratează rotirea credențialelor ca operațiune standard după orice incident la un furnizor care avea acces la infrastructura ta, nu ca pe o excepție.

Ce înseamnă pentru tine, dacă ești antreprenor sau marketer în România

Dacă ai un magazin online pe WooCommerce, un site de lead generation sau un blog care aduce trafic organic, ai probabil un furnizor de backup sau de mentenanță care deține o cheie către site-ul tău. Poate e UpdraftCentral, poate e altceva. Întrebarea pe care trebuie să ți-o pui azi nu este „am făcut update la WordPress?”, ci „cine mai are dreptul să execute comenzi pe site-ul meu și mai am nevoie de fiecare dintre acele accesări?”.

Concret, pentru un business românesc, impactul nu e doar tehnic. Un site compromis înseamnă potențial trafic redirecționat, pagini injectate, conturi de admin create de altcineva, iar dacă magazinul rulează campanii plătite în paralel, banii de reclame se duc către un site care poate fi înlocuit sau blocat de Google. Nu afirm aici că s-a întâmplat asta în acest incident: sursa nu documentează efecte comerciale. Dar lanțul cauzal este real și merită tratat ca risc, nu ca teorie.

Pentru echipele de marketing, partea cea mai incomodă este dependența de furnizori tehnici pe care nu îi verifică nimeni. Cine face backupul, cine ține stagingul, cine are chei de administrare remote: de obicei sunt undeva în afara discuției de business, dar exact acolo stă expunerea. Dacă în agenție sau în firmă nu există o listă clară a acceselor pe care le dețin terții, primul pas nu e să cumperi un scanner de securitate, ci să faci inventarul. Un tabel cu furnizor, tip de acces, cheie, cine o poate revoca și când a fost rotită ultima dată acoperă mai mult decât majoritatea tool-urilor.

Vale și în cazul site-urilor pe care le administrezi pentru clienți. Dacă ai chei UpdraftCentral pentru mai multe instanțe, o singură cheie compromisă la nivel de furnizor poate deveni o problemă pentru toți clienții tăi simultan. Aici transparența față de client contează mai mult decât discreția: spune ce s-a întâmplat, ce ai verificat și ce ai schimbat.

Limitele informațiilor pe care le avem

Trebuie făcută o distincție clară între ce este confirmat și ce este dedus. Confirmat: accesul neautorizat la site-ul TeamUpdraft, conținutul bazei de date compromise așa cum îl descrie compania, existența atacurilor prin chei valide documentate de Patchstack și Nethemba, numărul de pluginuri malițioase găsite, versiunile care trebuie instalate.

Dedus: amploarea reală a compromiterii. Cifra de 400.000 de site-uri este o estimare pornind de la proporția de 10% dintre utilizatorii UpdraftPlus care au o cheie UpdraftCentral sau Migrator. Nu înseamnă că toate acele site-uri au fost atacate. Nu înseamnă nici că toate au fost compromise. O verificare incompletă a unui site nu dovedește nici compromitere, nici absența ei: dovedește doar că nu ai încă probe suficiente.

La fel, nu avem date despre câți dintre cei afectați sunt în România, nu avem date despre pierderi financiare și nu avem confirmarea că toate instanțele conectate au fost verificate. Dacă în auditul tău apar fișiere necunoscute în wp-content/plugins sau conturi de admin pe care nu le recunoști, tratează ca incident, nu ca fals pozitiv. Dacă nu apar, nu conclude automat că ești curat: verifică cheile, nu doar fișierele.

FAQ

Trebuie să fac update dacă nu folosesc UpdraftCentral? Dacă ai UpdraftPlus instalat, da, actualizează la 1.26.13 sau 2.26.13 ori mai nou. Versiunea anterioară avea un bug care împiedica eliminarea cheilor Cloud, deci update-ul la 1.26.12 nu e suficient.

Site-ul meu a rulat WordPress la zi. Mai e posibil să fi fost compromis? Da, în scenariul documentat de Nethemba. Atacul a folosit comenzi semnate cu chei valide prin canalul UpdraftCentral, nu o vulnerabilitate de cod. Actualizarea WordPress nu previne acest tip de acces.

Ce fac dacă nu am backup curat? Nu inventa o soluție de ultim moment. Prioritatea este să elimini accesul: șterge cheile UpdraftCentral, schimbă parola contului TeamUpdraft, revocă sesiunile, resetează metoda de 2FA, apoi verifică manual conturile de administrator și pluginurile active. Restaurarea din backup rămâne recomandarea pentru compromitere confirmată.

AI-ul ajută la analiză, dar decizia și execuția rămân umane

Un instrument AI poate face bine trei lucruri aici: să centralizeze indicatorii de compromitere publicați de TeamUpdraft, Patchstack și Nethemba într-o listă de verificat, să structureze inventarul de accesuri pe care le au terții pe site-urile tale și să genereze un plan de rotație a credențialelor pe priorități. Poate, de asemenea, să trieze loguri și să scoată la suprafață anomalii pe care un om le-ar sări la ora 23.

Ce nu poate face: să decidă dacă un site este curat, să își asume că ștergerea unei chei nu strică un flux de business și să execute rotația fără să atingă ceva în producție. Aici intervine operatorul. Media buyerul sau omul tehnic care cunoaște site-ul știe ce e conectat la ce, ce poate fi oprit fără să cadă magazinul și în ce ordine se fac pașii. AI-ul propune, omul validează, omul apasă butonul.

Pasul concret îl face ALLSoft Agency: inventarul accesurilor pe site-urile pe care le administrăm, verificarea versiunilor UpdraftPlus și a cheilor UpdraftCentral, plus un plan de rotație a credențialelor ordonat după risc. Fără promisiuni de „site-uri invulnerabile”, pentru că nu există așa ceva. Doar verificare, prioritizare și execuție.