Fshini UpdraftCentral keys pas marrjes nën kontroll të faqeve WordPress
UpdraftCentral keys të vjedhura nga shërbimi i menaxhimit në distancë po përdoren për të instaluar backdoor në faqet WordPress të lidhura. Patchstack tha se fushata funksionoi pa ndërprerje gjatë një periudhe 18-orëshe më 18 dhe 19 tetor 2026, me instalimin e parë të regjistruar në orën 15:32 më 18 tetor dhe më të fundit në orën 09:23 të ditës pasuese. Përditësimi i statusit në orën 08:00 UTC tha se shfrytëzimi vazhdonte të ishte aktiv dhe se nuk ekzistonte asnjë rregullim nga ofruesi. TeamUpdraft publikoi një njoftim për incidentin e sigurisë në orën 13:00 UTC.
Ky është komprometim i kredencialeve dhe jo një defekt në kodin e UpdraftPlus, ndaj instalimi i versionit më të fundit të plugin nuk e ndalon sulmin. Të gjitha versionet falas dhe premium të UpdraftPlus preken kur një faqe ka një lidhje aktive me UpdraftCentral, duke përfshirë versionet 1.26.11 dhe 2.26.11. Patchstack i caktoi incidentit një rezultat CVSS prej 9.8, duke përdorur shkallën Common Vulnerability Scoring System për seriozitetin e çështjeve të sigurisë. UpdraftPlus ka më shumë se katër milionë instalime aktive, megjithëse ndaj kësaj fushate janë të ekspozuara vetëm faqet që mbajnë një UpdraftCentral key.
UpdraftCentral është një shërbim i veçantë menaxhimi në distancë, klienti i të cilit përfshihet në çdo instalim të UpdraftPlus. Klienti mbetet joaktiv derisa faqja të marrë një kredencial lidhjeje. Në atë moment, faqja krijon një RSA key pair, një çift të përputhur që përdoret për të verifikuar udhëzimet e enkriptuara, dhe ruan pjesën publike të dashboard. Më pas ajo ekzekuton komandat e nënshkruara nga pjesa private përkatëse, me lejet e përdoruesit të WordPress që krijoi lidhjen. Komandat individuale nuk kërkojnë konfirmim tjetër.
Një faqe mund ta marrë një kredencial të tillë duke u bashkuar me një dashboard të UpdraftCentral ose duke u lidhur me një llogari TeamUpdraft.com. Në ekranin e llogarisë, opsioni për ta shtuar faqen në kontrollin e centralizuar në distancë është i zgjedhur si parazgjedhje. Opsioni shfaqet vetëm nëse nuk ekziston asnjë kredencial, kështu që një lidhje e vetme e suksesshme e llogarisë mund të regjistrojë një faqe, pronari i së cilës nuk kishte synuar me vetëdije të përdorte UpdraftCentral. Patchstack tha se kredencialet e lëshuara në nëntor 2025 ishin ende të vlefshme në tetor 2026, sepse ato nuk skadojnë. Kredencialet private të dashboard qëndrojnë në shërbimin cloud dhe jo në faqet e lidhura.
Sulmuesi dërgon një udhëzim plugin.upload_plugin të nënshkruar në mënyrë të vlefshme përmes kanalit të komandave në distancë, i cili pranon POST requests të zakonshme, pra të dhëna të dërguara te faqja. WordPress më pas instalon dhe aktivizon plugin e dhënë përmes instaluesit të vet normal. Nethemba, e cila e zbuloi fushatën në tri faqe brenda infrastrukturës së saj dhe publikoi analizën e parë, raportoi se skedarët lokalë të plugin përputheshin me versionet zyrtare, fingerprint-et e kredencialeve nuk kishin ndryshuar gjatë disa ditëve të backups, kriptografia funksiononte siç duhej dhe logs nuk tregonin as administrator të paautorizuar, as ngarkim tradicional të plugin. Kërkesat keqdashëse vinin nga infrastruktura e kontrolluar nga sulmuesi dhe jo nga sistemet normale të shërbimit. Prandaj, provat tregonin se kredencialet kishin dalë nga mjedisi UpdraftCentral Cloud, por TeamUpdraft nuk e kishte shpjeguar shkakun kur Patchstack publikoi gjetjet e veta.
Çdo plugin i ngarkuar përmban një backdoor që ekzekutohet herët gjatë çdo kërkese të WordPress dhe pret një parametër sekret URL që përmban një vlerë me 32 karaktere. Nëse parametri jepet, backdoor krijon një llogari me një fjalëkalim të integruar dhe e etiketon atë si Editor. Më pas i jep veçmas manage_options dhe install_plugins, dy WordPress capabilities që lejojnë ndryshimin e cilësimeve dhe instalimin e kodit të ekzekutueshëm të plugin. Vizitori hyn në llogari përmes një cookie të qëndrueshme të browser dhe ridrejtohet te wp-admin pa kaluar nëpër formularin e hyrjes. Kjo anashkalon two-factor authentication, kufijtë për përpjekjet e hyrjes dhe plugin e mbrojtjes së hyrjes.
Llogaria e maskuar mbetet edhe pasi plugin keqdashës hiqet, dhe sulmuesi tashmë e di fjalëkalimin e saj. Mostrat e analizuara përmbanin një gabim programimi që shkaktonte një HTTP 500 server error përpara se të mund të ekzekutohej kontrolli i aktivizimit, duke bërë që çdo kërkesë për një faqe të paruajtur në cache të dështonte. Kjo ndërprerje e dukshme i paralajmëroi viktimat e para brenda pak minutash. Pronarët e faqeve nuk duhet ta riparojnë kodin keqdashës, sepse korrigjimi i gabimit do të aktivizonte sjelljen e synuar të tij.
Patchstack regjistroi 99 emra të ndryshëm plugin. “Site Health Cache” u shfaq në mënyrë të përsëritur, ndërsa shumica e emrave të tjerë ishin kombinime të rastësishme me dy ose tri fjalë, të përdorura vetëm një herë. Treguesi më i besueshëm është përshkrimi identik “Small maintenance toolkit: keeps option storage tidy.” Llogaritë e konfirmuara përfshinin data-ops43 dhe media-staff96, por duhen pritur edhe emra të tjerë. Shenja të tjera përfshijnë një adresë që përfundon me @example.org, emrin e shfaqur “Site Tools”, një database option që përfundon me _sync_token, email-e të panjohura gabimesh nga WordPress dhe instalime plugin pa një veprim përkatës nga administratori.
Kërkesat e vëzhguara erdhën nga 43.250.53.42 dhe 2a09:bac5:4e21:2e3c::49b:9. Adresa IPv6 u shfaq rreth tri orë përpara adresës IPv4 dhe të dyja funksionuan njëkohësisht. Meqë sulmuesi e ndryshoi infrastrukturën brenda një dite, bllokimi i këtyre adresave nuk është një mbrojtje e mjaftueshme. Trafiku i ligjshëm në distancë përfshin versionin e një library dhe URL-në e shërbimit në identifikimin e vet User-Agent; kërkesat keqdashëse i lanë jashtë të dyja. Logs të UpdraftCentral mund të tregojnë gjithashtu probe.central.updraftplus.com, të ndjekur nga “Command received: plugin.upload_plugin.”
Administratorët duhet të kontrollojnë nëse ekziston një lidhje, edhe nëse e përdorin UpdraftPlus vetëm për backups. Me WP-CLI, mjetin me komanda teksti për administrimin e WordPress, ekzekutoni wp option get updraft_central_localkeys. Çdo rezultat do të thotë se ekziston një kredencial. Në wp-admin, ai mund të hiqet përmes Settings, UpdraftPlus Backups, Advanced Tools, UpdraftCentral, më pas “Manage existing keys” dhe duke fshirë çdo hyrje. Alternativa me WP-CLI është wp option delete updraft_central_localkeys. Heqja e faqes vetëm nga dashboard qendror nuk mjafton, sepse kopja përkatëse mbetet në faqe. Backups e planifikuara vazhdojnë pas fshirjes; ndalon vetëm menaxhimi në distancë.
Nëse gjendet një backdoor, hiqni fillimisht kredencialin e UpdraftCentral, në mënyrë që sulmuesi të mos mund të dërgojë një zëvendësim. Çaktivizojeni plugin dhe zhvendoseni jashtë direktorisë së qasshme nga web, në vend që ta fshini përmes wp-admin, sepse procesi i çinstalimit të tij heq gjurmët e veta. Fshini option përkatës _sync_token dhe llogarinë e fshehur. Nëse ajo llogari ekziston ose access logs tregojnë parametrin sekret të aktivizimit, trajtojeni faqen si plotësisht të komprometuar: riktheni një backup nga periudha përpara sulmit, krahasoni skedarët me një instalim të pastër të WordPress, kontrolloni çdo përdorues me capabilities shtesë, ndryshoni fjalëkalimet e administratorëve dhe të UpdraftCentral Cloud, përfundoni të gjitha sesionet dhe aktivizoni two-factor authentication. Mos e rilidhni faqen derisa të jetë shpjeguar shkaku. Nëse menaxhimi në distancë është thelbësor, Patchstack vëren se përdorimi i një llogarie pa install_plugins e parandaloi sulmin në një faqe të analizuar publikisht.