UpdraftCentral keys ermöglichten Malware-Installationen auf WordPress
UpdraftCentral connection keys, die während eines unbefugten Zugriffs auf teamupdraft.com offengelegt wurden, kamen zum Einsatz, um schädliche Plugins auf verbundenen WordPress-Websites zu installieren. TeamUpdraft stellte den Zugriff am 17. und 18. Oktober 2026 fest und geht davon aus, dass auf seine Kundendatenbank zugegriffen wurde. Die Datenbank enthielt Zugangsdaten für UpdraftCentral, UpdraftVault und UpdraftClone sowie Informationen zu Kundenkonten. Nethemba analysierte öffentlich Angriffe, bei denen gültige UpdraftCentral-Zugangsdaten verwendet wurden, während Wordfence separate Meldungen von betroffenen Kunden erhielt.
UpdraftCentral verwaltet Backups, Plugins, Themes, Benutzer und andere WordPress-Funktionen über ein einziges Dashboard. Eine verbundene Website und das Dashboard tauschen cryptographic keys aus. Dabei handelt es sich um geheime Zugangsdaten, mit denen Anweisungen verifiziert werden. UpdraftPlus führt anschließend korrekt signierte commands mit den Berechtigungen des WordPress-Benutzers aus, der die Verbindung erstellt hat. Die Angreifer verwendeten den command plugin.upload_plugin, um bereitgestellte Plugin-Archive hochzuladen, schädlichen Code zu aktivieren und in einigen Fällen Plugins zu löschen. Wenn der verbundene Benutzer Plugins installieren durfte, konnte der Angreifer PHP – die Programmiersprache, mit der ein großer Teil von WordPress ausgeführt wird – auf der Website ausführen.
Dieser Angriff konnte auch bei Installationen erfolgreich sein, die bereits den früheren Fix für CVE-2026-10795 enthielten, weil die Anfragen mit vertrauenswürdigen Zugangsdaten signiert waren und deshalb die normalen authentication-Prüfungen bestanden. Die an Wordfence übermittelten Berichte betrafen UpdraftPlus Premium 2.26.11.x sowie eine weitere Website mit UpdraftPlus Free 1.26.10 oder 1.26.11. Der Vorfall betrifft nicht jede UpdraftPlus-Website. Der Client für die Fernverwaltung ist in Free und Premium enthalten, akzeptiert UpdraftCentral-Anweisungen jedoch nur, wenn eine lokale Verbindung besteht.
Eine Website kann gefährdet sein, wenn UpdraftPlus aktiv war und Zugangsdaten für den von TeamUpdraft in der Cloud gehosteten Dienst auf der Website hinterlegt blieben. Allein durch die Installation von UpdraftPlus wird diese Verbindung nicht eingerichtet. Version 1.26.11 bot jedoch beim Verbinden eines TeamUpdraft-Kontos an, eine Website zu UpdraftCentral hinzuzufügen, wobei diese Option standardmäßig ausgewählt war. Betreiber sollten dies daher auch dann überprüfen, wenn sie sich nicht daran erinnern, die Fernverwaltung aktiviert zu haben. Laut TeamUpdraft müssen Free-Benutzer ohne ein Konto bei teamupdraft.com nichts unternehmen. Selbst gehostete UpdraftCentral-Installationen, herunterladbare Plugin-Pakete und Backups, die im eigenen Google Drive, in Dropbox, Amazon S3 oder einem anderen Drittanbieterspeicher des Benutzers gespeichert waren, waren von der Kompromittierung von teamupdraft.com nicht betroffen.
Melden Sie sich zur Überprüfung direkt am Dashboard jeder WordPress-Website an, nicht über UpdraftCentral, und öffnen Sie anschließend Settings, UpdraftPlus, Advanced Tools und UpdraftCentral. Wenn unter Manage existing keys mindestens ein Zugangsdaten-Eintrag angezeigt wird, war die Website so konfiguriert, dass sie remote commands akzeptierte, und sollte als potenziell gefährdet behandelt werden. In der Datenbank sind dieselben Informationen in der option updraft_central_localkeys gespeichert. Veröffentlichen Sie deren Inhalt niemals. Eine leere option oder gelöschte Zugangsdaten verhindern zukünftige commands, können jedoch nicht beweisen, dass nicht bereits ein früherer command erfolgreich ausgeführt wurde.
TeamUpdraft veröffentlichte am 19. Oktober UpdraftPlus 1.26.12 Free and 2.26.12 Premium. Diese Versionen trennen automatisch UpdraftCentral-Verbindungen, die vor 21:00 Uhr UTC beziehungsweise 22:00 Uhr BST am 18. Oktober erstellt wurden. Führen Sie das Update direkt über das Dashboard jeder Website auf eine dieser oder eine spätere Version aus. Wordfence veröffentlichte außerdem eine Notfallregel für die firewall – einen Filter, der bestimmte Webanfragen blockiert – für Benutzer von Free, Premium, Care und Response. Sie blockiert eingehende UpdraftCentral-UDRPC-commands bei Free-Versionen bis einschließlich 1.26.11 und bei Premium-Versionen vor 2.26.12. Wordfence-Benutzer können sie über Wordfence, Firewall, All Firewall Options, Advanced Firewall Options, Rules und Manually Refresh Rules abrufen. Die Regel blockiert vorübergehend auch legitime commands der Cloud-Verwaltung, beeinträchtigt jedoch keine gewöhnlichen Backups, Wiederherstellungen oder Backup-Speicher von Drittanbietern.
Weder das Update noch die firewall machen eine frühere Kompromittierung rückgängig. Betreiber sollten jede lokale UpdraftCentral-Verbindung löschen und anschließend Central-logs, Webserver-Zugriffslogs, PHP-Fehlerlogs, verdächtige Dateien sowie Aufzeichnungen über kürzlich geänderte Dateien sichern, bevor sie Beweismaterial entfernen. Zu den nützlichen Indikatoren in logs gehören probe.central.updraftplus.com, plugin.upload_plugin und plugin.delete_plugin. Zu den gemeldeten Netzwerkindikatoren zählen 43.250.53.42, 2a09:bac5:4e21:2e3c::49b:9 und der exakte User-Agent WordPress/6.4; class-udrpc.php. Angreifer können diese Werte ändern, und Central speichert nur eine begrenzte Anzahl von Ereignissen. Ihr Fehlen beweist daher nicht, dass eine Website sauber ist.
Zu den gemeldeten Namen schädlicher Plugins gehörten Load Stack 35C, Text Gantry Eb0, style-bridge-8f5, speed-press-23b, hero-bridge-6c9, site-health-6a20, db-works-7dba, cache-frame und site-engine. Eine analysierte Familie verwendete die Beschreibung Small maintenance toolkit: keeps option storage tidy. Einige fehlerhafte Samples verursachten HTTP-500-Antworten oder Meldungen über kritische WordPress-Fehler, funktionierende Varianten konnten jedoch unauffälliger bleiben. Nethemba fand eine Variante, die einen Administrator auf dem Users-Bildschirm verbergen oder den Angreifer als ersten vorhandenen Administrator authentifizieren konnte, ohne ein Konto hinzuzufügen. Der analysierte Code verwendete wp_set_auth_cookie(), nachdem hash_equals() einen 32 Zeichen langen Wert geprüft hatte, der über einen zwölfstelligen hexadezimalen Query-Parameter bereitgestellt wurde. Außerdem verwendete er die Hooks pre_user_query und pre_count_users, um Konten zu verbergen.
Die Untersuchung sollte daher über die Bildschirme Plugins und Users hinausgehen. Überprüfen Sie wp-content/plugins, wp-content/mu-plugins, wp-content/upgrade, Themes, Uploads mit ausführbaren Dateien, Dateien im Root-Verzeichnis sowie PHP-Dateien unter wp-admin und wp-includes. Prüfen Sie, sofern vorhanden, advanced-cache.php, db.php, object-cache.php und sunrise.php und vergleichen Sie die Dateien mit vertrauenswürdigen Kopien. Datenbankprüfungen sollten die tatsächlich wirksamen Benutzerberechtigungen, Sessions und application passwords umfassen, einschließlich Netzwerkbenutzern und Superadministratoren bei Multisite-Installationen. Gemeldete Konten wurden teilweise als Editors angezeigt, obwohl sie über die Berechtigungen manage_options und install_plugins verfügten. Zu den Indikatoren gehörten der Anzeigename Site Tools, Benutzernamen wie data-ops43 oder site_editor784, Adressen mit der Endung @example.org oder @example.com sowie option-Namen mit der Endung _sync_token, _uid oder _installed.
Laut TeamUpdraft enthielt die Kundendatenbank außerdem Namen, E-Mail- und Rechnungsadressen, Bestellverläufe, Passwort-hashes und Einstellungen für two-factor authentication. Passwörter wurden nicht als Klartext gespeichert, und Angaben zu Zahlungskarten wurden von Stripe und PayPal verarbeitet und nicht von TeamUpdraft gespeichert. Kontoinhaber sollten ihr Passwort für teamupdraft.com von einem nachweislich sauberen Gerät aus ändern, es überall dort ersetzen, wo sie es erneut verwendet haben, und two-factor authentication zurücksetzen, die beim Anmelden eine zweite Prüfung verlangt. Benutzer sollten außerdem unerwarteten Aufforderungen zur Eingabe von Passwörtern oder Verbindungszugangsdaten misstrauen.
TeamUpdraft trennte alle UpdraftVault-Websites und stellte neue Zugangsdaten aus. Backups zu diesem Dienst werden daher erst wieder aufgenommen, wenn Benutzer die Verbindung erneut herstellen und die Funktion mit einem manuellen Backup bestätigen.
Auch verfügbar in: English