Lopott UpdraftCentral-kulcsokkal támadnak WordPress-oldalakat

A TeamUpdraft október 17-18. hétvégéjén észlelte, hogy illetéktelenek jutottak be a teamupdraft.com weboldalra. A cég közlése szerint lezárták a behatoláshoz használt útvonalat, minden fiókot kijelentkeztettek, és lecserélték a potenciálisan érintett kulcsokat, illetve hitelesítő adatokat.

A fejlesztő úgy véli, a támadó az ügyféladatbázishoz is hozzáfért. Ebben ügyfél- és számlázási adatok, rendelési előzmények, jelszavakból képzett ellenőrzőértékek és a kétlépcsős azonosítás beállításai szerepeltek. Az adatbázis az UpdraftCentral, az UpdraftVault és az UpdraftClone szolgáltatások kapcsolati kulcsait is tartalmazta.

A cég szerint fizetési adatokat nem tároltak. Az UpdraftPlus bővítmény fájljai és letöltései nem érintettek, és a saját üzemeltetésű UpdraftCentral-példányokra sem terjed ki az incidens.

Az UpdraftCentral több webhely távoli kezelésére szolgál, kapcsolati kulcsaival pedig parancsokat lehet küldeni a hozzá csatlakoztatott oldalaknak. A becslés szerint az UpdraftPlus szolgáltatást használó webhelyek 10%-ának van UpdraftCentral- vagy Migrator-kulcsa. Innen származik a körülbelül 400 000 potenciálisan veszélyeztetett oldalra vonatkozó adat.

A Patchstack szerint a támadások október 18-án, 15:32 UTC-kor kezdődtek. A megszerzett hozzáféréssel tetszőleges kódot futtatnak, és teljes adminisztrátori jogosultságú fiókokat hoznak létre.

A kutatók legalább 99 különböző nevű, rosszindulatú bővítményt azonosítottak. Ezek WordPress-karbantartó és optimalizáló eszközöknek adják ki magukat; az egyik például a „Site Health Cache” nevet használja.

A Nethemba saját webhelyein is tapasztalta a támadást: három oldalukat vették célba az UpdraftCentral felől, és kettőre sikerült rosszindulatú bővítményt telepíteni. Beszámolójuk szerint mindegyiken WordPress 7.1.3 és UpdraftPlus 2.26.11 futott. Utóbbi már tartalmazta a júniusi CVE-2026-10795 javítását.

A vállalat szerint a behatoló nem a szervereiket törte fel, és nem konfigurációs gyengeséget használt ki. A távoli kezelési csatornán keresztül érkezett, a parancsokat pedig érvényes privát kulcsokkal írta alá.

A Patchstack által leírt korai hátsóajtó-változat programozási hiba miatt nem működött megfelelően. A Nethemba viszont olyan újabb változatot dokumentált, amellyel emelt jogosultságú fiókot lehet létrehozni, vagy meglévő adminisztrátorként lehet belépni.

A Nethemba szerint az UpdraftPlus 1.26.12 és 2.26.12 kiadásának el kellett volna távolítania az UpdraftCentral Cloud kulcsait, de ezt egy hiba megakadályozta. Azóta újabb kiadás is megjelent; a javasolt verziókat és a kulcsok törlésének menetét az alábbi teendők mutatják.

A frissítés után minden kapcsolódó WordPress-oldalon külön be kell lépni, és törölni kell a korábbi UpdraftCentral-kulcsokat. Az ajánlás a naplók és a fájlok átvizsgálását is előírja a TeamUpdraft, a Patchstack és a Nethemba által közölt támadási nyomok alapján.

Az ügyfelek saját távoli tárhelyén őrzött mentéseket a közlés szerint nem érinti az incidens. A TeamUpdraft ennek ellenére a tárolóhoz tartozó hitelesítő adatok cseréjét és a kapcsolatok újbóli engedélyezését javasolja azoknak, akik az UpdraftCentral segítségével érték el oldalukat.

Igazolt kompromittálódás esetén tiszta mentésből történő helyreállítást ajánlanak. Ehhez a TeamUpdraft-fiók jelszavának cseréje, az összes munkamenet visszavonása és a kétlépcsős azonosítás újbóli beállítása társul.