Един от най-популярните плъгини за архивиране и миграция в света – UpdraftPlus, използван от над 3 милиона активни WordPress сайта – стана жертва на сериозен инцидент с киберсигурността. Неизвестни нападатели успяха да компрометират официалния сайт и базата данни на компанията, сдобивайки се с автентични ключове за отдалечено управление през услугата UpdraftCentral. Това им позволи да инсталират зловредни добавки и тайни задни вратички (backdoors) директно в потребителските сайтове, без да се налага въвеждане на потребителско име или парола.

Пробивът е настъпил през уикенда на 17–18 октомври 2026 г., а екипът на TeamUpdraft, в координация с водещи анализатори от Patchstack и екипа на WordPress.org, стартира спешни мерки за автоматично разпространение на коригиращи обновления.

Генезисът на атаката: Откраднатите частни ключове на UpdraftCentral

За разлика от традиционните софтуерни пропуски, този инцидент не се дължи на грешка в програмния код на самия плъгин. Проблемът произтича от компрометиране на инфраструктурата на доставчика:

  • Как работи UpdraftCentral: Тази услуга позволява централизирано администриране на множество WordPress инсталации от едно табло. Комуникацията между централния панел и сайтовете се удостоверява чрез криптографски ключове (security keys), които позволяват изпълнението на администраторски команди без индивидуално влизане.
  • Легитимни команди от нелегитимен източник: При анализа на сигурността от компанията Patchstack посочват, че стандартните системни проверки в сайта не са могли да различат истинските инструкции от хакерските, тъй като заявките са били коректно криптирани и подписани с оригиналните частни ключове.
  • Автоматично свързване без знанието на собственика: Много потребители дори не са подозирали, че имат активна UpdraftCentral връзка. При свързване на безплатната или платената версия с акаунт в TeamUpdraft опцията за отдалечено управление е била маркирана по подразбиране.

Зловредните плъгини: 99 фалшиви имена и скрити администратори

След като получават оторизиран контрол, нападателите са изпратили команди за автоматично сваляне и активиране на злонамерен софтуер. Изследователите от Patchstack са идентифицирали 99 различни имена, под които се маскират вредните разширения (например на пръв поглед безобидното Site Health Cache):

  • Маскирана роля Editor (Редактор): Зловредният код създава нов потребител с роля Редактор, но паралелно му предоставя скрити администраторски привилегии в базата данни. Така акаунтът изглежда безобиден в списъка с потребители, но има пълен достъп до настройките и инсталирането на код.
  • Заобикаляне на двуфакторната автентикация (2FA): Вградената задна вратичка позволява директен достъп до таблото, заобикаляйки стандартната форма за вход, ограниченията за опити за вход (Login Throttling) и 2FA защитите.
  • Грешка в кода на хакерите: Анализаторите отбелязват, че хакерите са допуснали синтактична грешка в част от скриптовете си, което е довело до показване на 500 Internal Server Error на част от атакуваните сайтове преди активирането на задната врата – факт, който помогна за бързото разкриване на атаката.

Спешната реакция: Пачове 1.26.13 и 2.26.13

Екипът на TeamUpdraft затвори входната точка на атаката на сървърите си, подмени компрометираните ключове и публикува спешни актуализации:

Версия на UpdraftPlus Коригиращ релийз Основно действие
Безплатна версия (Free) 1.26.13 Анулира всички UpdraftCentral Cloud ключове и прекъсва връзката
Премиум версия (Premium) 2.26.13 Спира дистанционния достъп и изолира сайта от централния облак

От официалното хранилище WordPress.org задействаха механизъм за автоматично форсирано обновяване на разширението при милиони потребители. Самостоятелно хостваните (self-hosted) версии на UpdraftCentral не са засегнати от пробива в облачната база данни.

Важно предупреждение: Актуализацията до версия 1.26.13 или 2.26.13 прекъсва достъпа на хакерите през откраднатите ключове, но НЕ изтрива вече инсталираните фалшиви плъгини и не премахва създадените тайни акаунти! Всеки собственик на сайт трябва задължително да направи ръчна инспекция.

Контролен списък за проверка и защита на вашия WordPress сайт

  1. Проверете версията на UpdraftPlus: Уверете се, че използвате 1.26.13 (Free) или 2.26.13 (Premium), или по-нова.
  2. Прегледайте инсталираните разширения: Влезте в меню Разширения (Plugins) и проверете за непознати заглавия, свързани със кеширане или оптимизация (като например Site Health Cache).
  3. Одитирайте потребителите: В меню Потребители (Users) прегледайте внимателно всички профили с роли Administrator и Editor. Изтрийте всеки непознат профил.
  4. Проверете ключовете на UpdraftCentral: В таблото на WordPress отидете на Настройки > UpdraftPlus > Advanced Tools > UpdraftCentral и премахнете всички стари активни ключове за отдалечен достъп.
  5. Сменете администраторските пароли: Сменете паролите на всички администраторски акаунти и на своя личен профил в сайта на TeamUpdraft.
  6. Възстановяване от бекъп: Ако откриете категорични следи от компрометиране, най-сигурната стъпка е пълно възстановяване на базата данни и файловете от архивно копие, създадено преди 17 октомври 2026 г.

Използвате ли UpdraftPlus за архивиране на своите WordPress проекти и проверихте ли инсталациите си за нежелани плъгини и фалшиви редактори след последния пробив? Споделете опита си в коментарите.