Site-ul WordPress e la zi, dar are un administrator străin? Lecția UpdraftCentral

Cheile UpdraftCentral furate au deschis site-uri WordPress actualizate. Ce verifici, în ce ordine cureți și de ce orice conexiune de administrare la distanță trebuie inventariată.

Un site WordPress poate avea toate actualizările la zi și totuși să aibă un administrator pe care nu l-a creat nimeni din firmă. Așa s-a întâmplat în octombrie 2026, după ce furnizorul unuia dintre cele mai folosite pluginuri de backup a fost spart. Articolul e pentru patronii și managerii care au un site WordPress și pentru cei care îl administrează: ce s-a întâmplat, ce verifici și ce faci dacă găsești ceva.

TeamUpdraft face pluginul de backup UpdraftPlus și serviciul UpdraftCentral, prin care o agenție sau un administrator gestionează mai multe site-uri dintr-un singur panou. Pe 17 și 18 octombrie 2026, cineva a intrat neautorizat pe teamupdraft.com. Potrivit firmei, a avut acces la baza de date a clienților, inclusiv la cheile de conexiune UpdraftCentral, UpdraftVault și UpdraftClone.

Cu acele chei, atacatorul a trimis comenzi către site-urile conectate la UpdraftCentral. Comenzile erau semnate cu chei valide, așa că site-urile le-au acceptat ca pe niște comenzi legitime. Pe unele site-uri a instalat pluginuri ascunse (backdoor) și a creat conturi cu drepturi extinse. Patchstack a numărat cel puțin 99 de nume diferite de pluginuri malițioase, deghizate în unelte de mentenanță. BleepingComputer citează estimarea că aproximativ 10% din site-urile cu UpdraftPlus aveau o cheie UpdraftCentral sau Migrator, adică în jur de 400.000 de site-uri potențial expuse.

TeamUpdraft precizează că pluginul UpdraftPlus în sine și descărcările lui nu au fost afectate, la fel ca backup-urile din spațiile de stocare proprii și instalările UpdraftCentral găzduite de clienți.

De obicei, un site spart înseamnă un plugin vechi cu o vulnerabilitate cunoscută, iar remediul e actualizarea. Aici nu a fost o vulnerabilitate în codul site-urilor. Atacatorul avea cheile reale, deci pentru WordPress comenzile lui arătau exact ca ale administratorului.

Nethemba, firma care a analizat atacul pe propriile site-uri, a constatat că aceste chei nu expiră. O cheie creată acum câțiva ani pentru o migrare sau pentru un panou de administrare la distanță rămâne valabilă până o ștergi. Lecția e mai largă decât UpdraftCentral: orice conexiune de administrare la distanță e o cheie de la casă. Dacă furnizorul ei e spart, ușa se deschide chiar dacă site-ul e la zi.

Verificările de mai jos le face cine administrează site-ul, direct din panoul WordPress, nu prin UpdraftCentral:

• Versiunea UpdraftPlus: trebuie să fie 1.26.13 (gratuit) sau 2.26.13 (Premium) ori mai nouă. Nethemba a constatat că versiunea 1.26.12/2.26.12 trebuia să șteargă cheile, dar nu o făcea din cauza unei erori.
• Cheile UpdraftCentral: în Setări → UpdraftPlus → Advanced Tools → UpdraftCentral. Orice cheie de acolo înseamnă că site-ul poate primi comenzi de la distanță. Nethemba arată că actualizarea șterge automat doar cheile create înainte de 18 octombrie, ora 12:07 UTC. Cheile create în aceeași zi între 12:07 și 21:00 UTC trebuie șterse manual.
• Pluginurile: caută pluginuri pe care nu le recunoști, inclusiv în fila Must-Use, dacă apare. Patchstack descrie un semn clar: descrierea „Small maintenance toolkit: keeps option storage tidy.” Numele variază, de exemplu „Site Health Cache”, „Speed Kit” sau „Static Lab”.
• Utilizatorii: caută conturi pe care nu le-ați creat, mai ales cu rolul Editor. Patchstack a găsit conturi care arată ca Editor, dar au și dreptul de a instala pluginuri și de a schimba setările, cu nume formate din două cuvinte și două cifre și cu adrese de e-mail @example.org.
• Baza de date: cine are acces tehnic poate căuta o opțiune al cărei nume se termină în _sync_token, pe care Patchstack o asociază acestor backdoor-uri.
• Jurnalele serverului: cereri neobișnuite către adresa principală a site-ului, cu parametri pe care nu-i recunoașteți, începând cu 17 octombrie.

Atenție: Nethemba a documentat și o variantă de backdoor care nu creează niciun cont nou, ci intră direct ca un administrator existent. O listă de utilizatori curată nu dovedește singură că site-ul e curat.

Ordinea contează. Patchstack și Nethemba recomandă:

1. Șterge întâi cheia UpdraftCentral. Altfel atacatorul poate instala alt backdoor în timp ce îl cureți pe primul.
2. Nu șterge pluginul suspect din panoul WordPress. Dezactivează-l și mută-i folderul în afara site-ului. Patchstack avertizează că rutina lui de dezinstalare îi șterge urmele.
3. Nu încerca să-i „repari” fișierul. Unele variante au o eroare care le împiedică să funcționeze, iar reparația le activează.
4. Șterge contul străin și opțiunea _sync_token. Contul rămâne și după ce pluginul a dispărut.
5. Schimbă parolele tuturor administratorilor, închide toate sesiunile și activează autentificarea în doi pași.
6. Dacă backdoor-ul a fost folosit, tratează site-ul ca fiind complet compromis. Restaurează dintr-un backup făcut înainte de 17 octombrie, cum recomandă TeamUpdraft, și compară fișierele cu o instalare curată.
7. Schimbă cheile spațiului de stocare în care se fac backup-urile, dacă site-ul era administrat prin UpdraftCentral, și reautorizează conexiunea.

Dacă aveți cont pe teamupdraft.com, schimbați și parola de acolo și pe cea de pe orice alt serviciu unde ați folosit-o. TeamUpdraft recomandă și resetarea autentificării în doi pași.

UpdraftPlus e un plugin bun și nu e cazul să renunțați la backup-uri. E cazul să tratați accesul la distanță ca pe ceva ce trebuie inventariat și revizuit periodic:

• Inventarul conexiunilor. Faceți lista serviciilor care pot da comenzi site-ului din exterior: UpdraftCentral, ManageWP, MainWP, Jetpack, pluginurile de migrare, conturile agenției. Ce nu mai folosiți se deconectează și i se șterge cheia.
• Cel mai mic privilegiu. Nethemba a observat că pe un site atacul a eșuat pentru că utilizatorul care crease conexiunea nu avea dreptul să instaleze pluginuri. O cheie legată de un cont cu drepturi limitate face mai puțin rău.
• Autentificarea în doi pași pentru toți administratorii și pentru conturile de la furnizorii de servicii.
• Backup-uri verificate, păstrate în afara site-ului și restaurate de probă din când în când. Un backup pe care nu l-ați încercat niciodată nu e încă un plan.
• Cineva care urmărește avizele de securitate. Incidentul a fost anunțat public în câteva zile, dar fiecare site trebuia verificat de cineva.

1. Actualizează UpdraftPlus la 1.26.13 sau 2.26.13 ori mai nou.
2. Șterge manual toate cheile UpdraftCentral de pe fiecare site.
3. Caută pluginuri și utilizatori necunoscuți, inclusiv Editori cu drepturi neobișnuite.
4. Dacă găsești ceva, urmează ordinea: cheia, pluginul mutat, contul, parolele, restaurarea.
5. Fă inventarul tuturor conexiunilor de administrare la distanță și păstrează doar ce folosești.

La ME Digital facem astfel de verificări ca parte din serviciile de securitate și actualizări: căutăm conexiunile la distanță uitate, conturile cu drepturi neobișnuite și semnele de compromitere, apoi curățăm și documentăm ce am găsit. Dacă vrei să ne uităm la site-ul tău, scrie-ne.

• TeamUpdraft, Security incident – October 2026
• Nethemba, analiza backdoor-urilor UpdraftCentral
• Patchstack, UpdraftCentral key compromise and WordPress backdoors
• BleepingComputer, Stolen UpdraftCentral keys used to backdoor WordPress sites