Angripare använder stulna UpdraftCentral-nycklar för att installera skadliga tillägg och få administratörsåtkomst till WordPress-webbplatser. Attackkampanjen följer på ett intrång i TeamUpdrafts infrastruktur som potentiellt exponerade kunduppgifter och inloggningsuppgifter för fjärrhantering.
TeamUpdraft upptäckte obehörig åtkomst under den 17–18 oktober. Samtidigt rapporterade säkerhetsforskare att attacker mot anslutna webbplatser inleddes den 18 oktober klockan 15.32 UTC.
Intrång hos TeamUpdraft exponerar känsliga anslutningsuppgifter
TeamUpdraft utvecklar verktyg för säkerhetskopiering, fjärrhantering, molnlagring och testmiljöer för WordPress-webbplatser. Företagets produkter omfattar UpdraftPlus, UpdraftCentral, UpdraftVault och UpdraftClone.
Företaget tror att inkräktaren fick åtkomst till dess kunddatabas. Databasen innehöll kund- och faktureringsuppgifter, orderhistorik, lösenordshashar och inställningar för tvåfaktorsautentisering.
Den innehöll också anslutningsnycklar för UpdraftCentral, UpdraftVault och UpdraftClone. Dessa inloggningsuppgifter är särskilt känsliga eftersom de möjliggör åtkomst mellan tjänster och anslutna webbplatser.
Som svar uppgav TeamUpdraft att företaget stängde åtkomstvägen, loggade ut samtliga konton och ersatte potentiellt berörda nycklar och inloggningsuppgifter.
Företaget uppgav att det inte lagrar betalningsuppgifter. Det rapporterade också att UpdraftPlus tilläggsfiler och nedladdningar förblev opåverkade, liksom egenhostade UpdraftCentral-installationer.
Angripare missbrukar betrodd åtkomst för fjärrhantering
Enligt Patchstack använde angriparna stulna UpdraftCentral-nycklar för att köra kod och skapa konton med fullständiga administratörsbehörigheter.
Forskarna identifierade minst 99 olika namn på skadliga tillägg. Angriparna maskerade dessa tillägg som vanliga verktyg för underhåll eller optimering, däribland ett med namnet ”Site Health Cache”.
En tidig variant av bakdörren innehöll ett programmeringsfel som hindrade den från att fungera korrekt. Nethemba dokumenterade dock en nyare version som kunde skapa privilegierade konton eller logga in angripare som befintliga administratörer.
Administratörer kan därför inte utgå från att alla skadliga tillägg i kampanjen är verkningslösa.
Även uppdaterade webbplatser fick skadliga tillägg
Nethemba rapporterade attacker mot tre av sina WordPress-webbplatser, där angriparna lyckades installera skadliga tillägg på två av dem.
Samtliga tre webbplatser körde WordPress 7.1.3 och UpdraftPlus 2.26.11. Enligt företaget innehöll den tilläggsversionen redan skydd mot den tidigare sårbarheten CVE-2026-10795.
I stället för att utnyttja den sårbarheten tog sig angriparna in via UpdraftCentrals kanal för fjärrhantering. De autentiserade sina kommandon med giltiga privata nycklar för kontrollpanelen.
Denna skillnad är viktig eftersom en uppdatering mot en orelaterad sårbarhet inte skulle hindra någon från att missbruka komprometterade inloggningsuppgifter för fjärrhantering.
Potentiell exponering innebär inte bekräftad kompromettering
Den tillhandahållna rapporten uppskattar att cirka 10 procent av webbplatserna med UpdraftPlus har en UpdraftCentral- eller Migrator-nyckel. Utifrån detta uppskattar rapporten antalet potentiellt exponerade webbplatser till omkring 400 000.
Uppskattningen fastställer dock inte hur många webbplatser angriparna faktiskt lyckades kompromettera. Forskarna har bekräftat skadlig aktivitet, men det totala antalet drabbade webbplatser är fortfarande oklart.
TeamUpdraft uppgav också att säkerhetskopior i kundernas egna externa lagringsutrymmen förblev opåverkade. Företaget rekommenderade ändå att användare som anslutit till sina webbplatser via UpdraftCentral byter lagringsuppgifter och auktoriserar anslutningarna på nytt.
Användare uppmanas att uppdatera och ta bort anslutningsnycklar
Nethemba rapporterade att de första versionerna av UpdraftPlus 1.26.12 och 2.26.12 försökte ta bort UpdraftCentral Cloud-nycklar. Ett fel förhindrade dock att nycklarna faktiskt togs bort.
Incidentvägledningen rekommenderar därför UpdraftPlus 1.26.13 för användare av gratisversionen eller 2.26.13 för Premium-användare, alternativt senare versioner.
Efter uppdateringen bör administratörer kontrollera varje webbplats och radera befintliga UpdraftCentral-anslutningsnycklar via:
Inställningar → UpdraftPlus Backups → Advanced Tools → UpdraftCentral → Manage existing keys
Dessutom bör de granska filer och loggar med hjälp av de indikatorer som TeamUpdraft, Patchstack och Nethemba har publicerat.
Om en undersökning bekräftar att en webbplats har komprometterats rekommenderar vägledningen att återställa en ren säkerhetskopia, ändra lösenordet till TeamUpdraft och återkalla aktiva sessioner. Administratörer bör också återställa sin metod för tvåfaktorsautentisering.
Att enbart ta bort den stulna åtkomsten eliminerar inte en bakdörr som angriparna redan har installerat. Därför behöver drabbade webbplatser både ändrade inloggningsuppgifter och en grundlig undersökning av komprometteringen.
0 svar till ”Stulna UpdraftCentral-nycklar används för att installera bakdörrar i WordPress”