Злам UpdraftPlus: викрадені ключі UpdraftCentral дали доступ до сайтів на WordPress

Через злам інфраструктури TeamUpdraft, розробника UpdraftPlus, частина сайтів на WordPress опинилася під контролем сторонніх людей. UpdraftPlus — плагін для резервного копіювання, встановлений на понад 3 мільйонах сайтів. За даними Search Engine Journal, зловмисники скористалися викраденими ключами підключення UpdraftCentral. З ними можна було ставити на сайти шкідливі плагіни й створювати приховані облікові записи з правами адміністратора, не знаючи ні логіна, ні пароля.

Що сталося

TeamUpdraft підтвердила, що її сайт зламали на вихідних 17–18 жовтня 2026 року. Компанія припускає, що зловмисники дістали доступ до бази клієнтів. У ній зберігалися дані клієнтів і ключі підключення до сервісів, серед них UpdraftCentral — функція, через яку можна керувати кількома сайтами на WordPress з однієї панелі.

19 жовтня вийшли оновлення: 1.26.13 для безкоштовної версії та 2.26.13 для преміум-версії. Вони відкликають старі ключі UpdraftCentral Cloud і автоматично відключають сайти від сервісу. За словами компанії, WordPress.org надіслав оновлення користувачам автоматично.

Компанія Patchstack, що займається безпекою, пояснила: це не помилка в коді плагіна. Команди надходили з чинними ключами, тож сайт сприймав їх як звичайні інструкції від панелі керування. Так на сайти потрапляли шкідливі плагіни з бекдором. Бекдор створював користувача з роллю «Редактор» і таємно додавав йому права адміністратора. Ще він обходив звичайний вхід, тобто двофакторна автентифікація та обмеження спроб входу його не зупиняли. Patchstack нарахувала 99 різних назв таких плагінів, серед них Site Health Cache. Більшість назв схожі на звичайні службові інструменти для обслуговування й швидкодії сайту.

Що це означає для бізнесу

Під загрозою сайти з активним підключенням до UpdraftCentral Cloud, а не всі сайти з UpdraftPlus. Є важливий нюанс: за даними Patchstack, коли сайт прив'язували до акаунта TeamUpdraft, віддалене керування вмикалося за замовчуванням. Тому підключення могло залишитися активним, навіть якщо ви ставили плагін лише заради резервних копій. Під ризиком і безкоштовна, і платна версії. Самостійно розгорнутих установок UpdraftCentral, за словами TeamUpdraft, проблема не стосується.

Головне: оновлення закриває вхід, але вже встановлені шкідливі плагіни й облікові записи на сайті залишаються. Самого оновлення недостатньо. TeamUpdraft повідомляє, що наразі не бачить ознак того, що зловмисники досі мають доступ до її систем, але розслідування ще триває.

Що ми рекомендуємо зробити

Ми в RBK Digital радимо власникам сайтів на WordPress з UpdraftPlus пройти короткий список перевірок:

• Переконайтеся, що встановлено UpdraftPlus 1.26.13 або 2.26.13 чи новішу версію.
• Відкрийте «Налаштування → UpdraftPlus → Advanced Tools → UpdraftCentral» і видаліть ключі підключення, які там залишилися.
• Перегляньте список плагінів. Насторожитися варто, якщо бачите незнайомі плагіни зі «службовими» назвами на кшталт кешу чи здоров'я сайту.
• Перевірте користувачів, зокрема тих, у кого роль «Редактор». Права такого користувача можуть бути ширшими, ніж показує його роль.
• Змініть паролі адміністраторів і пароль від акаунта TeamUpdraft.
• Якщо знайшли сліди зламу, подумайте про відновлення з резервної копії, зробленої до 17 жовтня.
• Зверніть увагу на несподівані помилки сервера. Patchstack зафіксувала, що через помилку в коді шкідливих плагінів частина сайтів видавала саме такі збої.

Якщо не впевнені, що зможете перевірити все самостійно, замовте безкоштовну перевірку сайту на безпеку та технічний стан. Варто також переглянути, де саме зберігаються ваші резервні копії і хто має доступ до сервера. У цьому допоможе послуга налаштування хостингу та сервера. Розвиток подій ми й далі відстежуємо в розділі новин про сайти, SEO та Google.