Chaves roubadas do UpdraftCentral viram porta de backdoor em sites WordPress
Invasão à TeamUpdraft pode ter exposto chaves do UpdraftCentral; pesquisadores relatam instalação de backdoors e contas de administrador em sites WordPress ligados ao serviço.
Foto: Ofspace LLC, Culture (Pexels)
Um ator de ameaça invadiu o site da TeamUpdraft, desenvolvedora de plugins populares de backup e segurança para WordPress, e pode ter comprometido chaves de conexão do UpdraftCentral capazes de enviar comandos a sites ligados ao serviço.
A empresa detectou acesso não autorizado à infraestrutura no fim de semana e acredita que o invasor acessou a base de dados de clientes, segundo reportagem do BleepingComputer publicada em 20 de outubro de 2026.
O que aconteceu
A TeamUpdraft oferece ferramentas como o UpdraftPlus, plugin de backup e restauração com mais de quatro milhões de downloads; o UpdraftCentral, para gerenciar vários sites à distância; o UpdraftVault, para armazenamento em nuvem; e o UpdraftClone, para criar ambientes de teste. Em comunicado, a empresa afirmou ter identificado acesso não autorizado ao site teamupdraft.com no fim de semana de 17 e 18 de outubro e ter respondido de imediato, fechando a rota de acesso, encerrando todas as sessões e substituindo chaves e credenciais que poderiam ter sido afetadas.
Segundo o fornecedor, a base acessada incluiria dados de clientes e faturamento, histórico de pedidos e informações mais sensíveis, como hashes de senha, configurações de autenticação de dois fatores e chaves de conexão dos serviços UpdraftCentral, UpdraftVault e UpdraftClone. A empresa disse não armazenar dados de pagamento e que os arquivos e downloads do plugin UpdraftPlus permaneceram intactos. Instâncias auto-hospedadas do UpdraftCentral não teriam sido impactadas. Ainda assim, recomenda-se rotacionar credenciais de armazenamento remoto e reautorizar conexões quando o site tiver sido acessado via UpdraftCentral.
Estima-se que cerca de 10% dos sites com UpdraftPlus tenham chave de UpdraftCentral ou Migrator, o que poderia expor cerca de 400 mil websites. De acordo com Oliver Sild, pesquisador-chefe da Patchstack, atacantes já começaram a usar chaves roubadas para instalar backdoors — programas ocultos que mantêm acesso indevido — em sites conectados ao UpdraftCentral. A Patchstack registrou ataques a partir de 18 de outubro, às 15h32 UTC, com execução de código arbitrário e criação de contas com privilégios plenos de administrador, e catalogou ao menos 99 plugins maliciosos com nomes distintos, disfarçados de ferramentas de manutenção, como “Site Health Cache”.
A firma de segurança Nethemba documentou uma versão mais recente do backdoor capaz de criar contas privilegiadas ou iniciar sessão como administradores existentes. Três de seus próprios sites WordPress teriam sido alvo via UpdraftCentral, com plugins maliciosos instalados em dois deles. A empresa afirmou que os sites rodavam WordPress 7.1.3 e UpdraftPlus 2.26.11, já corrigido contra a falha CVE-2026-10795 de junho, e que o invasor não explorou configuração local: entrou pelo canal de gerenciamento remoto do UpdraftCentral com chaves privadas válidas do painel. A Nethemba também relatou que a versão inicial 1.26.12/2.26.12, destinada a remover chaves do UpdraftCentral Cloud, falhou por um erro; recomenda-se atualizar o UpdraftPlus para 1.26.13 (gratuito) ou 2.26.13 (Premium) ou superior, e depois remover as chaves de conexão nas ferramentas avançadas do plugin.
O que isso pode mudar
O episódio pode reforçar a percepção de que canais legítimos de gerenciamento remoto ampliam o raio de impacto quando a infraestrutura do fornecedor é comprometida. Se as chaves de conexão forem o elo mais frágil, administradores de WordPress podem passar a tratar credenciais de painéis centrais com o mesmo rigor aplicado a senhas de servidor, incluindo rotação frequente e revisão de sessões ativas.
Também é possível que o mercado de plugins e painéis de gestão remota enfrente cobrança maior por transparência após incidentes e por mecanismos que limitem o uso de chaves já emitidas. A comparação da Patchstack com campanhas anteriores sugere que a severidade pode ultrapassar episódios conhecidos como o ataque “wp2shell”, o que, se confirmado em escala, poderia acelerar auditorias em sites que usam UpdraftCentral e incentivar restaurações a partir de backups limpos sempre que houver indício de comprometimento.
Fontes: BleepingComputer
Leia mais em: mundodosnegocio.com.br