Varundusplugin võib olla ajakohane ja ikkagi ukse lahti jätta. Nädalavahetusel, 17.-18. oktoobril 2026, pääses keegi loata UpdraftPlusi taga oleva ettevõtte veebilehele teamupdraft.com. WordPressi omaniku jaoks pole praegu põhimure vigane plugina allalaadimine, vaid varastatud UpdraftCentral ühendusvõtmed. Nendega on saitidele tagauksi lisatud. Seepärast kontrolli, kas su saidil on võtmeid, ja uuenda UpdraftPlus vähemalt versioonile 1.26.13.
Uuendus, 22. okt: TeamUpdraft kinnitab nüüd, et ründaja lõi administraatori kontosid, ja palub Premiumi kasutajatel uusi administraatoreid ning tundmatuid pluginaid kontrollida ka siis, kui nad UpdraftCentrali kunagi ei kasutanud. Mida me oma hooldusklientide saitidelt leidsime.
Kui lugesid meie 16. oktoobri lugu sellest, miks UpdraftPlus ja Backuply tuleb enne varukoopia taastamist uuendada, siis see on teine mure. Seal oli jutt plugina veast. Nüüd sai ründaja võtmed teenusepakkujalt ja saatis käske, mis nägid välja lubatud. Keegi ei tea veel, kui palju saite pihta sai.
Mis TeamUpdraftis juhtus?
TeamUpdrafti hinnangul pääseti ligi kliendiandmebaasile. Seal olid nimed, e-posti- ja arveldusaadressid, tellimuste ajalugu, räsitud paroolid, kaheastmelise autentimise seaded ning UpdraftCentral, UpdraftVault ja UpdraftClone ühendusvõtmed. Ettevõtte sõnul kaardiandmed juhtumiga seotud polnud, sest maksed käivad Stripe’i või PayPali kaudu. Juhtumist anti teada ka Ühendkuningriigi andmekaitseasutusele ICO.
TeamUpdraft ütleb, et UpdraftPlusi plugin ja selle allalaadimised ei saanud pihta. Samuti ei puudutanud juhtum oma serveris majutatud UpdraftCentrali. See on hea uudis, aga varastatud pilveühenduse võtmega saiti see ohutuks ei tee.
UpdraftCentral on TeamUpdrafti kaugjuhtimise töölaud. Selle klient on sisse ehitatud igasse UpdraftPlusi paigaldusse - aktiivseid paigaldusi on üle nelja miljoni. Sait hakkab sealt käske vastu võtma alles siis, kui talle on lisatud UpdraftCentrali võti. Kehtiva allkirjaga käsk töötab selle administraatori õigustes, kes saidi ühendas. Iga tegevuse jaoks eraldi kinnitust ei küsita.
Miks tulemüür seda kinni ei pruugi püüda?
Ründaja saatis allkirjastatud käsu plugin.upload_plugin. WordPress paigaldas ja aktiveeris tagauksega plugina nii, nagu kaugjuhtimise töölaud oleks seda õiguspäraselt palunud. See ei olnud UpdraftPlusi koodiviga. Tulemüür, mis otsib kahtlasi päringuid, ei pruugi kehtivat käsku tagasi lükata. Rünnaku oma saitidelt avastanud Slovakkia turvafirma Nethemba kirjeldas juhtumit, kus mõjutatud saidi administraator kasutas Wordfence’i, Patchstacki ja Cloudflare’i.
Üks tagauks lubab salajase 32-kohalise URL-i tokeniga külastajal konto luua, sisselogimisküpsise saada ja otse wp-admin lehele jõuda. Sisselogimisvormi pole, seega ei rakendu ka sisselogimiskatsete piirang ega kaheastmelise autentimise küsimine. Konto paistab olevat Editor, mitte Administrator, kuid saab ikkagi pluginaid paigaldada ja seadeid muuta. Konto jääb alles ka pärast tagauksega plugina eemaldamist. Teine variant loob administraatori ja proovib seda peita.
Patchstack tuvastas 99 eri nimega tagaukseplugina paigaldamist ajavahemikus 18. oktoober kell 15:32 kuni 19. oktoober kell 09:23 UTC järgi. Korduvalt esines nimi Site Health Cache. Teised nimed koosnesid kahest või kolmest täiesti tavalisena kõlavast sõnast. Ära otsusta plugina ohutuse üle ainult nime järgi.
Kas su saidil võib olla UpdraftCentrali võti, ilma et sa seda teaksid?
Vabalt võib. Kui ühendad UpdraftPlusi teamupdraft.com kontoga näiteks litsentsi ja uuenduste aktiveerimiseks, on valik Add this website to UpdraftCentral vaikimisi märgitud. Kui linnukese alles jätad, saab sait võtme. Saidis olevad võtmed ise ei aegu - 2025. aasta novembris loodud võtmed töötasid veel 2026. aasta oktoobris.
Vaata üle iga WordPressi sait, kus UpdraftPlus on paigaldatud, ka siis, kui sa pole kaugjuhtimise töölauda kordagi avanud:
- Kas keegi ühendas saidi teamupdraft.com kontoga? Kuni sa pole võtmeid kontrollinud, arvesta, et ühendus võib olemas olla.
- Ava saidi enda halduses
Settings > UpdraftPlus Backups > Advanced Tools > UpdraftCentral > Manage existing keys. Kui seal on mõni võti, saab sait vastu võtta allkirjastatud kaugkäske. - Kui kasutad WP-CLI-d, käivita
wp option get updraft_central_localkeys. Kui käsk annab midagi vastuseks, uuri ühendust edasi. Ilma võtmeta sait neid käske vastu ei võta.
Uuenda versioonile 1.26.13, mitte 1.26.12
19. oktoobril avaldas TeamUpdraft versiooni 1.26.12 ja teise versioonirea 2.26.12, et vanad UpdraftCentral Cloudi võtmed tühistada. Nethemba kontrollis koodi ja leidis vea: uuendus ei kustutanud neist ühtegi. Sama päeva hilisõhtul tulid välja 1.26.13 ja 2.26.13, mis tühistamise päriselt ära tegid. Tol hetkel ütles TeamUpdrafti enda teade ikka veel, et 1.26.12 piisab. Ei piisanud.
Ka 1.26.13 eemaldab ainult võtmed, mis loodi enne 18. oktoobri kella 12:07 UTC järgi. Sel päeval vahemikus 12:07 kuni 21:00 UTC loodud võtmed jäävad alles - Tallinna aja järgi tähendab see 15:07 kuni südaööni. Minu soovitus: ära hakka iga võtme loomise aega välja selgitama. Kustuta kõik käsitsi.
Mida igal saidil teha?
Käi läbi kõik saidid, mida omad või haldad, mitte ainult kõige suurema külastatavusega leht. Kui uuendusi teeb sinu eest keegi teine, saada talle see nimekiri ja palu öelda, mida ta leidis.
- Logi sisse selle saidi enda
wp-adminkaudu, mitte UpdraftCentralist. Uuenda UpdraftPlus versioonile1.26.13või uuemale. Kui kasutad 2.x versioonirida, peab see olema vähemalt2.26.13. - Ava
Settings > UpdraftPlus Backups > Advanced Tools > UpdraftCentral > Manage existing keysja kustuta kõik võtmed. WP-CLI-ga saad kasutada käskuwp option delete updraft_central_localkeys. Eemalda sait ka UpdraftCentrali töölaualt, aga ära piirdu sellega: otsustav on saidis olev võti. Ära ühenda saiti uuesti enne, kui TeamUpdraft on juhtunut täpsemalt selgitanud. - Kontrolli
Pluginsvaadet, sealhulgasMust-Usesakki, ja vaata serveris pluginate kaust üle. Üks tagaukse variant peidab end pluginite nimekirjast. OtsiSite Health Cachenime ja kõike muud, mida sa ära ei tunne. - Kontrolli
Usersvaates kõiki kasutajarolle, eriti Editor-kontosid, mitte ainult administraatoreid. Kui leiad tundmatu konto kustuta see. - Vaheta kõigi administraatorite paroolid, oma teamupdraft.com konto parool ja iga mujal korduvkasutatud parool. Seadista TeamUpdrafti kontol kaheastmeline autentimine uuesti ning ühenda UpdraftVault uuesti, kui seda kasutad. Kui saidile on ligi pääsetud, anna Google Drive’i, Dropboxi või S3-sugusele varukoopiate hoidlale uus ligipääs ja vaheta selle salvestusvõtmed.
UpdraftPlusi pole vaja eemaldada. Pärast võtmete kustutamist toimivad varukoopiad edasi, aga kaugjuhtimine enam mitte. Vähemalt üks Ühendkuningriigi majutaja, Mythic Beasts, lülitas UpdraftPlusi oma hallatavatel WordPressi saitidel välja. Väikeettevõtte jaoks, kel on varukoopiaid endiselt vaja, on saidis olevate võtmete eemaldamine kasulikum samm.
Kui leiad tagaukse või võõra kasutaja
Ära kustuta lihtsalt kahtlast pluginat ja arva, et töö on tehtud. Tagaukse loodud konto võib pärast plugina eemaldamist alles jääda. Taasta sait enne 17. oktoobrit tehtud varukoopiast või lase see puhastada. Siis uuenda UpdraftPlus ja eemalda ka taastatud võtmed, enne kui saidi jälle valmis loed. Meie juhend mida teha, kui WordPressi sait on häkitud aitab ülejäänud puhastusega. Kui vajad abi failide ja kasutajakontode kontrollimisel, vaata veebilehe puhastamise teenust.
Kui klientide andmed võisid lekkida, hinda, kas sinu ettevõttele kehtib GDPR-i 72-tunnine rikkumisest teatamise tähtaeg. Ära oota kinnitatud ohvrite arvu - seda pole kellelgi. Kui haldad mitut saiti ja selline kontroll läheb üle pea, saab WordPressi hoolduse abil uuendused ja regulaarsed kontrollid kellegi teise kätte anda. Täna alusta ühest konkreetsest asjast: ava oma saidil UpdraftCentral võtmete vaade ja vaata, mis seal kirjas on.