Даже свежий плагин для бэкапов может оставить лазейку. В выходные 17-18 октября 2026 года кто-то получил несанкционированный доступ к teamupdraft.com - сайту компании, которая выпускает UpdraftPlus. Главная тревога для владельцев WordPress сейчас не в зараженной загрузке плагина. Украдены ключи подключения к UpdraftCentral, и с их помощью на сайты уже ставили бэкдоры. Поэтому обновление до 1.26.13 - только часть работы.
Обновление, 22 окт: TeamUpdraft подтвердил, что атакующий создавал админ аккаунты, и просит пользователей Premium проверить новых админов и незнакомые плагины, даже если они никогда не пользовались UpdraftCentral. Что мы нашли на сайтах клиентов на обслуживании.
Если вы читали нашу статью от 16 октября про обновление UpdraftPlus перед восстановлением бэкапа, тут другая история. Тогда речь шла об ошибке в плагине. Теперь атакующий получил ключи у разработчика и отправлял команды, которые выглядели разрешенными. Сколько сайтов пострадало, пока никто не знает.
Что случилось в TeamUpdraft?
TeamUpdraft считает, что злоумышленник получил доступ к базе клиентов. Там были имена, электронные и платежные адреса, история заказов, хеши паролей, настройки двухфакторной защиты и ключи подключения к UpdraftCentral, UpdraftVault и UpdraftClone. По словам компании, данные банковских карт не затронуты: платежи проходят через Stripe или PayPal. О случившемся она сообщила британскому регулятору ICO.
TeamUpdraft также говорит, что сам UpdraftPlus и файлы для его скачивания не пострадали. Версию UpdraftCentral на собственном сервере взлом тоже не затронул. Это хорошие новости. Но украденный ключ облачного подключения от этого безопасным не становится.
UpdraftCentral - панель удаленного управления. Ее клиент встроен в каждую установку UpdraftPlus, а активных установок больше четырех миллионов. Правда, команды панель может отправлять сайту только после создания ключа UpdraftCentral. Команда с действительной подписью выполняется с правами администратора, который подключил сайт. Отдельного подтверждения на каждое действие у него не спрашивают.
Почему файрвол может этого не заметить
Атакующий отправил подписанную команду plugin.upload_plugin. WordPress установил и включил плагин-бэкдор - будто об этом попросила обычная панель управления. Ошибки в коде UpdraftPlus тут не было. И файрвол, который ищет подозрительные запросы, не обязательно заблокирует команду с действительной подписью. Словацкая компания Nethemba обнаружила атаку на своих сайтах; по ее описанию, у одного из пострадавших администраторов стояли Wordfence, Patchstack и Cloudflare.
Один из бэкдоров дает посетителю с секретным токеном в URL из 32 символов создать аккаунт, получить куки для входа и попасть в wp-admin. Формы входа нет - значит, не сработают ни ограничение попыток, ни запрос второго фактора. В списке аккаунт выглядит как Editor, а не Administrator, но получает дополнительные права: может ставить плагины и менять настройки. После удаления плагина-бэкдора аккаунт остается. Другая разновидность создает администратора и пытается его спрятать.
Patchstack обнаружил 99 разных названий плагинов-бэкдоров, установленных с 18 октября, 15:32, по 19 октября, 09:23 UTC. Часто встречалось имя Site Health Cache; остальные похожи на обычные названия из двух-трех слов. Нормальное на вид имя тут ничего не доказывает.
Могут ли у вас быть ключи UpdraftCentral, хотя вы о них не знаете?
Вполне. Когда вы подключаете UpdraftPlus к аккаунту на teamupdraft.com, например ради лицензии и обновлений, галочка Add this website to UpdraftCentral стоит по умолчанию. Не сняли ее - сайт получил ключ. Ключи на стороне сайта сами не истекают: созданные в ноябре 2025 года все еще работали в октябре 2026-го.
Проверьте каждый сайт с UpdraftPlus, даже если ни разу не открывали удаленную панель:
- Подключал ли кто-то сайт к аккаунту teamupdraft.com? Пока не проверите ключи, считайте, что подключение могло остаться.
- В админке самого сайта откройте
Settings > UpdraftPlus Backups > Advanced Tools > UpdraftCentral > Manage existing keys. Если там есть ключ, сайт может принимать подписанные команды из панели. - Пользуетесь WP-CLI? Выполните
wp option get updraft_central_localkeys. Если команда что-то вывела, подключение надо проверить. Без ключа сайт такие команды не принимает.
Обновляйтесь до 1.26.13, а не до 1.26.12
19 октября TeamUpdraft выпустила версии 1.26.12 и 2.26.12, чтобы отозвать старые ключи UpdraftCentral Cloud. Nethemba проверила код и нашла ошибку: обновление не удаляло ни одного ключа. Позже тем же вечером вышли 1.26.13 и 2.26.13 с исправленным отзывом. При этом в уведомлении TeamUpdraft какое-то время все еще говорилось, что 1.26.12 достаточно. Нет, недостаточно.
Даже 1.26.13 удаляет только ключи, созданные до 12:07 UTC 18 октября. Ключи, созданные в тот день с 12:07 до 21:00 UTC - с 15:07 до полуночи по Таллину, - остаются. Я бы не тратил время на выяснение возраста каждого ключа. Проще удалить все вручную.
Что сделать на каждом сайте
Пройдитесь по всем сайтам, которыми владеете или управляете, а не только по самому посещаемому. Если обновлениями занимается другой человек, отправьте ему список и попросите написать, что нашлось. На каждый сайт уйдет примерно 10-20 минут, если не обнаружится ничего странного.
- Войдите через
wp-adminсамого сайта, не через UpdraftCentral. Обновите UpdraftPlus до1.26.13, соответствующую сборку до2.26.13или поставьте более новую версию. - Откройте
Settings > UpdraftPlus Backups > Advanced Tools > UpdraftCentral > Manage existing keysи удалите все ключи. Через WP-CLI это делаетwp option delete updraft_central_localkeys. Уберите сайт и из панели UpdraftCentral, но одним этим не ограничивайтесь: важен ключ на самом сайте. Не подключайте сайт снова, пока TeamUpdraft не объяснит ситуацию подробнее. - Проверьте
Plugins, включая вкладкуMust-Use, и папку плагинов на сервере. Один вариант бэкдора скрывается из списка. ИщитеSite Health Cacheи все, что вы не устанавливали. - Просмотрите
Usersсреди всех ролей. Особое внимание - редакторам, не только администраторам. Неизвестные аккаунты удалите. - Смените пароли всех администраторов, пароль от teamupdraft.com и пароли, которые повторяли где-то еще. Настройте двухфакторную защиту аккаунта TeamUpdraft заново. Если пользуетесь UpdraftVault, подключите его повторно. Если на сайт заходил посторонний, заново авторизуйте удаленное хранилище вроде Google Drive, Dropbox или S3 и смените ключи доступа к нему.
Удалять сам UpdraftPlus не нужно. После удаления ключей бэкапы продолжат работать, перестанет работать удаленное управление. Британский хостер Mythic Beasts отключил UpdraftPlus на всех своих обслуживаемых WordPress-сайтах. Но для небольшого бизнеса, которому нужны резервные копии, полезнее сначала убрать ключи на стороне сайта.
Если нашли бэкдор или чужой аккаунт
Не ограничивайтесь удалением подозрительного плагина. Созданный через него аккаунт может остаться. Восстановите сайт из бэкапа, сделанного до 17 октября, или отдайте его на очистку. После восстановления обновите UpdraftPlus и удалите вернувшиеся вместе с бэкапом ключи. Только потом считайте сайт готовым к работе. Более широкий порядок действий есть в статье что делать после взлома WordPress. Если некому проверить файлы и аккаунты, можно заказать очистку взломанного сайта.
Если могли утечь данные клиентов, разберитесь, касается ли вас правило GDPR о сообщении об утечке в течение 72 часов. Не ждите точного числа пострадавших - его пока нет. А если сайтов несколько и заниматься ими некогда, регулярное обслуживание WordPress снимет с вас обновления и проверки. Но сегодня начните с простого: откройте экран UpdraftCentral в админке своего сайта и посмотрите, остались ли там ключи.