TeamUpdraft entdeckte den unbefugten Zugriff auf teamupdraft.com nach eigenen Angaben am Wochenende des 17. und 18. Oktober. „Unser Team reagierte sofort und arbeitete die Nacht durch, um den Vorfall einzudämmen – wir haben den Zugangsweg geschlossen, jedes Konto abgemeldet und die möglicherweise betroffenen Schlüssel und Zugangsdaten ersetzt", heißt es in der Sicherheitsmitteilung des Anbieters.
Nach Einschätzung des Unternehmens griff der Angreifer auf die Kundendatenbank zu. Darin enthalten waren Kunden- und Rechnungsdaten, die Bestellhistorie sowie sensiblere Informationen:
- Passwort-Hashes
- Einstellungen zur Zwei-Faktor-Authentifizierung
- Verbindungsschlüssel für UpdraftCentral, UpdraftVault und UpdraftClone
Zahlungsdaten speichere man nicht, so TeamUpdraft; die Plugin-Dateien und Downloads von UpdraftPlus seien unverändert. Selbst gehostete UpdraftCentral-Instanzen sind nicht betroffen. Zum Portfolio gehören UpdraftPlus (Backup und Wiederherstellung, mehr als vier Millionen Downloads), UpdraftCentral zur Fernverwaltung mehrerer Seiten, der Cloud-Speicher UpdraftVault und UpdraftClone für Staging-Umgebungen. Auch wenn Backups im eigenen Remote-Speicher der Kunden unberührt seien, empfiehlt das Unternehmen, Speicher-Zugangsdaten zu wechseln und Verbindungen neu zu autorisieren, sofern der Zugriff auf die Seite über UpdraftCentral erfolgte.
Schätzungen zufolge besitzen rund zehn Prozent der UpdraftPlus-Installationen einen UpdraftCentral- oder Migrator-Schlüssel — damit wären etwa 400.000 Websites angreifbar. Laut Oliver Sild, leitender Forscher bei Patchstack, setzen Angreifer die gestohlenen Zugangsschlüssel bereits ein, um mit UpdraftCentral verbundene Seiten mit Hintertüren zu versehen; die Kampagne könnte schwerwiegender ausfallen als der „wp2shell"-Angriff.
Nach Angaben des auf WordPress-Plugin-Sicherheit spezialisierten Unternehmens begannen die Angriffe am 18. Oktober um 15:32 UTC. Dabei wird beliebiger Code ausgeführt und es werden Konten mit vollen Administratorrechten angelegt. Die Forscher erfassten mindestens 99 bösartige Backdoor-Plugins mit unterschiedlichen Namen, die sich als WordPress-Wartungs- und Optimierungswerkzeuge tarnen, etwa „Site Health Cache".
Während Patchstack eine frühe Variante des Backdoor-Plugins beschreibt, die wegen eines Programmierfehlers nicht funktioniert, dokumentiert die auf Webanwendungssicherheit spezialisierte Firma Nethemba eine neuere Fassung: Sie erlaubt es Angreifern, privilegierte Konten anzulegen oder sich als bestehende Administratoren anzumelden. Drei eigene WordPress-Websites von Nethemba wurden über UpdraftCentral angegriffen, auf zweien wurden die Schadplugins erfolgreich installiert.
„Alle drei Seiten liefen mit dem aktuellen WordPress 7.1.3 und UpdraftPlus 2.26.11, das gegen die Juni-Schwachstelle CVE-2026-10795 gepatcht ist", so Nethemba. „Der Angreifer ist nicht in unsere Server eingebrochen und hat keine Schwäche in unserer Konfiguration ausgenutzt. Der Angreifer kam über den Fernwartungskanal UpdraftCentral herein und signierte die Befehle mit gültigen privaten Dashboard-Schlüsseln." Die zunächst veröffentlichte Version 1.26.12 beziehungsweise 2.26.12 sollte laut Nethemba die UpdraftCentral-Cloud-Schlüssel entfernen, ein Fehler verhinderte das jedoch.
Empfohlen wird das Update auf UpdraftPlus 1.26.13 (Gratisversion) beziehungsweise 2.26.13 (Premium) oder neuer. Anschließend sollten Betreiber sich an jeder WordPress-Seite anmelden und die UpdraftCentral-Verbindungsschlüssel unter Einstellungen → UpdraftPlus Backups → Advanced Tools → UpdraftCentral → Manage existing keys löschen. Administratoren sollten Protokolle und Dateien anhand der von TeamUpdraft, Patchstack und Nethemba bereitgestellten Kompromittierungsindikatoren prüfen. Bestätigt sich eine Kompromittierung, empfiehlt sich die Wiederherstellung aus sauberen Backups, ein Wechsel des TeamUpdraft-Kontopassworts, der Widerruf aller Sitzungen sowie das Zurücksetzen der Zwei-Faktor-Authentifizierung.