Violação de segurança do plug-in UpdraftPlus WordPress permite ataques backdoor

Uma violação de segurança que afetou o UpdraftPlus, um plug-in de backup do WordPress instalado em mais de 3 milhões de sites, permitiu que invasores instalassem plug-ins maliciosos e criassem contas de administrador não autorizadas. O ataque explorou chaves de conexão comprometidas do UpdraftCentral, permitindo que invasores assumissem o controle de sites WordPress conectados sem a necessidade de um nome de usuário ou senha.

Atualização do site comprometida

TeamUpdraft confirmou que seu site foi comprometido no fim de semana de 17 a 18 de outubro de 2026. A empresa acredita que os invasores acessaram seu banco de dados de clientes, que continha informações de clientes e chaves de conexão para serviços, incluindo UpdraftCentral. Essas chaves comprometidas permitiram que invasores obtivessem controle de sites WordPress conectados.

Atualizar resposta de segurança

Uma postagem no blog TeamUpdraft explicou que a rota de acesso não autorizado no centro da violação foi fechada, que as credenciais potencialmente comprometidas foram substituídas e que foram lançadas atualizações de segurança que revogam conexões mais antigas do UpdraftCentral.

As atualizações, UpdraftPlus 1.26.13 para a versão gratuita e 2.26.13 para a versão premium, foram lançadas em 19 de outubro de 2026.

O changelog do plug-in descreve as atualizações como a revogação das chaves do UpdraftCentral Cloud, com a versão 1.26.13 corrigindo como a revogação foi aplicada na versão anterior. As atualizações desconectam automaticamente os sites afetados do UpdraftCentral, bloqueando acesso adicional por essa rota.

A empresa também informou que o WordPress.org enviou o plugin atualizado aos usuários automaticamente.

Plug-in de backup para WordPress UpdraftPlus

O plugin UpdraftPlus é usado por sites WordPress para criar backups, restaurar sites e migrar sites para diferentes provedores de hospedagem ou nomes de domínio. Ele oferece suporte a backups automatizados e permite que proprietários de sites armazenem cópias de backup de seus sites em serviços como Google Drive, Dropbox e Amazon S3.

O plugin também inclui UpdraftCentral, um recurso de gerenciamento remoto que permite aos proprietários de sites gerenciar várias instalações do WordPress a partir de um único painel. Esse recurso está no centro do incidente de segurança.

O compromisso do UpdraftCentral

UpdraftCentral usa chaves de segurança para autenticar instruções enviadas do painel remoto para sites conectados. Essas chaves permitem que o serviço execute ações administrativas sem exigir que alguém faça login em cada site separadamente.

Chaves de segurança comprometidas permitem o controle do site

As chaves comprometidas do UpdraftCentral permitiram que os invasores enviassem comandos para sites WordPress conectados que pareciam ser instruções legítimas do serviço de gerenciamento remoto.

As verificações de segurança padrão não conseguiram distinguir entre instruções legítimas e aquelas autenticadas com chaves roubadas. Como resultado, os sites WordPress aceitaram os comandos dos invasores como autorizados.

Na análise inicial da empresa de segurança Patchstack, publicada antes do TeamUpdraft lançar as atualizações de segurança, o problema foi explicado como não sendo uma vulnerabilidade real:

“Esta não é uma vulnerabilidade no UpdraftPlus e, desde 19 de outubro, nenhuma atualização de plug-in a interrompe. Os comandos são corretamente criptografados e assinados com chaves privadas genuínas do painel. Cada verificação no plug-in é aprovada, porque do ponto de vista do site a instrução é legítima.”

O que isso significa é que os invasores não estavam explorando um erro de programação no próprio plugin UpdraftPlus. As verificações de segurança funcionaram conforme planejado, mas as chaves roubadas permitiram que os invasores se passassem pelo serviço de gerenciamento remoto.

Plug-ins maliciosos instalados

Usando as chaves de segurança comprometidas do UpdraftCentral, os invasores enviaram comandos para sites WordPress conectados, instruindo-os a instalar e ativar plug-ins maliciosos. Como os comandos foram autenticados com chaves de segurança genuínas, os sites os trataram como instruções legítimas e instalaram os plug-ins por meio do processo normal de instalação de plug-ins do WordPress.

Os plug-ins maliciosos continham um backdoor que poderia criar uma conta de usuário do WordPress com a função de Editor e, em seguida, conceder a essa conta permissões administrativas adicionais.

Embora uma conta de Editor normalmente não tenha permissão para instalar plug-ins ou gerenciar configurações importantes do WordPress, o código malicioso concedeu separadamente esses recursos. Isso dificultou a identificação das contas não autorizadas porque podiam parecer editores comuns, embora possuíssem permissões normalmente reservadas aos administradores.

O backdoor também contornou o processo normal de login do WordPress, contornando medidas de segurança como autenticação de dois fatores e restrições de tentativa de login.

A análise do Patchstack descobriu que os plug-ins maliciosos continham um erro de codificação que fazia com que os sites afetados retornassem erros de servidor antes que o backdoor pudesse ser ativado. No entanto, este erro não eliminou o perigo representado pelos plugins maliciosos.

Patchstack identificou 99 nomes diferentes usados ​​para plug-ins maliciosos, incluindo um chamado Site Health Cache. Os nomes geralmente lembravam ferramentas legítimas de manutenção e desempenho de sites, tornando-os menos óbvios para os proprietários de sites que analisavam seus plug-ins instalados.

Sites WordPress podem estar conectados sem que os proprietários percebam

Um detalhe importante sobre esse incidente de segurança é que o proprietário de um site pode ter uma conexão UpdraftCentral ativa, mesmo que nunca tenha pretendido usar o serviço de gerenciamento remoto.

Patchstack relatou que conectar um site a uma conta TeamUpdraft poderia criar automaticamente uma conexão UpdraftCentral porque a opção para habilitar o gerenciamento remoto foi selecionada por padrão. Conseqüentemente, os sites que usam o UpdraftPlus estritamente para backups podem ter chaves de conexão ativas sem que os proprietários do site percebam.

O incidente afeta sites com conexões ativas do UpdraftCentral Cloud, nem todos os sites com o plugin UpdraftPlus instalado. Patchstack também confirmou que o problema de segurança afetou as versões gratuita e premium do UpdraftPlus. TeamUpdraft afirmou que as instalações auto-hospedadas do UpdraftCentral não foram afetadas.

Usuários do UpdraftPlus são incentivados a verificar seus sites

TeamUpdraft está pedindo aos proprietários de sites, incluindo aqueles que nunca usaram conscientemente o UpdraftCentral, que verifiquem seus sites em busca de evidências de atividades não autorizadas.

A empresa recomenda revisar os plug-ins instalados em busca de adições desconhecidas e verificar as contas de usuário do WordPress em busca de administradores não autorizados.

Os proprietários de sites também devem verificar se estão executando o UpdraftPlus 1.26.13 ou 2.26.13, ou uma versão mais recente, e remover quaisquer chaves de conexão do UpdraftCentral comprometidas restantes.

As chaves de conexão podem ser gerenciadas através do painel do WordPress em Configurações, UpdraftPlus, Ferramentas Avançadas e UpdraftCentral.

TeamUpdraft também recomenda alterar as senhas de administrador e considerar a restauração de um backup criado antes de 17 de outubro se for descoberta evidência de comprometimento.

Os usuários com contas TeamUpdraft também são aconselhados a alterar as senhas de suas contas.

A empresa afirma que atualmente não há evidências de que os invasores mantenham acesso aos seus sistemas, mas a investigação continua em andamento.

Embora as atualizações de segurança bloqueiem o acesso adicional através das conexões comprometidas, elas não removem plug-ins maliciosos ou contas não autorizadas que já possam existir nos sites afetados. É por isso que a verificação de evidências de comprometimento continua importante mesmo após a atualização.

Imagem em destaque da Shutterstock/Kues