Взлом плагина UpdraftPlus для WordPress открыл бэкдор на 3 млн сайтов

Компания TeamUpdraft подтвердила, что в выходные 17-18 октября 2026 года её собственный сайт был скомпрометирован. Злоумышленники добрались до клиентской базы данных, в которой хранились ключи подключения к сервису UpdraftCentral. Эти ключи позволяют управлять WordPress-сайтами удалённо, без ввода логина и пароля. Именно через них атакующие рассылали команды на установку вредоносных плагинов и создание скрытых администраторских учётных записей.

Примечательно, что компания Patchstack, специализирующаяся на безопасности WordPress, в своём первичном анализе прямо указала: это не уязвимость в самом UpdraftPlus. Все проверки в плагине работали штатно, но украденные ключи давали атакующим возможность выдавать себя за легитимный сервис удалённого управления.

Как именно действовали атакующие?

• Украли ключи, а не взломали код. UpdraftCentral (функция удалённого управления несколькими сайтами из одной панели) использует криптографические ключи для аутентификации команд. Атакующие получили настоящие ключи из скомпрометированной базы TeamUpdraft, и все защитные проверки плагина пропускали их команды как подлинные.

• Установили вредоносные плагины с бэкдором (скрытым входом для повторного доступа). Через украденные ключи на сайты отправлялись команды на установку вредоносных плагинов. Сайты выполняли их через стандартный механизм установки WordPress, как если бы это делал сам владелец.

• Создали скрытые учётные записи с правами администратора. Бэкдор создавал учётную запись с ролью «Редактор», а затем отдельно наделял её административными правами. Со стороны такой аккаунт выглядел как обычный редактор, но мог устанавливать плагины и менять настройки сайта. Вход через бэкдор обходил двухфакторную аутентификацию и ограничения на попытки входа.

• Маскировали плагины под служебные инструменты. По данным Patchstack, использовалось 99 различных названий для вредоносных плагинов, включая Site Health Cache. Названия имитировали стандартные инструменты обслуживания сайта, чтобы владельцы не заподозрили подвох при просмотре списка установленных плагинов.

• Ошибка в коде атакующих частично сработала как предохранитель. Patchstack обнаружила, что вредоносные плагины содержали программную ошибку, из-за которой заражённые сайты возвращали серверные ошибки до активации бэкдора. Однако, как отметили в Patchstack, это не устраняло опасность полностью.

Почему это могло затронуть тех, кто не пользовался удалённым управлением?

Вот деталь, которая делает эту историю особенно неприятной. По данным Patchstack, при подключении сайта к аккаунту TeamUpdraft опция удалённого управления UpdraftCentral была включена по умолчанию. Это означает, что владельцы сайтов, которые использовали UpdraftPlus исключительно для резервного копирования и никогда не планировали управлять сайтом удалённо, могли иметь активные ключи подключения, даже не подозревая об этом.

Инцидент затронул сайты с активными подключениями к UpdraftCentral Cloud, а не каждый сайт с установленным плагином. Проблема касалась и бесплатной, и премиум-версий. TeamUpdraft уточнила, что самостоятельно размещённые (self-hosted) установки UpdraftCentral не пострадали.

Как проверить свой сайт и защититься?

1. Обновите UpdraftPlus. Убедитесь, что установлена версия 1.26.13 (бесплатная) или 2.26.13 (премиум). WordPress.org уже начал автоматическую рассылку обновления, но проверьте вручную в разделе «Плагины» панели управления WordPress.

2. Проверьте список установленных плагинов. Ищите незнакомые названия, особенно те, что выглядят как служебные утилиты (например, Site Health Cache). Если вы не устанавливали плагин сами, удалите его и проверьте журнал действий на сайте.

3. Проверьте список пользователей. Обратите внимание на учётные записи с ролью «Редактор», которые вы не создавали. Удалите подозрительные аккаунты и смените пароли всех администраторов.

4. Проверьте, было ли у вас активное подключение к UpdraftCentral. Обновление автоматически отключает скомпрометированные соединения, но если вы используете старую версию плагина, подключение может оставаться активным.

Что это значит для вас, если вы работаете в РФ?

Авторам Дзена и владельцам блогов на WordPress. Если ваш блог или сайт-визитка работает на WordPress с UpdraftPlus, проверьте обновления прямо сейчас. Даже если вы пользовались плагином только для бэкапов, ключи удалённого управления могли быть созданы автоматически.

Маркетологам и агентствам. Если вы обслуживаете клиентские сайты, пройдитесь по каждому: один скомпрометированный сайт с бэкдором может стать точкой входа для атак на другие ресурсы компании. Особенно если сайты связаны общими учётными записями хостинга.

Предпринимателям. В России нет прямого аналога UpdraftPlus с такой же распространённостью. Для резервного копирования WordPress-сайтов на российском хостинге часто используют встроенные средства хостинг-провайдеров (Beget, Timeweb, REG.RU) или ручные бэкапы. Если вы зависите от стороннего плагина для критической функции, эта история напоминает: стоит держать независимую копию на отдельном хранилище, которое не связано с панелью управления сайтом.

Частые вопросы

Мой сайт на WordPress с UpdraftPlus, он точно взломан?

Нет, не обязательно. Инцидент затронул только сайты с активными подключениями к UpdraftCentral Cloud. Если вы никогда не подключали свой сайт к аккаунту TeamUpdraft, скорее всего, вас это не коснулось. Но по данным Patchstack, подключение могло создаться автоматически при регистрации аккаунта, поэтому обновить плагин и проверить список пользователей стоит в любом случае.

Обновление установится само или нужно делать вручную?

TeamUpdraft сообщила, что WordPress.org начал автоматическую рассылку обновления. Однако автоматические обновления плагинов могут быть отключены в настройках вашего сайта. Зайдите в панель управления WordPress, откройте раздел «Плагины» и убедитесь, что стоит версия 1.26.13 (бесплатная) или 2.26.13 (премиум).

Достаточно ли обновления, чтобы решить проблему?

Обновление отзывает скомпрометированные ключи UpdraftCentral и автоматически отключает затронутые соединения. Но если вредоносный плагин уже был установлен до обновления, он останётся на сайте. Поэтому после обновления обязательно проверьте список плагинов и пользователей на предмет незнакомых записей.