Неизвестные злоумышленники получили доступ к сайту и, возможно, к ключам подключения клиентов для UpdraftCentral, UpdraftVault и UpdraftClone. Используя действительные ключи панели UpdraftCentral, они отправляли команды подключённым сайтам WordPress и устанавливали плагины с бэкдорами. TeamUpdraft выпускает популярный плагин резервного копирования UpdraftPlus: он установлен более чем на четырёх миллионах сайтов. Клиентская часть UpdraftCentral входит в каждую копию UpdraftPlus, а сам сервис позволяет удалённо управлять несколькими сайтами.
TeamUpdraft сообщила, что обнаружила несанкционированный доступ к в выходные 17–18 октября. Компания закрыла путь для проникновения, завершила сеансы всех учётных записей и заменила потенциально затронутые ключи и учётные данные. Она также устранила первопричину проблемы, сбросила настройки безопасности входа и усилила мониторинг. Об инциденте уведомили Управление комиссара по информации Великобритании (ICO) и другие уполномоченные органы.
Компания выпустила UpdraftPlus 1.26.13 (Free) и UpdraftPlus 2.26.13 (Premium). Эти версии автоматически отключают все подключения UpdraftCentral, созданные до 22:00 BST 18 октября 2026 года, поэтому старые ключи перестают работать. TeamUpdraft также отключила сайты от UpdraftVault и выдала новые учётные данные, заменила клиентские ключи UpdraftClone и обновила ключи платёжных и других подключённых сервисов.
По заявлению TeamUpdraft, сам плагин UpdraftPlus, самостоятельные версии UpdraftCentral и резервные копии, отправленные в собственное удалённое хранилище клиентов, не пострадали. Но сайты, которыми управляли через UpdraftCentral, компания рекомендовала заново авторизовать для работы с удалённым хранилищем и сменить ключи доступа к нему.
Владельцам аккаунта на следует немедленно сменить пароль — в том числе на других сайтах, если он там повторялся, — и сбросить настройки двухфакторной аутентификации. Нужно настороженно относиться к неожиданным письмам якобы от TeamUpdraft и обновить UpdraftPlus как минимум до версии 1.26.12 (Free) или 2.26.12 (Premium); при этом более новые выпуски — 1.26.13 и 2.26.13.
Подключение UpdraftCentral можно удалить в меню Settings > UpdraftPlus > Advanced Tools > UpdraftCentral: там нужно удалить ключ соединения. Затем стоит проверить раздел Users на неизвестных администраторов, а раздел Plugins — включая вкладку Must-Use, если она доступна, — на незнакомые плагины. Неизвестные учётные записи и расширения следует удалить, пароли всех администраторов сайта сменить. Если обнаружатся признаки взлома, можно рассмотреть восстановление из резервной копии, сделанной до 17 октября, а после проверок подключить сайт к UpdraftCentral заново. Пользователям UpdraftVault нужно повторно подключить сайт к сервису. Клиентам UpdraftClone, создавшим клиентский ключ, следует скопировать новый в My Account > UpdraftClone > UpdraftClone Key Management и передать его своим клиентам.
Компания по безопасности WordPress Patchstack заметила, что злоумышленник применял действительные ключи панели UpdraftCentral для установки вредоносных плагинов. По данным Patchstack, кампания шла непрерывно в течение 18 часов 18 и 19 октября 2026 года. Исследователь компании Дэйв Джонг описал механизм: атакующий отправлял подписанную команду plugin.upload_plugin через канал удалённого вызова процедур. Этот канал принимает обычные POST-запросы к корню сайта, после чего WordPress устанавливает и активирует переданный плагин штатными средствами. Первой атаку в реальных условиях обнаружила словацкая компания по тестированию на проникновение Nethemba.
По описанию Nethemba, вредоносный плагин проверял каждый запрос к сайту. Если в адресе находился параметр ?_9f5696= со значением, совпадающим с 32-символьным токеном, плагин создавал пользователя data-ops43 с отображаемым именем «Site Tools». Ему назначалась роль редактора, но дополнительно выдавались права manage_options и install_plugins: они позволяли менять настройки сайта и загружать произвольные PHP-плагины. Если регистрация пользователей была включена, а роль по умолчанию установлена как администратор, атакующий мог создать полноценную административную учётную запись.
На обычном сайте WordPress роль редактора также имеет право unfiltered_html. Оно позволяет размещать JavaScript в записях, который может запускаться в браузере администратора. Созданная учётная запись сохранялась даже после удаления вредоносного плагина; у неё был известный злоумышленнику пароль, а без двухфакторной аутентификации войти можно было через обычную форму входа. В ранней версии плагина была ошибка, из-за которой сайты отвечали ошибкой HTTP 500. По словам Nethemba, атакующий удалил неисправную версию командой plugin.delete_plugin, а затем загрузил рабочую, способную создать администратора или войти под существующей административной учётной записью.
Среди подозрительных имён пользователей исследователи перечислили tech988, cmseditor170, cms.tech644 и web_mgr684. Они связывались с адресом на домене @example.com, а отображаемые имена включали «System Team», «Web Tech», «System Staff», «System Ops» и «Cms Tech». Также сообщались IP-адреса 43.250.53.42 и 2a09:bac5:4e21:2e3c::49b:9. Patchstack обнаружила 99 вариантов названий вредоносных плагинов; в каждом образце была строка: «Небольшой инструмент обслуживания: поддерживает порядок в хранилище параметров».
Wordfence считает сайт потенциально затронутым, если на нём был установлен и активен UpdraftPlus Free или Premium, пока действовал уязвимый ключ, и одновременно было активно подключение к облачному UpdraftCentral от TeamUpdraft. Patchstack назвала этот инцидент вторым происшествием в том же канале за пять месяцев. В июне 2026 года TeamUpdraft исправила уязвимость CVE-2026-10795 с оценкой CVSS 8.1: устаревший формат неподписанных сообщений позволял подделывать команды UpdraftCentral вообще без ключей. Исправления вошли в UpdraftPlus 1.26.5 и 2.26.5. Patchstack предупреждала, что попытки эксплуатации продолжались, а версии ниже этих выпусков оставались уязвимы к обеим проблемам.
За несколько дней до инцидента с UpdraftCentral взломали сайт плагина Rank Math PRO. Пользователи, скачавшие версию 3.0.123 с 20:02 UTC 15 октября до 07:12 UTC 16 октября, получили скомпрометированные сборки со скрытыми бэкдорами. Инцидент получил номер CVE-2026-111862 и оценку CVSS 9.8; проблему исправили в Rank Math PRO 3.0.124. По данным Wordfence, вредоносная программа могла сохранять постоянный доступ, связываться с доменом rank1cdn[.]com, восстанавливать скрытые бэкдоры при посещении страниц и похищать доступные веб-серверу учётные данные WordPress и базы данных, API-ключи и другие секреты.
На фоне этих атак появились сведения о двух критических уязвимостях PHP: CVE-2026-109618 и CVE-2026-109619, обе получили оценку CVSS 9.2. Информация о них утекла до запланированного раскрытия; уязвимости получили кодовое название PHP2Shell. Бенджамин Харрис, генеральный директор watchTowr, сообщил, что проблема затрагивает PHP 5, 6, 7 и 8. Публикация была назначена на 22 октября в 11:00 по восточному времени США. Huntress напомнила о широком охвате: PHP используется в WordPress, Drupal, Joomla и Magento, а также на платформах виртуального хостинга, в панелях управления и других системах. Позже PHP Foundation выпустила исправления: уязвимости позволяли неаутентифицированным злоумышленникам выполнять код или раскрывать чувствительную память процессов. Из-за продолжающейся проблемы TeamUpdraft временно отключила форму поддержки и предложила клиентам обращаться на форумы поддержки.
Изображение носит иллюстративный характер
TeamUpdraft сообщила, что обнаружила несанкционированный доступ к в выходные 17–18 октября. Компания закрыла путь для проникновения, завершила сеансы всех учётных записей и заменила потенциально затронутые ключи и учётные данные. Она также устранила первопричину проблемы, сбросила настройки безопасности входа и усилила мониторинг. Об инциденте уведомили Управление комиссара по информации Великобритании (ICO) и другие уполномоченные органы.
Компания выпустила UpdraftPlus 1.26.13 (Free) и UpdraftPlus 2.26.13 (Premium). Эти версии автоматически отключают все подключения UpdraftCentral, созданные до 22:00 BST 18 октября 2026 года, поэтому старые ключи перестают работать. TeamUpdraft также отключила сайты от UpdraftVault и выдала новые учётные данные, заменила клиентские ключи UpdraftClone и обновила ключи платёжных и других подключённых сервисов.
По заявлению TeamUpdraft, сам плагин UpdraftPlus, самостоятельные версии UpdraftCentral и резервные копии, отправленные в собственное удалённое хранилище клиентов, не пострадали. Но сайты, которыми управляли через UpdraftCentral, компания рекомендовала заново авторизовать для работы с удалённым хранилищем и сменить ключи доступа к нему.
Владельцам аккаунта на следует немедленно сменить пароль — в том числе на других сайтах, если он там повторялся, — и сбросить настройки двухфакторной аутентификации. Нужно настороженно относиться к неожиданным письмам якобы от TeamUpdraft и обновить UpdraftPlus как минимум до версии 1.26.12 (Free) или 2.26.12 (Premium); при этом более новые выпуски — 1.26.13 и 2.26.13.
Подключение UpdraftCentral можно удалить в меню Settings > UpdraftPlus > Advanced Tools > UpdraftCentral: там нужно удалить ключ соединения. Затем стоит проверить раздел Users на неизвестных администраторов, а раздел Plugins — включая вкладку Must-Use, если она доступна, — на незнакомые плагины. Неизвестные учётные записи и расширения следует удалить, пароли всех администраторов сайта сменить. Если обнаружатся признаки взлома, можно рассмотреть восстановление из резервной копии, сделанной до 17 октября, а после проверок подключить сайт к UpdraftCentral заново. Пользователям UpdraftVault нужно повторно подключить сайт к сервису. Клиентам UpdraftClone, создавшим клиентский ключ, следует скопировать новый в My Account > UpdraftClone > UpdraftClone Key Management и передать его своим клиентам.
Компания по безопасности WordPress Patchstack заметила, что злоумышленник применял действительные ключи панели UpdraftCentral для установки вредоносных плагинов. По данным Patchstack, кампания шла непрерывно в течение 18 часов 18 и 19 октября 2026 года. Исследователь компании Дэйв Джонг описал механизм: атакующий отправлял подписанную команду plugin.upload_plugin через канал удалённого вызова процедур. Этот канал принимает обычные POST-запросы к корню сайта, после чего WordPress устанавливает и активирует переданный плагин штатными средствами. Первой атаку в реальных условиях обнаружила словацкая компания по тестированию на проникновение Nethemba.
По описанию Nethemba, вредоносный плагин проверял каждый запрос к сайту. Если в адресе находился параметр ?_9f5696= со значением, совпадающим с 32-символьным токеном, плагин создавал пользователя data-ops43 с отображаемым именем «Site Tools». Ему назначалась роль редактора, но дополнительно выдавались права manage_options и install_plugins: они позволяли менять настройки сайта и загружать произвольные PHP-плагины. Если регистрация пользователей была включена, а роль по умолчанию установлена как администратор, атакующий мог создать полноценную административную учётную запись.
На обычном сайте WordPress роль редактора также имеет право unfiltered_html. Оно позволяет размещать JavaScript в записях, который может запускаться в браузере администратора. Созданная учётная запись сохранялась даже после удаления вредоносного плагина; у неё был известный злоумышленнику пароль, а без двухфакторной аутентификации войти можно было через обычную форму входа. В ранней версии плагина была ошибка, из-за которой сайты отвечали ошибкой HTTP 500. По словам Nethemba, атакующий удалил неисправную версию командой plugin.delete_plugin, а затем загрузил рабочую, способную создать администратора или войти под существующей административной учётной записью.
Среди подозрительных имён пользователей исследователи перечислили tech988, cmseditor170, cms.tech644 и web_mgr684. Они связывались с адресом на домене @example.com, а отображаемые имена включали «System Team», «Web Tech», «System Staff», «System Ops» и «Cms Tech». Также сообщались IP-адреса 43.250.53.42 и 2a09:bac5:4e21:2e3c::49b:9. Patchstack обнаружила 99 вариантов названий вредоносных плагинов; в каждом образце была строка: «Небольшой инструмент обслуживания: поддерживает порядок в хранилище параметров».
Wordfence считает сайт потенциально затронутым, если на нём был установлен и активен UpdraftPlus Free или Premium, пока действовал уязвимый ключ, и одновременно было активно подключение к облачному UpdraftCentral от TeamUpdraft. Patchstack назвала этот инцидент вторым происшествием в том же канале за пять месяцев. В июне 2026 года TeamUpdraft исправила уязвимость CVE-2026-10795 с оценкой CVSS 8.1: устаревший формат неподписанных сообщений позволял подделывать команды UpdraftCentral вообще без ключей. Исправления вошли в UpdraftPlus 1.26.5 и 2.26.5. Patchstack предупреждала, что попытки эксплуатации продолжались, а версии ниже этих выпусков оставались уязвимы к обеим проблемам.
За несколько дней до инцидента с UpdraftCentral взломали сайт плагина Rank Math PRO. Пользователи, скачавшие версию 3.0.123 с 20:02 UTC 15 октября до 07:12 UTC 16 октября, получили скомпрометированные сборки со скрытыми бэкдорами. Инцидент получил номер CVE-2026-111862 и оценку CVSS 9.8; проблему исправили в Rank Math PRO 3.0.124. По данным Wordfence, вредоносная программа могла сохранять постоянный доступ, связываться с доменом rank1cdn[.]com, восстанавливать скрытые бэкдоры при посещении страниц и похищать доступные веб-серверу учётные данные WordPress и базы данных, API-ключи и другие секреты.
На фоне этих атак появились сведения о двух критических уязвимостях PHP: CVE-2026-109618 и CVE-2026-109619, обе получили оценку CVSS 9.2. Информация о них утекла до запланированного раскрытия; уязвимости получили кодовое название PHP2Shell. Бенджамин Харрис, генеральный директор watchTowr, сообщил, что проблема затрагивает PHP 5, 6, 7 и 8. Публикация была назначена на 22 октября в 11:00 по восточному времени США. Huntress напомнила о широком охвате: PHP используется в WordPress, Drupal, Joomla и Magento, а также на платформах виртуального хостинга, в панелях управления и других системах. Позже PHP Foundation выпустила исправления: уязвимости позволяли неаутентифицированным злоумышленникам выполнять код или раскрывать чувствительную память процессов. Из-за продолжающейся проблемы TeamUpdraft временно отключила форму поддержки и предложила клиентам обращаться на форумы поддержки.
