A recente violação de segurança que afetou o UpdraftPlus, um plugin de backup do WordPress utilizado em mais de 3 milhões de sites, expôs uma vulnerabilidade séria ao permitir que atacantes instalassem plugins maliciosos e criassem contas de administrador não autorizadas. O incidente ocorreu devido ao comprometimento de chaves de conexão do UpdraftCentral, possibilitando que os invasores assumissem o controle de sites conectados ao plugin sem a necessidade de autenticação.
Comprometimento do Site Updraft
O TeamUpdraft confirmou que seu site foi comprometido durante o fim de semana de 17 a 18 de outubro de 2026. A empresa acredita que os atacantes acessaram sua base de dados de clientes, que incluía informações pessoais e as chaves de conexão dos serviços, inclusive o UpdraftCentral. Essas chaves comprometidas possibilitaram que os invasores tivessem acesso a sites de WordPress conectados.
Resposta de Segurança do Updraft
Em uma postagem no blog do TeamUpdraft, a equipe explicou que a rota de acesso não autorizado foi fechada, as credenciais potencialmente comprometidas foram substituídas e atualizações de segurança foram lançadas, revogando as conexões anteriores do UpdraftCentral. As atualizações, versões 1.26.13 para a versão gratuita e 2.26.13 para a versão premium, foram lançadas em 19 de outubro de 2026.
O changelog do plugin detalha que essas atualizações revogam as chaves de nuvem do UpdraftCentral, desconectando automaticamente os sites afetados e bloqueando futuros acessos por essa rota.
Além disso, a empresa informou que o WordPress.org havia enviado automaticamente a atualização para os usuários.
O Que É o UpdraftPlus?
O UpdraftPlus é um plugin essencial para sites WordPress, que auxilia na criação de backups, restauração de sites e migração para diferentes provedores de hospedagem ou endereços de domínio. O plugin suporta backups automatizados e permite que os proprietários armazenem cópias de segurança em serviços como Google Drive, Dropbox e Amazon S3.
Inclui também o UpdraftCentral, um recurso de gerenciamento remoto para facilitar o controle de múltiplas instalações do WordPress a partir de um único painel, que foi o centro do incidente de segurança.
Como o UpdraftCentral Foi Comprometido
O UpdraftCentral utiliza chaves de segurança para autenticar comandos enviados do painel remoto para os sites conectados. Essas chaves permitem que o serviço execute ações administrativas sem a necessidade de login separado em cada site. O comprometimento dessas chaves permitiu que comandantes mal-intencionados enviassem comandos que se apresentavam como instruções legítimas do serviço de gerenciamento remoto.
A análise inicial da empresa de segurança Patchstack destacó que este incidente não se tratava de uma vulnerabilidade no UpdraftPlus, mas da exploração de chaves comprometidas que permitiram aos atacantes se passarem pelo serviço legítimo de gerenciamento remoto.
Instalação de Plugins Maliciosos
Os atacantes, utilizando as chaves de segurança comprometidas, enviaram comandos para os sites WordPress conectados, instruindo-os a instalar e ativar plugins maliciosos. Por estarem autenticados, os sites aceitaram esses comandos como legítimos e prosseguiram com a instalação normal dos plugins.
Esses plugins maliciosos incluíam um backdoor que podia criar uma conta de usuário do WordPress com a função de Editor, permitindo concessões administrativas adicionais. Isso tornava mais difícil identificar as contas não autorizadas, já que poderiam parecer editores comuns enquanto possuíam permissões normalmente reservadas a administradores.
Esses plugins maliciosos também burlavam o processo normal de login do WordPress, ignorando medidas de segurança como autenticação de dois fatores.
O Patchstack identificou 99 diferentes nomes usados para os plugins maliciosos, incluindo um chamado Site Health Cache, que se assemelhava a ferramentas legítimas de manutenção e desempenho de sites.
Conexões Não Intencionais do UpdraftCentral
Um detalhe importante sobre esse incidente de segurança é que um proprietário de site pode ter uma conexão ativa com o UpdraftCentral mesmo que nunca tenha planejado usá-la. A conexão poderia ser automaticamente criada ao vincular um site à conta do TeamUpdraft, uma vez que a opção para gerenciamento remoto era selecionada por padrão.
Assim, sites que utilizavam o UpdraftPlus apenas para backups poderiam ter chaves de conexão ativas sem que seus proprietários estivessem cientes.
O incidente afeta apenas os sites com conexões ativas do UpdraftCentral, e não todos os sites que possuem o plugin UpdraftPlus instalado. Embora o problema tenha impactado versões gratuitas e premium do UpdraftPlus, a TeamUpdraft anunciou que instalações auto-hospedadas do UpdraftCentral não foram afetadas.
Orientações para Usuários do UpdraftPlus
A TeamUpdraft está recomendando que todos os proprietários de sites, mesmo aqueles que nunca usaram intencionalmente o UpdraftCentral, verifiquem seus sites em busca de atividades não autorizadas. A empresa sugere a revisão de plugins instalados para identificação de adições suspeitas e a verificação de contas de usuários do WordPress para identificar administradores não autorizados.
Os proprietários também devem se certificar de que estão utilizando as versões UpdraftPlus 1.26.13 ou 2.26.13, ou versões mais recentes, e remover quaisquer chaves de conexão comprometidas restantes. Essas chaves podem ser gerenciadas através do painel do WordPress em Configurações, UpdraftPlus, Ferramentas Avançadas e UpdraftCentral.
A TeamUpdraft recomenda ainda a troca de senhas de administrador e considerar a restauração de um backup realizado antes de 17 de outubro, caso qualquer evidência de comprometimento seja identificada.
Embora as atualizações de segurança bloqueiem futuros acessos, elas não removem plugins maliciosos ou contas não autorizadas que já possam existir nos sites afetados. Assim, a verificação por evidências de comprometimento continua sendo essencial, mesmo após a atualização.
