Firma korzysta z UpdraftPlus do kopii zapasowych WordPressa? Sprawdź, czy strona była połączona z UpdraftCentral Cloud. CERT Polska ostrzega, że przejęte klucze tej usługi posłużyły do instalowania szkodliwych wtyczek i tworzenia kont użytkowników. Poprawki są już dostępne, ale trzeba też sprawdzić, czy wcześniej nie doszło do włamania.
Kogo dotyczy incydent
Chodzi o połączenie strony z chmurową usługą zdalnego zarządzania. Producent zaleca kontrolę także użytkownikom UpdraftPlus Premium, którzy nie pamiętają korzystania z UpdraftCentral. Według TeamUpdraft incydent nie objął samodzielnie hostowanego UpdraftCentral. Użytkownicy bezpłatnego UpdraftPlus bez konta teamupdraft.com nie muszą podejmować specjalnych działań związanych z tym zdarzeniem; powinni jednak utrzymywać wtyczkę w aktualnej wersji.
Co zlecić administratorowi strony
- Sprawdzić na każdej stronie wersję UpdraftPlus. CERT wskazuje poprawki 1.26.13 dla wersji bezpłatnej oraz 2.26.13 dla Premium. Należy mieć te wydania lub nowsze. Aktualizacja unieważnia ujawnione klucze; samo usunięcie witryny z panelu UpdraftCentral nie wystarcza.
- Zweryfikować użytkowników i ich faktyczne uprawnienia, także konta edytorów z nietypowym dostępem do ustawień. Przejrzeć pliki wtyczek, w tym katalog
mu-plugins, zamiast ograniczać kontrolę do zwykłej listy w panelu. - Przeanalizować logi i niedawne błędy HTTP 500. CERT wskazuje m.in. wpisy
Command received: plugin.upload_pluginoraz żądania zclass-udrpc.phpw nagłówku User-Agent. To sygnały do sprawdzenia w kontekście pozostałych zdarzeń.
Brak tych objawów nie potwierdza bezpieczeństwa strony. Po stwierdzeniu przejęcia CERT zaleca odtworzenie jej z kopii sprzed 17 października, zmianę haseł oraz dokładną kontrolę plików i uprawnień.
Hasła i działające kopie zapasowe
TeamUpdraft zaleca zmianę hasła do konta producenta oraz ponowną konfigurację uwierzytelniania dwuskładnikowego. Użytkownicy UpdraftVault muszą odnowić połączenie i sprawdzić wykonanie kopii. Jeśli stronę przejęto przez UpdraftCentral, producent zaleca także ponowną autoryzację zewnętrznego magazynu kopii i zmianę jego kluczy dostępu.
Zalecenie redakcyjne: poproś opiekuna witryny o potwierdzenie wersji wtyczki, wyniku kontroli i udanego testu kopii. W sklepie przed przywróceniem starszego backupu trzeba zaplanować zachowanie późniejszych zamówień. Sam komunikat „zaktualizowano” nie potwierdza usunięcia wcześniejszych zmian napastnika.
Źródła i opracowanie
CERT Polska / NASK, komunikat 204/2026: przejęte klucze UpdraftCentral Cloud, opublikowany 27.10.2026. Uzupełnienie: komunikat producenta TeamUpdraft z 19.10.2026, z aktualizacją oznaczoną 23.10.2026. Źródła sprawdzono 28.10.2026.
Opracowanie Domenafirmy: skrócono i opisano materiał własnymi słowami, dodano kontekst dla firm, zalecenia producenta oraz oznaczone wskazówki redakcyjne. Komunikat CERT i niniejsze opracowanie są udostępniane na licencji CC BY-SA 4.0. Ilustracja koncepcyjna AI przygotowana dla Domenafirmy, nie jest materiałem CERT.