Um threat actor invadiu o site da TeamUpdraft, desenvolvedora de populares plugins de backup e segurança para WordPress, e pode ter obtido chaves de conexão do UpdraftCentral, que permitem enviar comandos aos sites conectados.
A TeamUpdraft detectou acesso não autorizado à sua infraestrutura no fim de semana e acredita que o invasor acessou o banco de dados de clientes.
A desenvolvedora oferece várias ferramentas para backup, armazenamento e gerenciamento de sites WordPress:
- UpdraftPlus: plugin de backup e restauração de sites, com mais de 4 milhões de downloads;
- UpdraftCentral: ferramenta para gerenciar vários sites remotamente;
- UpdraftVault: serviço de armazenamento de backups na cloud;
- UpdraftClone: ferramenta para criar sites de teste.
“Durante o fim de semana de 17 e 18 de outubro, identificamos acesso não autorizado ao site teamupdraft.com”, informou a TeamUpdraft em um comunicado divulgado ontem.
“Nossa equipe respondeu imediatamente e trabalhou durante a noite para conter o incidente. Fechamos a via de acesso, encerramos todas as sessões e substituímos as chaves e credenciais que poderiam ter sido afetadas.”
A empresa acredita que o threat actor acessou o banco de dados de clientes, que continha informações de cadastro e cobrança, histórico de pedidos e dados mais sensíveis, incluindo:
- hashes de senhas;
- configurações de autenticação de dois fatores;
- chaves de conexão dos serviços UpdraftCentral, UpdraftVault e UpdraftClone.
A TeamUpdraft afirmou que não armazena dados de pagamento e que os arquivos e downloads dos plugins UpdraftPlus não foram afetados. As instalações do UpdraftCentral hospedadas pelos próprios usuários também não foram comprometidas.
Embora os backups armazenados nos serviços remotos dos clientes não tenham sido afetados, a empresa recomenda que os usuários troquem as credenciais de acesso ao armazenamento e autorizem novamente as conexões caso tenham acessado seus sites pelo UpdraftCentral.
Estima-se que 10% dos sites que usam o UpdraftPlus tenham uma chave do UpdraftCentral ou do Migrator, o que pode expor cerca de 400 mil sites ao ataque.
Oliver Sild, pesquisador-chefe da Patchstack, afirmou que invasores começaram a usar as chaves de acesso roubadas para instalar backdoors em sites conectados ao UpdraftCentral. Segundo ele, a campanha pode ser mais grave do que o ataque “wp2shell”.
A empresa de segurança de plugins para WordPress afirma que os ataques começaram em 18 de outubro, às 15h32 (UTC), com o objetivo de executar código arbitrário e criar contas com privilégios totais de administrador.
Os pesquisadores registraram pelo menos 99 plugins maliciosos com backdoor e nomes distintos, disfarçados de ferramentas de manutenção e otimização do WordPress, como “Site Health Cache”.
A Patchstack descreveu uma versão inicial do plugin malicioso que não funcionava devido a um erro de programação. Já um relatório da empresa de segurança de aplicações web Nethemba documenta uma versão mais recente, que permite aos invasores criar contas privilegiadas ou acessar contas de administradores existentes.
A Nethemba afirma que três de seus próprios sites WordPress foram alvos por meio do UpdraftCentral. Em dois deles, os plugins maliciosos foram instalados com sucesso.
“Os três sites usavam as versões atuais do WordPress 7.1.3 e do UpdraftPlus 2.26.11, corrigida contra a vulnerabilidade de junho
CVE-2026-10795
”, informou a Nethemba.
“O invasor não invadiu nossos servidores nem explorou qualquer falha na configuração. Ele entrou pelo canal de gerenciamento remoto do UpdraftCentral e assinou os comandos com chaves privadas válidas do painel.”
A Nethemba relata que as versões iniciais 1.26.12 e 2.26.12 da desenvolvedora deveriam remover as chaves do UpdraftCentral Cloud, mas um bug impediu que isso acontecesse.
A recomendação é atualizar o UpdraftPlus para a versão 1.26.13, na edição gratuita, ou 2.26.13, na edição Premium, ou para uma versão posterior.
Após a atualização, os usuários devem acessar cada site WordPress e excluir as chaves de conexão do UpdraftCentral em Configurações → UpdraftPlus Backups → Ferramentas avançadas → UpdraftCentral → Gerenciar chaves existentes.
Administradores também devem verificar logs e arquivos em busca de indicadores de comprometimento divulgados pela TeamUpdraft, pela Patchstack e pela Nethemba.
Se o comprometimento for confirmado, a recomendação é restaurar os sites a partir de backups íntegros, trocar a senha da conta da TeamUpdraft, encerrar todas as sessões e redefinir o método de autenticação de dois fatores.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...