Attackers Abuse UpdraftCentral Keys to Plant Backdoors on WordPress Sites
The Hacker News · 21 oct, 11:01
Qué hacer: Actualiza UpdraftPlus a versión 1.26.12 (gratuito) o 2.26.12 (Premium) o posterior, desconecta de UpdraftCentral, busca cuentas administrativas no autorizadas, verifica plugins desconocidos, cambia contraseñas de administrador y reconnecta el servicio.
Atacantes accedieron sin autorización al sitio web de TeamUpdraft y comprometieron las claves de conexión de UpdraftCentral, UpdraftVault y UpdraftClone para instalar backdoors en sitios WordPress. UpdraftPlus, el plugin de respaldo de TeamUpdraft, cuenta con más de cuatro millones de instalaciones activas, lo que hace que esta brecha afecte potencialmente a un gran número de sitios. Los actores de amenaza utilizaron las claves robadas para emitir comandos que instalaban plugins maliciosos con acceso total al administrador durante una ventana de 18 horas entre el 18 y 19 de octubre de 2026.
Los atacantes accedieron a la base de datos de clientes de TeamUpdraft, obteniendo nombres, direcciones de correo, direcciones de facturación, historial de pedidos, contraseñas (en forma hash), configuraciones de autenticación de dos factores y claves de conexión para los servicios remotos. Aunque TeamUpdraft indica que sus bases de datos de respaldo y el plugin UpdraftPlus no fueron directamente comprometidos, la brecha permitió a los actores usar las claves de UpdraftCentral para enviar comandos RPC firmados que instalaban backdoors.
La empresa de seguridad Patchstack observó que los atacantes utilizaban un plugin backdoor personalizado que interceptaba cada solicitud al sitio buscando un parámetro específico en la URL. Al detectar el token correcto, el plugin creaba una cuenta de usuario llamada "data-ops43" con permisos de Editor, permitiendo al atacante crear cuentas de administrador completo. La brecha fue detectada inicialmente por la empresa eslovaca de pruebas de penetración Nethemba, que identificó que el backdoor persistía incluso tras su eliminación del plugin, ya que la cuenta creada permanecía en WordPress.
Puntos clave
- Brecha en teamupdraft.com comprometió claves de conexión de UpdraftCentral, UpdraftVault y UpdraftClone
- Atacantes instalaron backdoors en sitios WordPress durante 18 horas el 18-19 de octubre de 2026
- Actualiza UpdraftPlus a versión 1.26.12 (gratuito) o 2.26.12 (Premium) o posterior
- Desconecta de UpdraftCentral, busca cuentas administrativas desconocidas y verifica plugins sospechosos
- La cuenta creada por el backdoor permanece en WordPress incluso tras eliminar el plugin