Breșa UpdraftPlus: cum verifici dacă site-ul tău WordPress are un backdoor

Ce s-a întâmplat

UpdraftPlus are peste 4 milioane de instalări active, conform paginii lui de pe WordPress.org. Firma din spatele lui, TeamUpdraft, oferă și UpdraftCentral: un panou din care poți actualiza și face backup pentru mai multe site-uri dintr-un singur loc. Agențiile și freelancerii îl folosesc des pentru site-urile clienților.

Pe 19 octombrie 2026, TeamUpdraft a anunțat că atacatorii au accesat baza de date cu clienții de pe teamupdraft.com. Acolo erau nume, adrese de email, adrese de facturare, parole criptate și, cel mai grav, cheile de conectare UpdraftCentral. Datele de card nu erau stocate acolo, plățile trec prin Stripe și PayPal.

Cu cheile furate, atacatorii au trimis comenzi „semnate” către site-urile conectate, adică exact genul de comandă pe care site-ul o accepta de la panoul legitim. Firma de securitate Patchstack a văzut instalări între 18 octombrie după-amiază și 19 octombrie dimineață. Patchstack a numărat 99 de nume diferite pentru pluginul ascuns, majoritatea combinații banale ca „Site Health Cache”, „Speed Kit” sau „Seo Helper”.

Atenție: nu e o vulnerabilitate în codul pluginului, ca PHP2Shell, despre care am scris pe 23 octombrie. Aici au fost furate cheile, deci nu te protejează nicio versiune nouă dacă cheia veche e încă activă pe site.

Ce face backdoor-ul pe site?

Un backdoor e o „ușă din spate”: o bucată de cod care îi permite atacatorului să intre pe site când vrea, fără parola ta. Conform Patchstack și Nethemba (firma care a observat prima atacul pe trei site-uri proprii, citată de The Hacker News):

• pluginul ascultă la fiecare vizită o anumită adresă cu un cod secret de 32 de caractere;
• când primește codul, creează un cont de tip Editor, cu drepturi suplimentare de a schimba setările și de a instala pluginuri;
• contul are numele afișat „Site Tools”, un email @example.org și un nume de utilizator de forma două cuvinte plus două cifre (de exemplu data-ops43 sau media-staff96);
• atacatorul e logat direct printr-un cookie, deci ocolește formularul de login și autentificarea în doi pași.

Cel mai important detaliu: contul rămâne și după ce ștergi pluginul. TeamUpdraft a confirmat în actualizarea din 29 octombrie că pluginurile instalate au creat conturi de administrator pe unele site-uri chiar după deconectarea lor de la UpdraftCentral.

Site-ul meu e afectat?

Dacă nu știi dacă agenția ta folosește UpdraftCentral, întreabă-i azi. E o întrebare cu răspuns da sau nu. Patchstack recomandă verificarea chiar dacă ești convins că nu l-ai folosit niciodată, pentru că opțiunea de conectare e bifată din start la configurare.

Cum verifici site-ul în 7 pași

Pașii vin din avizul TeamUpdraft și din recomandările Patchstack. Primii trei îi poți face singur din panoul WordPress și din managerul de fișiere al hostingului. Ceilalți sunt mai tehnici.

1. Actualizează UpdraftPlus la 1.26.13 sau mai nou (la Premium, 2.26.13). Versiunea curentă pe WordPress.org e 1.26.14, din 26 octombrie. Actualizarea deconectează legăturile cu UpdraftCentral făcute înainte de 18 octombrie, ora 13:07 (ora Londrei).
2. Șterge toate cheile UpdraftCentral: Setări → UpdraftPlus Backups → Advanced Tools → UpdraftCentral → „Manage existing keys”. Cheile nu expiră, iar ștergerea site-ului din panoul UpdraftCentral nu le dezactivează.
3. Verifică pluginurile, inclusiv cele ascunse. Din managerul de fișiere al hostingului (sau prin SFTP), uită-te în folderele wp-content/plugins și wp-content/mu-plugins. Orice plugin pe care nu-l recunoști e suspect, mai ales dacă descrierea lui e „Small maintenance toolkit: keeps option storage tidy.” TeamUpdraft recomandă să-l dezactivezi și să-i ștergi folderul direct din fișiere, nu din panoul WordPress.
4. Verifică utilizatorii de tip Administrator și Editor. Caută numele afișat „Site Tools”, emailuri @example.org și conturi pe care nu le-ai creat tu.
5. Deloghează pe toată lumea și schimbă parolele. Schimbarea cheilor de securitate WordPress (din wp-config.php) închide toate sesiunile deschise, inclusiv pe ale atacatorului. Apoi schimbă parolele administratorilor și editorilor reali.
6. Dacă ai găsit ceva, restaurează un backup curat făcut înainte de 17 octombrie. Verifică întâi că backup-ul nu conține și el pluginul suspect.
7. Reconectează UpdraftCentral abia la final, după ce ai terminat verificările. Patchstack recomandă chiar să aștepți până când TeamUpdraft explică exact cum a avut loc atacul.

Ce înseamnă pentru afacerea ta

Pentru un site de prezentare, riscul e să apară pagini cu spam sau redirecționări către alte site-uri. Google poate marca site-ul ca periculos, iar vizitatorii văd un avertisment roșu în loc de pagina ta. Pentru un magazin WooCommerce e mai grav: un cont cu drepturi de administrator vede comenzile și datele clienților și poate modifica pagina de plată.

Al doilea lucru de reținut: cine are cheile site-ului tău? Panourile de administrare centralizată sunt comode, dar fiecare legătură e o ușă în plus. Patchstack spune că e al doilea incident pe același canal în cinci luni, după o vulnerabilitate reparată în iunie 2026.

Ce recomandăm noi

• Fă verificarea azi, nu după ce apare o problemă. Durează sub o oră pentru un site, iar backdoor-ul nu se vede din exterior.
• Cere-i agenției o listă cu pluginurile și serviciile externe conectate la site (UpdraftCentral, ManageWP, MainWP, Jetpack) și cu cine are acces la ele.
• Păstrează backup-uri vechi. Un backup din 16 octombrie e acum cel mai valoros fișier pe care îl ai. Ține cel puțin 30 de zile de backup-uri, într-un loc separat de hosting.
• Nu renunța la UpdraftPlus din cauza asta. Pluginul de backup în sine nu a fost atins, iar backup-urile din spațiul tău de stocare (Google Drive, Dropbox etc.) nu au fost afectate, conform TeamUpdraft. Problema e conexiunea la distanță.
• Pune pe cineva să se ocupe lunar de actualizări, backup-uri și verificarea utilizatorilor. Noi facem asta în pachetul de mentenanță pentru site-uri WordPress, inclusiv verificarea completă pentru breșa UpdraftPlus.

Întrebări frecvente

Trebuie să dezinstalez UpdraftPlus?

Nu. TeamUpdraft spune că pluginul și fișierele de pe WordPress.org nu au fost modificate. Actualizează-l la 1.26.13 sau mai nou și șterge cheile UpdraftCentral.

Am actualizat pluginul. Sunt în siguranță?

Nu neapărat. Actualizarea taie conexiunile vechi, dar nu șterge pluginurile și conturile create deja de atacator. Pașii 3 și 4 sunt obligatorii dacă site-ul a fost conectat la UpdraftCentral.

Site-ul meu e pe Shopify. Mă afectează?

Nu. UpdraftPlus există doar pentru WordPress. Pe Shopify, actualizările de securitate și backup-ul platformei sunt făcute de Shopify.

Concluzie

Breșa UpdraftPlus nu se rezolvă cu un singur buton de actualizare. Actualizează pluginul, șterge cheile, verifică pluginurile și utilizatorii, apoi schimbă parolele. Dacă vrei să facem noi verificarea și să ne ocupăm lunar de site, cere o ofertă pentru mentenanță.