یک عامل تهدید (Threat Actor) با نفوذ به وب‌سایت TeamUpdraft، توسعه‌دهنده افزونه‌های محبوب پشتیبان‌گیری و امنیتی وردپرس، موفق به سرقت کلیدهای اتصال UpdraftCentral شده است. این کلیدها به مهاجمان اجازه می‌دهند تا دستورات مخربی را به سایت‌های متصل ارسال کرده و در آن‌ها Backdoor ایجاد کنند.
تیم TeamUpdraft اعلام کرد که در اواخر اکتبر متوجه دسترسی غیرمجاز به زیرساخت‌های خود شده است. بر اساس بررسی‌ها، احتمال می‌رود مهاجم به پایگاه داده مشتریان دسترسی پیدا کرده باشد که شامل اطلاعات هویتی، تاریخچه سفارش‌ها و جزئیات صورت‌حساب است. با این حال، شرکت تأکید کرده که هیچ اطلاعات پرداختی (Payment Details) ذخیره نشده و فایل‌های افزونه UpdraftPlus تحت تأثیر قرار نگرفته‌اند.
برآورد می‌شود که حدود ۱۰٪ از سایت‌های استفاده‌کننده از UpdraftPlus دارای کلیدهای UpdraftCentral یا Migrator هستند که این موضوع پتانسیل قرار گرفتن حدود ۴۰۰,۰۰۰ وب‌سایت در معرض حمله را دارد. محققان شرکت Patchstack گزارش داده‌اند که مهاجمان از این کلیدهای سرقت شده برای نصب افزونه‌های مخرب با نام‌های پوششی (مانند “Site Health Cache”) استفاده می‌کنند تا کد‌های دلخواه (Arbitrary Code) اجرا کرده و حساب‌های مدیر (Administrator) جدید ایجاد کنند.
شرکت امنیتی Nethemba نیز تأکید کرده است که مهاجمان بدون نیاز به اکسپلویت کردن آسیب‌پذیری‌های پیکربندی، تنها با استفاده از کانال مدیریت از راه دور (Remote Management Channel) و کلیدهای معتبر، موفق به نصب افزونه‌های مخرب در سایت‌های خود شده‌اند.
اقدامات اصلاحی و توصیه‌ها:
- به‌روزرسانی فوری: افزونه UpdraftPlus را به نسخه 1.26.13 (رایگان) یا 2.26.13 (Premium) یا بالاتر آپدیت کنید.
- حذف کلیدهای متصل: پس از آپدیت، به مسیر Settings → UpdraftPlus Backups → Advanced Tools → UpdraftCentral → Manage existing keys رفته و کلیدهای اتصال را حذف کنید.
- بازبینی امنیتی: لاگ‌ها و فایل‌های سیستم را برای یافتن نشانه‌های نفوذ (IoCs) بررسی کنید.
- بازیابی در صورت نفوذ: اگر احتمال نفوذ وجود دارد، سایت را از یک نسخه پشتیبان سالم (Clean Backup) بازیابی کرده، رمز عبور حساب TeamUpdraft را تغییر داده و تمامی نشست‌ها (Sessions) و روش‌های احراز هویت دو مرحله‌ای (2FA) را بازنشانی کنید.
به‌روزرسانی (اکتبر 21, 2026 — GBHackers)
به‌روزرسانی:
تحقیقات جدید نشان می‌دهد که این حادثه با آسیب‌پذیری قبلی (CVE-2026-10795) متفاوت است. در این حمله، مهاجمان با استفاده از کلیدهای اتصال (Connection Keys) معتبر که از پایگاه داده TeamUpdraft سرقت شده بود، توانسته‌اند دستورات مدیریت از راه دور را به سایت‌های وردپرسی ارسال کنند. این دستورات باعث نصب افزونه‌های مخرب (Malicious Plugins) شده که می‌توانند کد PHP مخرب اجرا کنند.
رفتار بدافزار (Malware) شناسایی شده شامل موارد زیر است:
- ایجاد کاربران جدید با سطح دسترسی بالا (Elevated Privileges).
- تسخیر (Hijacking) حساب‌های مدیر (Admin) موجود بدون ایجاد حساب جدید.
- پنهان شدن در قالب افزونه‌های معمولی با نام‌های مختلف.
اقدامات اصلاحی ضروری:
- به‌روزرسانی فوری: استفاده از نسخه 1.26.13 (برای نسخه Free) و 2.26.13 (برای نسخه Premium).
- حذف کلیدها: حذف کلیدهای اتصال قدیمی از مسیر Settings > UpdraftPlus > Advanced Tools > UpdraftCentral.
- بررسی امنیتی: بازبینی لیست کاربران و افزونه‌ها (از جمله Must-Use plugins) برای شناسایی موارد مشکوک.
- نکته مهم: نصب‌های Self-hosted از UpdraftCentral تحت تأثیر قرار نگرفته‌اند.
