W październiku 2026 roku włamano się na serwery firmy, która tworzy UpdraftPlus, popularną wtyczkę do kopii zapasowych WordPressa. Sprawdziliśmy wszystkie strony pod naszą opieką, zamknęliśmy drogę, którą mógł wejść atakujący, i zaktualizowaliśmy wtyczkę do wersji z poprawką. Twoje kopie zapasowe są bezpieczne, a w większości przypadków nie musisz nic robić.
- zdjęie pochodzi z WordPress.org
Co się stało
UpdraftPlus robi kopie zapasowe stron WordPress. Ma też usługę UpdraftCentral, czyli panel do zdalnego zarządzania wieloma stronami. Każda strona połączona z tym panelem ma specjalny klucz, który pozwala wydawać jej polecenia.
17–18 października ktoś włamał się na serwer teamupdraft.com i wykradł m.in. te klucze. Od 18 do 19 października używał ich, żeby instalować na stronach złośliwą wtyczkę udającą narzędzie porządkowe. Wtyczka zakładała ukryte konto z uprawnieniami administratora.
Zagrożone były strony, które miały klucz UpdraftCentral. Taki klucz mogła dostać także strona, na której nikt świadomie nie korzystał z UpdraftCentral: wystarczyło podłączenie wtyczki do konta teamupdraft.com. 19 października producent wydał poprawkę (UpdraftPlus 1.26.13 i 2.26.13 Premium), która unieważnia stare klucze.
Nie wyciekły kopie zapasowe zapisane w zewnętrznych magazynach ani dane do tych magazynów. Producent zaznacza, że sama wtyczka i jej pliki do pobrania nie zostały zmienione.
Co zrobiliśmy
Nasz system opieki nad stronami pozwala jednocześnie sprawdzić i poprawić wszystkie strony klientów. Nie musieliśmy logować się do każdej z osobna.
- Sprawdziliśmy każdą stronę. Szukaliśmy śladów ataku opisanych przez producenta i firmy zajmujące się bezpieczeństwem: złośliwej wtyczki, podejrzanych kont, wpisów w dzienniku UpdraftPlusa i niepotrzebnych kluczy UpdraftCentral.
- Usunęliśmy klucze UpdraftCentral wszędzie, gdzie się pojawiły. Z tego panelu nie korzystamy, więc nic przez to nie tracisz.
- Zaktualizowaliśmy UpdraftPlusa do wersji z poprawką.
- Mieliśmy gotową procedurę dla stron z podejrzanymi śladami: odizolowanie złośliwego kodu bez uruchamiania go, usunięcie ukrytego konta, wylogowanie wszystkich użytkowników i w razie potrzeby przywrócenie strony z kopii sprzed ataku. Pojedyncze sygnały sprawdzamy indywidualnie. Jeśli dotyczą Twojej strony, odezwiemy się do Ciebie bezpośrednio.
- Zabezpieczyliśmy kopie zapasowe sprzed incydentu. W tym samym czasie nasz dostawca przestrzeni na kopie miał awarię w jednym regionie, więc tymczasowo wstrzymaliśmy automatyczne kopie UpdraftPlusa. Przenosimy je do innej lokalizacji, a starsze kopie chronimy przed automatycznym usunięciem.
- Zmieniłem hasło do konta TREJKA w teamupdraft.com i ponownie skonfigurowałem logowanie dwuskładnikowe, bo z bazy producenta wyciekły także ustawienia 2FA.
Czy musisz coś zrobić?
W większości przypadków nic. Wszystko, co dotyczy Twojej strony, załatwiliśmy za Ciebie.
Wyjątki:
- Masz własne konto na teamupdraft.com (np. kupiłeś sam licencję UpdraftPlus). Zmień hasło, wpisując adres teamupdraft.com ręcznie w przeglądarce. Zmień je też wszędzie tam, gdzie używałeś tego samego hasła, i ponownie ustaw logowanie dwuskładnikowe.
- Zauważyłeś w panelu WordPressa konto, którego nie znasz, albo wtyczkę, której nikt nie instalował. Niczego nie usuwaj sam, tylko daj nam znać. Usunięcie takiej wtyczki z panelu może zatrzeć ślady.
Uważaj na maile. Po takich incydentach pojawiają się fałszywe wiadomości „od producenta”. Ani UpdraftPlus, ani my nigdy nie poprosimy Cię mailem o hasło ani o klucze.
Co zmieniamy na przyszłość
Ten incydent pokazał, że zagrożenie może przyjść od dostawcy zaufanego narzędzia, a nie od samej strony. Dlatego:
- Osobne klucze do przestrzeni na kopie dla każdego klienta. Problem na jednej stronie nie dotknie kopii innych.
- Mniej połączeń z zewnętrznymi panelami. Każdy dodatkowy panel zdalnego zarządzania to kolejne drzwi. Zostawiamy tylko te, z których naprawdę korzystamy.
- Szybka reakcja dla całej floty. Narzędzia do sprawdzania i naprawy, które zbudowaliśmy przy tym incydencie, zostają z nami. Przy kolejnym takim zdarzeniu sprawdzimy wszystkie strony w kilka godzin, a nie w kilka dni.
Masz pytania?
Zadzwoń: +48 695 423 811 albo napisz: [email protected]. Chętnie sprawdzimy z Tobą Twoją stronę.