UpdraftPlus: מפתחות שנגנבו מ-TeamUpdraft שימשו להתקנת תוספים זדוניים באתרי וורדפרס
תוקפים חדרו לאתר של TeamUpdraft, לקחו מפתחות חיבור של UpdraftCentral ושלחו בעזרתם תוספים זדוניים לאתרי וורדפרס. העדכון מנתק את החיבורים הישנים, אבל לא מנקה אתר שכבר נפגע.
TL;DR בקצרה
- התוקפים חדרו לאתר teamupdraft.com ב-17-18 באוקטובר וככל הנראה הגיעו למאגר הלקוחות, כולל מפתחות החיבור של UpdraftCentral.
- בעזרת המפתחות הם שלחו לאתרים פקודות חתומות שהתקינו תוספים זדוניים, גם באתרים שהריצו גרסה עדכנית של התוסף.
- גרסאות 1.26.13 (חינמית) ו-2.26.13 (Premium) מנתקות את כל החיבורים שנוצרו לפני 13:07 שעון בריטניה ב-18 באוקטובר.
- החברה ממליצה למחוק את כל המפתחות, לבדוק תוספים ומשתמשים חשודים ולהחליף סיסמאות ומפתחות אבטחה.
תוקפים השתמשו במפתחות חיבור שנגנבו מ-TeamUpdraft כדי להתקין תוספים זדוניים באתרי וורדפרס שמריצים את UpdraftPlus. TeamUpdraft, החברה שמפתחת את תוסף הגיבוי הפופולרי, פרסמה את האירוע בלילה שבין 19 ל-20 באוקטובר. היא שחררה גרסאות שמנתקות את כל החיבורים הישנים. אבל עדכון לבדו לא מנקה אתר שהתוקפים כבר חדרו אליו.
לפי ההודעה של TeamUpdraft, התוקפים חדרו לאתר teamupdraft.com בסוף השבוע של 17-18 באוקטובר. ככל הנראה הם הגיעו למאגר הלקוחות. במאגר היו שמות, כתובות דוא״ל, כתובות לחיוב והיסטוריית הזמנות. היו בו גם סיסמאות בגיבוב (hash), הגדרות אימות דו-שלבי ומפתחות החיבור של UpdraftCentral, UpdraftVault ו-UpdraftClone. פרטי כרטיסי אשראי לא היו במאגר, כי Stripe ו-PayPal מטפלות בתשלומים.
איך מפתח של UpdraftCentral פתח דלת לאתרים עם UpdraftPlus
UpdraftCentral הוא לוח בקרה לניהול כמה אתרי וורדפרס ממקום אחד. הוא נוח במיוחד לסוכנויות ולבוני אתרים שמנהלים אתרים של לקוחות. התוסף UpdraftPlus שבכל אתר מקבל ממנו פקודות חתומות. הוא מריץ אותן בהרשאות של המשתמש שיצר את החיבור, ובדרך כלל זה מנהל האתר.
לכן מי שמחזיק במפתח תקף יכול לשלוח לאתר פקודה שתעבור את בדיקת החתימה. לפי GBHackers, שמצטט את Wordfence, התוקפים העלו כך תוספים זדוניים. חלק מהגרסאות יצרו משתמשים עם הרשאות גבוהות. אחרות אפשרו להתחבר כמנהל קיים, בלי ליצור חשבון חדש.
זו הסיבה שהתקיפה הצליחה גם באתרים עם גרסה עדכנית של התוסף. הבעיה לא הייתה באג בקוד, אלא מפתחות אמיתיים שדלפו. לפי הערכת TeamUpdraft, התוקף השתמש ב-AI כדי להאיץ את המתקפה.
אילו אתרים עם UpdraftPlus בסיכון, ואיזו גרסה סוגרת את הפרצה
הסיכון חל על כל אתר שחובר אי פעם לגרסת הענן של UpdraftCentral, בחינם או בתשלום. ב-21 באוקטובר החברה ביקשה גם ממנויי Premium לבדוק את האתרים שלהם. זה נכון גם למי שמעולם לא השתמש בלוח הבקרה. משתמשים בגרסה החינמית בלי חשבון באתר החברה לא צריכים לעשות דבר מלבד לעדכן.
לפי החברה, התוקפים לא שינו את התוסף עצמו ואת קובצי ההורדה שלו. הם גם לא הגיעו לגיבויים ששלחתם ישירות ל-Google Drive, ל-Dropbox או ל-Amazon S3. גם UpdraftCentral על שרת עצמאי מחוץ לסיכון. החברה מציינת שהתוספים שלה פועלים ביותר מ-5 מיליון אתרים.
הגרסאות המתוקנות הן 1.26.13 לגרסה החינמית ו-2.26.13 ל-Premium. הן מנתקות כל חיבור שנוצר לפני 13:07 שעון בריטניה ב-18 באוקטובר. לפי GBHackers, החברה החליפה את גרסאות החירום 1.26.12 ו-2.26.12 בגלל תקלה. לכן צריך את הגרסה החדשה. החברה מדגישה ש״הסרת אתר מלוח הבקרה של UpdraftCentral לבדה לא מספיקה״.
מה זה אומר עבורכם
- עדכנו מכל אתר בנפרד: היכנסו ללוח הבקרה של כל אתר. עדכנו את UpdraftPlus ל-1.26.13 ומעלה, או ל-2.26.13 ומעלה ב-Premium.
- מחקו את כל המפתחות: בהגדרות התוסף, היכנסו ל-Advanced Tools ואז ל-UpdraftCentral. בחרו Manage existing keys ומחקו הכול. אפשר גם להריץ wp option delete updraft_central_localkeys.
- חפשו תוספים זרים: בדקו גם את לשונית Must-Use וגם את התיקיות plugins ו-mu-plugins דרך SFTP. החברה מביאה שמות לדוגמה כמו Site Health Cache, Core Smith ו-WP Forge. אל תמחקו תוסף חשוד מלוח הבקרה, כי חלקם מוחקים ראיות. השביתו אותו ומחקו את התיקייה ידנית.
- בדקו משתמשים במסד הנתונים: התוקפים מסתירים חלק מהחשבונות מהממשק. חפשו מנהלים ועורכים לא מוכרים, למשל data-ops43, ורשומות בשם _sync_token.
- החליפו הכול: רעננו את מפתחות האבטחה (salts) והחליפו את סיסמאות המנהלים. החליפו גם את הסיסמה ב-teamupdraft.com ואפסו את האימות הדו-שלבי. באתרים שחוברו ל-UpdraftCentral, חברו מחדש את האחסון המרוחק והחליפו את מפתחות הגישה אליו. אם יש סימן חשוד, שחזרו מגיבוי נקי מלפני 17 באוקטובר.
מה קרה מאז
ב-29 באוקטובר TeamUpdraft עדכנה על מספר קטן של אתרים שנפרצו באירוע המקורי. בהם, תוסף של התוקף יצר בהמשך חשבונות מנהל חדשים. כלומר, אתר שנראה תקין בימים הראשונים עדיין יכול להיות פרוץ.
היזהרו גם ממיילים שמתחזים לחברה. TeamUpdraft מבהירה שהיא לא מבקשת סיסמאות או מפתחות, ולכן הקלידו את כתובת האתר שלה ידנית.
מקורות והרחבה
- Security incident: October 2026TeamUpdraft
- Hackers Use Stolen UpdraftCentral Keys to Install Malicious Plugins on WordPress SitesGBHackers
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
