Atacantes não identificados invadiram o site da TeamUpdraft e possivelmente obtiveram acesso não autorizado às chaves de conexão de clientes do UpdraftCentral, UpdraftVault e UpdraftClone, usando-as para instalar backdoors em sites WordPress.
A TeamUpdraft é desenvolvedora do UpdraftPlus, um popular plugin de backup para WordPress com mais de quatro milhões de instalações ativas. A empresa também oferece o UpdraftCentral, um serviço de gerenciamento remoto usado para administrar vários sites à distância. Um componente cliente do UpdraftCentral vem incluído em todas as cópias do UpdraftPlus.
"No fim de semana de 17 e 18 de outubro, identificamos acesso não autorizado ao site teamupdraft.com", afirmou a TeamUpdraft em comunicado. "Nossa equipe respondeu imediatamente e trabalhou durante a noite para conter o incidente. Fechamos a via de acesso, encerramos todas as sessões de contas e substituímos as chaves e credenciais que poderiam ter sido afetadas."
Em decorrência do incidente, acredita-se que os atacantes tenham acessado o banco de dados de clientes, que contém as seguintes informações:
- Nomes, endereços de e-mail, endereços de cobrança e histórico de pedidos
- Senhas de contas, armazenadas apenas em formato de hash (embaralhado) e nunca em texto simples
- Configurações de autenticação de dois fatores (2FA)
- Chaves de conexão do UpdraftCentral, UpdraftVault e UpdraftClone
A TeamUpdraft afirmou que o banco de dados não contém informações financeiras, pois esses dados são processados pela Stripe e pela PayPal. A empresa também ressaltou que o plugin UpdraftPlus, as versões autohospedadas do UpdraftCentral e os backups enviados para o armazenamento remoto próprio dos clientes não foram afetados.
"No entanto, se o seu site foi acessado por meio do UpdraftCentral, também recomendamos que você reautorize seu armazenamento remoto e troque todas as chaves de acesso ao armazenamento, como medida de precaução", diz o comunicado.
Além disso, a TeamUpdraft informou que implantou uma correção para o problema subjacente, encerrou todas as sessões das contas do teamupdraft.com e redefiniu a segurança de login em todo o site. A empresa também lançou as versões UpdraftPlus 1.26.13 (gratuita) e 2.26.13 (Premium), que desconectam automaticamente todas as conexões do UpdraftCentral feitas antes das 22h (horário de verão britânico, BST) de 18 de outubro de 2026, para impedir que as chaves antigas continuem funcionando.
Outras medidas adotadas pela desenvolvedora estão listadas abaixo:
- Desconexão de todos os sites do UpdraftVault e emissão de novas credenciais
- Substituição de todas as chaves de cliente do UpdraftClone
- Rotação de chaves junto a provedores de pagamento e outros serviços conectados
- Implementação de monitoramento adicional
- Notificação do incidente ao Escritório do Comissário de Informação do Reino Unido (ICO) e a outras autoridades relevantes
Usuários com conta no teamupdraft.com são orientados a trocar a senha imediatamente (e em outros serviços, caso a mesma senha tenha sido reutilizada), redefinir as configurações de 2FA e ter cautela ao receber e-mails inesperados que aleguem ser da TeamUpdraft.
A TeamUpdraft também recomenda que os clientes da nuvem do UpdraftCentral sigam o passo a passo abaixo o quanto antes, já que as chaves de conexão podem enviar comandos aos sites conectados:
- Faça login no painel do WordPress do próprio site, e não pelo UpdraftCentral.
- Atualize o UpdraftPlus para a versão 1.26.12 (gratuita) ou 2.26.12 (Premium), ou mais recente.
- Desconecte o site do UpdraftCentral: acesse Configurações > UpdraftPlus > Ferramentas avançadas > UpdraftCentral e exclua a chave de conexão.
- Acesse Usuários e verifique se há contas de administrador que você não reconhece. Remova-as.
- Acesse Plugins, incluindo a aba Must-Use, caso ela esteja visível, e verifique se há algo que você não reconhece. Remova o que for desconhecido.
- Troque as senhas de todas as contas de administrador do site.
- Se encontrar algo suspeito, considere restaurar o site a partir de um backup feito antes de 17 de outubro.
- Reconecte o site ao UpdraftCentral.
Usuários do UpdraftVault são incentivados a reconectar seus sites ao serviço de backup, e usuários do UpdraftClone que criaram uma chave de cliente devem copiar as novas chaves em Minha conta > UpdraftClone > Gerenciamento de chaves do UpdraftClone e compartilhá-las com seus clientes.
O caso surge em meio ao alerta da Patchstack, empresa de segurança para WordPress, que afirmou ter observado um atacante com chaves válidas do painel do UpdraftCentral emitindo comandos para instalar plugins de backdoor em sites WordPress conectados. A campanha teria funcionado de forma contínua durante uma janela de 18 horas, em 18 e 19 de outubro de 2026.
"O atacante envia um comando assinado plugin.upload_plugin pelo canal de chamada de procedimento remoto (RPC) do plugin, que escuta requisições POST comuns enviadas à raiz do site. O WordPress então instala e ativa o plugin fornecido por meio de seu instalador padrão", explicou o pesquisador de segurança Dave Jong, da Patchstack, em publicação.
A Nethemba, empresa de testes de penetração com sede na Eslováquia que detectou pela primeira vez o ataque em ambiente real, descreveu o plugin malicioso como um backdoor que se conecta a todas as requisições feitas ao site para verificar se o endereço web (URL) contém o parâmetro «?_9f5696=» e o compara com um token de 32 caracteres.
Se um token correspondente for identificado, o backdoor cria um usuário chamado «data-ops43», com o nome de exibição «Site Tools», atribui a ele a função de Editor e concede à conta as permissões «manage_options» e «install_plugins». Com isso, o operador pode enviar plugins em PHP arbitrários e abrir as configurações do site.
"Ativar o cadastro de usuários e definir a função padrão como administrador é suficiente para que o atacante crie um administrador completo", afirmou a Nethemba. "Em um site WordPress padrão, um Editor também tem a permissão unfiltered_html, então a conta pode inserir JavaScript em publicações que é executado no navegador de todos os administradores."
"O backdoor também possui uma segunda camada. A conta que ele cria, com uma senha conhecida, permanece no WordPress mesmo depois que o plugin é removido, e o atacante pode fazer login com ela pelo formulário de acesso normal, a menos que a autenticação de dois fatores esteja ativada para essa conta."
Embora uma versão inicial do plugin tenha apresentado um erro de codificação que fazia os sites afetados exibirem o erro 500, a Nethemba afirmou que o agente de ameaça removeu o backdoor defeituoso enviando um comando plugin.delete_plugin e, em seguida, carregou uma versão funcional que cria um administrador completo ou faz login como um administrador existente.
Os responsáveis por sites WordPress são orientados a verificar os seguintes indicadores de comprometimento:
- Nomes de plugins: Site Health Cache ou Site Health 364F, Asset Forge 2, Content Helper, Wp Forge, Query Shelf, Style Bridge 8F5, Media Kit 183, Query Shelf, Post Dock 776, Nav Hub, Speed Desk, Speed Kit 300, Link Latch, Script Shelf ou Feed Case
- Nomes de contas: system_team850, web.tech988, cmseditor170, cms.tech644 ou web_mgr684, com e-mail em @example.com e nomes de exibição como System Team, Web Tech, System Staff, System Ops ou Cms Tech
- Endereços IP (protocolo de internet): 43.250.53.42 e 2a09:bac5:4e21:2e3c::49b:9
No total, a Patchstack afirmou ter observado 99 nomes distintos de plugins de backdoor, e cada amostra continha a linha "Small maintenance toolkit: keeps option storage tidy".
A Wordfence, que publicou sua própria análise do incidente, afirmou que um site WordPress pode ser afetado se atender aos seguintes critérios:
- O site tinha o UpdraftPlus Free ou o UpdraftPlus Premium instalado e ativo enquanto a chave de conexão afetada do UpdraftCentral estava presente.
- O site possui, ou possuía durante o incidente, uma chave de conexão ativa para o serviço UpdraftCentral hospedado na nuvem pela TeamUpdraft.
"Este é o segundo incidente neste canal em cinco meses", alertou a Patchstack. "Em junho de 2026, a desenvolvedora corrigiu a CVE-2026-10795 (CVSS 8.1), na qual um formato de mensagem sem assinatura obsoleto permitia que um atacante forjasse comandos do UpdraftCentral sem nenhuma chave. A falha foi corrigida nas versões 1.26.5 e 2.26.5, mas as tentativas de exploração continuam, então sites com versões anteriores enfrentam os dois problemas ao mesmo tempo."
O caso ocorre dias depois de o site do plugin Rank Math PRO para WordPress ter sido alvo de um ataque à cadeia de suprimentos de software. Os usuários que baixaram a versão 3.0.123 entre 15 de outubro, às 20h02 (Tempo Universal Coordenado, UTC), e 16 de outubro, às 7h12 (UTC), receberam versões comprometidas que instalavam backdoors ocultos.
O incidente recebeu o identificador de vulnerabilidade CVE-2026-111862 (pontuação CVSS: 9,8). A falha foi corrigida na versão 3.0.124 do Rank Math PRO.
"O malware pode estabelecer acesso persistente, se comunicar com rank1cdn[.]com, recriar backdoors ocultos a cada visita a páginas e expor credenciais do WordPress, credenciais de banco de dados, chaves de interfaces de programação de aplicações (APIs) e outros segredos acessíveis ao servidor web", afirmou a Wordfence.
As descobertas coincidem também com um comunicado do PHP, linguagem de programação usada em grande parte dos sites, que informou que pretende lançar uma atualização de segurança para corrigir duas vulnerabilidades críticas (CVE-2026-109618 e CVE-2026-109619, pontuações CVSS: 9,2). Informações sobre as falhas vazaram antes da divulgação programada, e elas receberam o codinome PHP2Shell.
Segundo o diretor-executivo (CEO) da watchTowr, Benjamin Harris, as vulnerabilidades afetam as versões 5, 6, 7 e 8 do PHP e estavam originalmente programadas para divulgação em 22 de outubro, às 11h (horário da costa leste dos Estados Unidos, ET).
"O PHP está em toda parte. Ele alimenta silenciosamente sites de WordPress, Drupal, Joomla e Magento, plataformas de hospedagem compartilhada, painéis de controle e uma enorme quantidade de softwares que nem sequer informam que rodam PHP por trás dos panos", afirmou a Huntress em análise. "Quando uma falha crítica atinge o próprio PHP, e não apenas um aplicativo construído sobre ele, o número de lugares onde você precisa procurar para identificar versões vulneráveis do PHP cresce muito, muito rapidamente."
