攻擊者濫用 UpdraftCentral 金鑰在 WordPress 網站植入後門

未知的威脅行為者入侵 TeamUpdraft 的網站，可能取得客戶的 UpdraftCentral、UpdraftVault 與 UpdraftClone 連線金鑰，並利用它們在 WordPress 網站中設定後門。

TeamUpdraft 是 UpdraftPlus 的開發者，UpdraftPlus 是一款擁有超過四百萬活躍安裝的熱門 WordPress 備份外掛。該供應商亦提供 UpdraftCentral，這是一項遠端管理服務，用於遠端管理多個網站。UpdraftCentral 的客戶端元件隨每份 UpdraftPlus 版本一起發行。

在 10 月 17-18 日的週末，我們發現 teamupdraft.com 網站遭未授權存取，TeamUpdraft 說 在一份宣告中。 我們的團隊立即回應並通宵工作以遏制此事件——我們關閉了存取路徑，登出所有帳號，並更換可能受影響的金鑰與憑證。

由於此事件，威脅行為者被認為已存取其客戶資料庫，該資料庫包含以下資訊 -

• 姓名、電子郵件地址、帳單地址及訂單歷史
• 帳號密碼，僅以雜湊（加密）形式儲存，絕不以純文字形式存在
• 雙重驗證（2FA）設定
• UpdraftCentral、UpdraftVault 與 UpdraftClone 的連線金鑰

TeamUpdraft 表示資料庫不含任何財務資訊，且這些資訊由 Stripe 與 PayPal 處理。它亦強調 UpdraftPlus 外掛，以及自託管版的 UpdraftCentral 和傳送至客戶自有遠端儲存的備份，均未受到影響。

然而，若您的網站曾透過 UpdraftCentral 存取，請重新授權您的遠端儲存並更改任何儲存存取金鑰，作為預防措施，

此外，TeamUpdraft 表示已部署修正以解決根本問題，登出所有 teamupdraft.com 帳號並重設整個網站的登入安全，並釋出了 UpdraftPlus 1.26.13（免費）與 2.26.13（Premium），以自動斷開 2026 年 10 月 18 日英國夏令時間下午 10 點前建立的所有 UpdraftCentral 連線，防止舊金鑰繼續運作。

開發者採取的其他措施列於下方 -

• 將每個網站從 UpdraftVault 斷開並發放新的憑證
• 更換每個 UpdraftClone 客戶端金鑰
• 與支付服務提供商及其他連結服務輪換其金鑰
• 實施額外監控措施
• 向英國資訊專員辦公室（ICO）及其他相關機構報告此事件

建議擁有 teamupdraft.com 帳號的使用者立即更改密碼（若同一密碼已在其他地方重複使用亦同），重設 2FA 設定，並在收到自稱 TeamUpdraft 的意外電子郵件時保持警惕。

TeamUpdraft 亦建議 UpdraftCentral 的雲端客戶盡快執行以下步驟，因為連線金鑰可能會向已連結網站傳送指令 -

• 登入網站自身的 WordPress 後臺，而非透過 UpdraftCentral。
• 將 UpdraftPlus 更新至 1.26.12（免費）或 2.26.12（Premium）或更新版本。
• 將其從 UpdraftCentral 斷開：前往 Settings > UpdraftPlus > Advanced Tools > UpdraftCentral 並刪除連線金鑰。
• 前往 Users，檢查是否有您不熟悉的管理員帳號，並將其移除。
• 前往 Plugins（包括可見的 Must-Use 分頁），檢查是否有您不熟悉的專案，並將其移除。
• 更改網站上所有管理員帳號的密碼。
• 若發現任何可疑情況，請考慮從 10 月 17 日之前的備份中還原網站。
• 將網站重新連線至 UpdraftCentral。

已被敦促將 UpdraftVault 使用者的網站重新連線至備份服務；同時已建立客戶端金鑰的 UpdraftClone 使用者，需從 My Account > UpdraftClone > UpdraftClone Key Management 複製新的金鑰並與其客戶分享。

此舉發生之際，WordPress 安全公司 Patchstack 表示已觀察到持有有效 UpdraftCentral 控制台金鑰的攻擊者，透過指令在已連線的 WordPress 網站上安裝後門外掛。據稱，該攻擊活動在 2026 年 10 月 18 日至 19 日的 18 小時視窗內持續進行。

"攻擊者透過外掛的遠端程式呼叫通道傳送簽名的 plugin.upload_plugin 命令，該通道會監聽對網站根目錄的普通 POST 請求。WordPress 會透過其標準安裝程式安裝並啟用所提供的外掛，Patchstack 安全研究員 Dave Jong 說。

"Slovakia-based penetration testing company Nethemba，首次在現場偵測到此攻擊，已將該惡意外掛描述為一個後門，會掛鉤到網站的每一次請求，檢查 URL 是否包含引數 "?_9f5696=" 並將其與 32 位字元的令牌進行比較。

若偵測到符合的令牌，外掛會建立一個使用者 \"data-ops43\"，顯示名稱為 \"Site Tools\"，並賦予其 Editor 角色，同時授予帳號 \"manage_options\" 與 \"install_plugins\" 許可權，讓操作者能上傳任意 PHP 外掛並開啟網站設定。

"啟用註冊並將預設角色設為 administrator 就足以讓攻擊者建立完整的 administrator，" Nethemba 說。 "在標準 WordPress 網站上，Editor 也具有 unfiltered_html 許可權，因此該帳號可將 JavaScript 放入文章，並在每位 administrator 的瀏覽器中執行。"

"後門還有第二層。它所建立的帳號，使用已知密碼，即使外掛被移除後仍會保留在 WordPress 中，攻擊者可透過正常登入表單使用該帳號登入，除非已為該帳號啟用雙重驗證。"

雖然外掛的早期版本因程式碼錯誤導致受影響網站出現 500 錯誤，Nethemba 表示，威脅行為者透過傳送 \"plugin.delete_plugin\" 指令刪除了損壞的後門，隨後上傳了一個可正常運作的版本，該版本會建立完整的 administrator 帳號或以現有 administrator 身份登入。

建議 WordPress 網站擁有者檢查以下可能的妥協指標：

• 外掛名稱：Site Health Cache 或 Site Health 364F、Asset Forge 2、Content Helper、Wp Forge、Query Shelf、Style Bridge 8F5、Media Kit 183、Query Shelf、Post Dock 776、Nav Hub、Speed Desk、Speed Kit 300、Link Latch、Script Shelf、或 Feed Case
• 帳號名稱：system_team850、web.tech988、cmseditor170、cms.tech644 或 web_mgr684，電子郵件為 @example.com，顯示名稱如 System Team、Web Tech、System Staff、System Ops 或 Cms Tech
• IP 位址：43.250.53.42 與 2a09:bac5:4e21:2e3c::49b:9

總計，Patchstack 表示觀察到 99 個不同的後門外掛名稱，每個樣本都包含 \"Small maintenance toolkit: keeps option storage tidy.\" 這一行。

"Wordfence，發布了自己對此事件的分析，表示如果滿足以下條件，WordPress 網站可能會受到影響 -

• 該網站在受影響的 UpdraftCentral 連線金鑰存在時，已安裝並啟用 UpdraftPlus Free 或 UpdraftPlus Premium。
• 該網站擁有，或在事件期間擁有，TeamUpdraft 雲端託管的 UpdraftCentral 服務的有效連線金鑰。

"「這是這個通道在五個月內的第二起事件，」，Patchstack 警告說。 「2026 年 6 月，供應商修復了 CVE-2026-10795（CVSS 8.1），該漏洞是舊的未簽名訊息格式，允許攻擊者在沒有任何金鑰的情況下偽造 UpdraftCentral 命令。這已在 1.26.5 和 2.26.5 中修復，但利用嘗試仍在繼續，因此低於這些版本的網站同時面臨兩個問題。」

"這一發展發生在 Rank Math PRO WordPress 外掛網站在數天前 遭受軟體供應鏈攻擊之後，導致在 10 月 15 日 8:02 p.m. UTC 到 10 月 16 日 7:12 a.m. UTC 之間 下載 3.0.123 版本的使用者收到 受損版本，其中植入了隱藏後門。

"此事件已被分配 CVE 識別碼 CVE-2026-111862（CVSS 分數：9.8）。問題已在 Rank Math PRO 3.0.124 版中修復。

"惡意程式可能建立持久存取許可權，與 rank1cdn[.]com 通訊，在頁面瀏覽時重新建立隱藏後門，並洩露 WordPress 憑證、資料庫憑證、API 金鑰以及其他可被網頁伺服器存取的機密資訊，" Wordefence 稱。

"這些發現也與 PHP 的一份 建議書相符，該建議書指出它 打算發布一個 安全更新，修復兩個嚴重漏洞（CVE-2026-109618 和 CVE-2026-109619，CVSS 分數：9.2），因為 漏洞相關資訊在預定披露前已洩露。這些漏洞已被代號化為 PHP2Shell。

根據 watchTowr 執行長 Benjamin Harris 的說法，這些漏洞影響 PHP 5、6、7 和 8 版，原本預定於 10 月 22 日上午 11 點（ET）發布。

"「PHP 無所不在。它悄悄為 WordPress、Drupal、Joomla 和 Magento 網站、共享主機平臺、控制面板以及大量不宣稱自己使用 PHP 的軟體提供動力，」Huntress 說道。 「當一個嚴重缺陷出現在 PHP 本身，而非其上層應用程式時，你必須尋找的可能受影響的 PHP 版本數量會非常多、非常快。」

更新

"PHP 基金會已為這兩個漏洞 發布補丁，這些漏洞可能允許未經身份驗證的攻擊者執行程式碼或暴露敏感程序記憶體。與此同時，TeamUpdraft 表示，鑒於「影響 PHP 基金會的持續問題」，已將其「支援表單暫時下線」。建議客戶透過支援論壇聯絡支援。

"覺得這篇文章有趣嗎？請在 Google News、Twitter 和 LinkedIn 追蹤我們，以閱讀更多我們發布的獨家內容。