W dniach 17–19 października 2026 roku doszło do poważnego incydentu bezpieczeństwa związanego z UpdraftCentral, usługą służącą do zdalnego zarządzania stronami WordPress. Cyberprzestępcy wykorzystali przejęte klucze połączeń do instalowania złośliwych wtyczek i uzyskiwania nieautoryzowanego dostępu do witryn. Problem dotyczył przede wszystkim stron połączonych z chmurową usługą UpdraftCentral.
Producent udostępnił aktualizacje UpdraftPlus, które unieważniają wcześniejsze połączenia, jednak samo zainstalowanie poprawki nie usuwa ewentualnych skutków włamania.
Korzystasz z UpdraftPlus lub UpdraftCentral? Sprawdź, czy Twoja wtyczka została zaktualizowana do wersji 1.26.13 (bezpłatna), 2.26.13 (Premium) lub nowszej. Aktualizacje z 19 października unieważniły wcześniejsze klucze połączeń UpdraftCentral, zamykając wykorzystaną przez napastników drogę dostępu. Jeśli korzystałeś z tej usługi, powinieneś również skontrolować konta użytkowników i zainstalowane wtyczki. Poniżej wyjaśniamy, jak to zrobić.
Co wydarzyło się w UpdraftCentral?
UpdraftPlus to jedna z najpopularniejszych wtyczek do tworzenia kopii zapasowych WordPressa, wykorzystywana w ponad 4 milionach aktywnych instalacji. Jej producent udostępnia również UpdraftCentral, czyli usługę umożliwiającą zarządzanie wieloma witrynami z jednego panelu.
17–18 października producent wykrył nieautoryzowany dostęp do serwisu TeamUpdraft.com.
Według oficjalnego komunikatu prawdopodobnie doszło do uzyskania dostępu do bazy klientów, zawierającej między innymi dane kont oraz klucze połączeń z usługami producenta.
W kolejnych godzinach cyberprzestępcy wykorzystali przejęte klucze UpdraftCentral do wysyłania poleceń na połączone strony WordPress. Ataki z 18–19 października zostały potwierdzone przez specjalistów z Patchstack, firmy zajmującej się bezpieczeństwem aplikacji internetowych, w szczególności WordPressa.
Napastnicy instalowali złośliwe wtyczki typu backdoor, umożliwiające ponowne uzyskanie dostępu do witryny. Tworzyli również nieautoryzowane konta użytkowników, którym przyznawano dodatkowe uprawnienia.
Ważne rozróżnienie: incydent nie wynikał z klasycznej podatności w kodzie UpdraftPlus. Cyberprzestępcy wykorzystali prawidłowe, ale przejęte klucze autoryzacyjne UpdraftCentral. Producent potwierdził, że oficjalne pliki wtyczki UpdraftPlus nie zostały naruszone.
Czy każdy użytkownik UpdraftPlus jest zagrożony?
Nie. Samo posiadanie wtyczki UpdraftPlus nie oznacza, że Twoja strona została zaatakowana. Znaczenie ma przede wszystkim sposób korzystania z usług producenta.
- Użytkownicy UpdraftCentral Cloud – powinni sprawdzić wszystkie połączone witryny pod kątem nieautoryzowanych kont i podejrzanych wtyczek.
- Użytkownicy UpdraftPlus Premium – producent zaleca kontrolę stron również osobom, które nie korzystały świadomie z UpdraftCentral.
- Użytkownicy bezpłatnego UpdraftPlus bez konta TeamUpdraft – według producenta nie muszą podejmować dodatkowych działań związanych z incydentem. Zalecamy jednak korzystanie z aktualnej wersji wtyczki.
- Użytkownicy samodzielnie hostowanego UpdraftCentral – ten wariant usługi nie został objęty opisanym naruszeniem.
Warto, abyś sprawdził również ustawienia połączenia. Jak ustalono podczas analizy incydentu, połączenie wtyczki UpdraftPlus z kontem TeamUpdraft mogło jednocześnie aktywować połączenie z UpdraftCentral, nawet jeśli użytkownik nie zamierzał korzystać ze zdalnego zarządzania stroną.
Wynikało to z domyślnie zaznaczonej opcji dodania witryny do UpdraftCentral. Pamiętaj, że konto TeamUpdraft.com służy do obsługi produktów producenta, natomiast UpdraftCentral jest osobną usługą umożliwiającą zdalne zarządzanie WordPressem.
Jak zabezpieczyć WordPress po incydencie UpdraftCentral?
19 października producent udostępnił aktualizacje UpdraftPlus 1.26.13 oraz 2.26.13 (Premium), które automatycznie unieważniają wcześniejsze połączenia z UpdraftCentral. Nie oznacza to jednak, że ewentualne złośliwe wtyczki lub konta użytkowników zostały usunięte.
Jeśli korzystasz z UpdraftCentral lub posiadasz UpdraftPlus Premium, wykonaj następujące czynności:
- Sprawdź wersję UpdraftPlus. Zaloguj się bezpośrednio do panelu administracyjnego WordPress, a następnie przejdź do sekcji Wtyczki → Zainstalowane wtyczki. Upewnij się, że korzystasz z wersji 1.26.13, 2.26.13 lub nowszej, odpowiednio do posiadanej edycji.
- Usuń stare klucze połączeń UpdraftCentral. Przejdź do Ustawienia → UpdraftPlus → Advanced Tools → UpdraftCentral. Usuń dotychczasowy klucz połączenia. Jeśli nadal korzystasz z UpdraftCentral, skonfiguruj połączenie ponownie po zakończeniu kontroli strony.
- Sprawdź konta użytkowników. W sekcji Użytkownicy → Wszyscy użytkownicy zweryfikuj, czy nie pojawiły się nieznane konta. Zwróć szczególną uwagę na administratorów oraz użytkowników z rolą Redaktor. W analizowanych atakach napastnicy potrafili nadawać redaktorom dodatkowe uprawnienia administracyjne.
- Skontroluj zainstalowane wtyczki. Poszukaj rozszerzeń, których sam nie instalowałeś. Sprawdź również wtyczki typu Must-Use (mu-plugins). Wśród zidentyfikowanych złośliwych rozszerzeń znajdowały się między innymi wtyczki występujące pod nazwą „Site Health Cache”.
- Zmień hasła dostępowe. Zaktualizuj hasła administratorów WordPressa i konta TeamUpdraft. Jeżeli korzystasz z uwierzytelniania dwuskładnikowego na TeamUpdraft.com, skonfiguruj je ponownie zgodnie z zaleceniami producenta.
Sprawdź także listę witryn widocznych na koncie UpdraftCentral. Jeżeli znajduje się tam strona, której nie podłączałeś ponownie po 19 października, dokładnie skontroluj jej użytkowników, wtyczki oraz dostępne logi.
Znalazłeś nieznane konta lub podejrzane wtyczki? Nie ograniczaj się do aktualizacji UpdraftPlus. Zabezpiecz kopię obecnego stanu witryny do analizy i skontaktuj się z administratorem strony lub specjalistą ds. bezpieczeństwa. Rozważ przywrócenie sprawdzonej kopii zapasowej sprzed 17 października 2026 roku. Samo usunięcie podejrzanej wtyczki nie zawsze oznacza całkowite usunięcie skutków włamania.
Czy kopie zapasowe UpdraftPlus są bezpieczne?
Producent poinformował, że kopie zapasowe przesyłane do własnych lokalizacji użytkowników, takich jak Google Drive, Dropbox czy Amazon S3, nie zostały bezpośrednio objęte naruszeniem. Jeżeli jednak Twoja witryna została przejęta, zalecane jest ponowne autoryzowanie dostępu do zewnętrznej przestrzeni dyskowej oraz zmiana odpowiednich kluczy dostępu.
Korzystasz z UpdraftVault? Producent rozłączył witryny korzystające z tej usługi przechowywania kopii zapasowych. Oznacza to, że automatyczne backupy nie będą przesyłane do UpdraftVault do czasu ponownego połączenia. Otwórz ustawienia UpdraftPlus, połącz ponownie usługę i wykonaj testową kopię zapasową, aby upewnić się, że wszystko działa prawidłowo.
Jeżeli korzystasz z hostingu SEOHOST, polecamy również nasze poradniki dotyczące aktualizacji i zabezpieczania WordPressa:
- Jak skonfigurować kopię zapasową WordPress w Softaculous?
- Dlaczego powinieneś regularnie aktualizować WordPressa?
- Aktualizacja WordPressa, wtyczek i motywów – kompleksowy poradnik
- Złośliwe malware w WordPress – jak je rozpoznać i jak się chronić?
Bezpieczeństwo WordPressa – aktualizacje to nie wszystko
Incydent UpdraftCentral pokazuje, że nawet aktualne oprogramowanie nie eliminuje wszystkich zagrożeń. W tym przypadku cyberprzestępcy nie musieli wykorzystywać błędu w samej wtyczce. Posłużyli się przejętymi kluczami autoryzacyjnymi, które pozwalały na wykonywanie poleceń przez zaufane połączenie.
Dlatego oprócz aktualizacji WordPressa, wtyczek i motywów zadbaj również o bezpieczeństwo kont administratorów, kontrolę uprawnień, regularne kopie zapasowe oraz dodatkową ochronę przed złośliwym oprogramowaniem.
Bezpieczny hosting WordPress w SEOHOST. Jeśli nie jesteś jeszcze naszym klientem, zapraszamy do sprawdzenia oferty hostingu SEOHOST. Nasze serwery wykorzystują szybkie dyski NVMe, LiteSpeed oraz dodatkową ochronę Monarx Security. System pomaga wykrywać i blokować złośliwe oprogramowanie oraz niebezpieczne działania wykonywane przez aplikacje PHP. Jeśli posiadasz już stronę internetową u innego dostawcy, sprawdź również możliwość bezpłatnej migracji do SEOHOST.
Komentarze