El 20 de octubre de 2026, TeamUpdraft informó de un acceso no autorizado a su infraestructura durante el fin de semana del 17 y 18 de octubre. La empresa, desarrolladora de UpdraftPlus, UpdraftCentral, UpdraftVault y UpdraftClone, afirmó que el atacante pudo acceder a su base de datos de clientes.
La información potencialmente expuesta incluía datos de clientes y facturación, historial de pedidos, hashes de contraseñas, configuración de autenticación multifactor y claves de conexión de UpdraftCentral, UpdraftVault y UpdraftClone. TeamUpdraft aseguró que no almacenaba datos de pago y que los archivos y descargas del plugin UpdraftPlus no se vieron afectados. Las instalaciones autoalojadas de UpdraftCentral tampoco están afectadas.
Según Patchstack, los atacantes comenzaron a utilizar las claves robadas el 18 de octubre a las 15:32 UTC para ejecutar código arbitrario y crear cuentas con privilegios completos de administrador en sitios conectados a UpdraftCentral. La compañía identificó al menos 99 plugins maliciosos con nombres distintos, camuflados como herramientas de mantenimiento y optimización de WordPress.
Nethemba documentó una versión posterior de la puerta trasera capaz de crear cuentas privilegiadas o iniciar sesión como administradores existentes. La firma indicó que tres de sus sitios fueron objetivo y que en dos se instalaron plugins maliciosos mediante el canal de gestión remota de UpdraftCentral, utilizando claves privadas válidas.
TeamUpdraft revocó sesiones y sustituyó las claves y credenciales que podían haberse visto afectadas. La empresa recomienda actualizar UpdraftPlus a la versión 1.26.13 o posterior en la edición gratuita, o a la 2.26.13 o posterior en la edición Premium. Después, los administradores deben eliminar las claves de conexión de UpdraftCentral desde Settings ? UpdraftPlus Backups ? Advanced Tools ? UpdraftCentral ? Manage existing keys.
También se aconseja revisar registros y archivos en busca de indicadores de compromiso publicados por TeamUpdraft, Patchstack y Nethemba. Si se confirma una intrusión, las medidas recomendadas incluyen restaurar el sitio desde copias limpias, cambiar la contraseña de la cuenta de TeamUpdraft, revocar todas las sesiones y restablecer el método de autenticación multifactor.
La información procede de BleepingComputer: https://www.bleepingcomputer.com/news/security/stolen-updraftcentral-keys-used-to-backdoor-wordpress-sites/.
Fuente: BleepingComputer
Más noticias
CISA: SafePay ha afectado a más de 600 organizaciones de infraestructura crítica
AOMEI aún no ha notificado a los clientes afectados por el secuestro de sus actualizaciones
Versiones de OVHcloud CLI comprometidas en GitHub distribuían malware para robar secretos
Comprometen Rank Math PRO para instalar puertas traseras en sitios WordPress
Comprometen los servidores de actualización de AOMEI para distribuir malware
Un ciberataque interrumpe varios sistemas municipales de Columbia