UpdraftCentral: chiavi rubate usate per installare backdoor su siti WordPress

TeamUpdraft, l'azienda dietro UpdraftPlus — oltre 4 milioni di installazioni attive — ha reso pubblico un incidente di sicurezza sul proprio sito teamupdraft.com. Chi gestisce siti WordPress con questo plugin di backup deve agire subito, perché l'attacco è già in corso e non esiste ancora una patch che lo fermi.

Cosa è successo

L'azienda ha dichiarato di aver rilevato un accesso non autorizzato a teamupdraft.com durante il weekend del 17-18 ottobre 2026. Secondo il comunicato ufficiale del produttore, tra i dati potenzialmente esposti ci sono nomi, indirizzi email, indirizzi di fatturazione e cronologia ordini, password degli account conservate solo in forma hash, impostazioni di autenticazione a due fattori e le chiavi di connessione per UpdraftCentral, UpdraftVault e UpdraftClone.

Toccato dalla violazione	Non toccato
Chiavi UpdraftCentral, UpdraftVault, UpdraftClone	Plugin UpdraftPlus e i suoi download
Dati account (nomi, email, fatturazione)	Backup su storage remoto proprio (Google Drive, Dropbox, S3)
Password hash, impostazioni 2FA	UpdraftCentral self-hosted

Fonte: pagina ufficiale dell'incidente pubblicata da TeamUpdraft.

Perché non basta aggiornare il plugin

Il punto critico, confermato dall'analisi tecnica pubblicata da Nethemba dopo aver trovato una backdoor sui propri siti, è che l'attaccante non è entrato sforzando i server né sfruttando una debolezza di configurazione, ma attraverso il canale di gestione remota di UpdraftCentral, firmando i comandi con chiavi private valide della dashboard. Nethemba precisa inoltre che non si tratta della CVE-2026-10795 di cui aveva scritto Wordfence a giugno: i loro siti erano patchati contro quella falla e i tentativi di sfruttarla erano falliti.

Patchstack conferma che, al momento, non è una vulnerabilità in UpdraftPlus e nessun aggiornamento del plugin la ferma: i comandi sono correttamente cifrati e firmati con chiavi private autentiche della dashboard, e ogni controllo del plugin passa perché dal punto di vista del sito l'istruzione è legittima.

Cosa fare subito

Nell'amministrazione WordPress: Impostazioni → UpdraftPlus Backups → scheda "Advanced Tools" → "UpdraftCentral" → "Manage existing keys" → "Delete" su ogni chiave presente. Da riga di comando, nella root del sito: wp option delete updraft_central_localkeys, seguito dalla rimozione del sito anche dal pannello UpdraftCentral (teamupdraft.com → My account → UpdraftCentral → rimuovi sito).

Patchstack segnala che la campagna è andata avanti ininterrottamente per una finestra di 18 ore tra il 18 e il 19 ottobre. TeamUpdraft sta preparando una versione di emergenza che disconnetterà automaticamente ogni connessione UpdraftCentral stabilita prima delle 22:00 BST del 18 ottobre, così le vecchie chiavi smetteranno di funzionare su ogni sito. Fino a quel momento, la rimozione manuale resta l'unica contromisura disponibile.