UpdraftPlus: ukradené klíče UpdraftCentral otevřely zadní vrátka do WordPress webů

Pokud máte na webu zálohovací plugin UpdraftPlus, věnujte pět minut kontrole. Útočníci o víkendu 17.–18. října 2026 pronikli na web tvůrců pluginu a ukradli takzvané klíče UpdraftCentral. S nimi pak během zhruba 18 hodin nahrávali do připojených WordPress webů pluginy se zadními vrátky. Samotná aktualizace pluginu přitom nestačí: oprava zablokuje další přístup, ale už nainstalovaný backdoor ani založené účty neodstraní.

UpdraftPlus je nejrozšířenější zálohovací plugin pro WordPress s více než čtyřmi miliony aktivních instalací. Dobrá zpráva je, že ohrožená byla jen menšina z nich, a to weby s aktivním klíčem UpdraftCentral. Špatná zpráva je, že takový klíč mohl na webu vzniknout i bez vašeho vědomí. Níže vysvětlujeme, co se stalo, jak zjistit, jestli se vás to týká, a co dělat, když ano.

Co se stalo

Podle oznámení TeamUpdraft získal někdo o víkendu 17.–18. října neoprávněný přístup na web teamupdraft.com a pravděpodobně i do zákaznické databáze. Ta obsahovala připojovací klíče ke službám UpdraftCentral, UpdraftVault a UpdraftClone. Hesla k zákaznickým účtům byla uložena jen v zahashované podobě, nikoli jako čitelný text.

UpdraftCentral je nástroj pro hromadnou správu více WordPress webů z jednoho panelu: zálohy, aktualizace i instalace pluginů. Aby panel mohl web ovládat, uloží se na webu klíč a panel pak posílá kryptograficky podepsané příkazy. Útočník s ukradenými klíči proto mohl posílat příkazy, které vypadaly jako legitimní pokyny z panelu, a web je bez námitek provedl.

Bezpečnostní firma Patchstack zaznamenala první instalaci backdooru 18. října v 15:32 a poslední 19. října v 9:23. Útok tedy běžel nepřetržitě zhruba 18 hodin. Jako první si ho všimla slovenská firma Nethemba, která ho v noci na 19. října zachytila na třech vlastních webech, zveřejnila analýzu a nahlásila ho TeamUpdraft. Útočník posílal příkaz plugin.upload_plugin, který nahrál a aktivoval škodlivý plugin, a podle dalších zjištění následně i plugin.delete_plugin.

Proč nejde o běžnou chybu v pluginu

U většiny bezpečnostních incidentů ve WordPressu stačí nainstalovat opravenou verzi. Tady ne. Patchstack výslovně píše, že nejde o zranitelnost v kódu UpdraftPlus, ale o kompromitaci klíčů. Příkazy byly správně podepsané, takže je plugin přijal stejně jako příkazy od skutečného správce. Proto incident nemá ani číslo CVE. Podle Patchstacku byly v době útoku tehdejší nejnovější verze 1.26.11 a 2.26.11 zasažené úplně stejně jako starší.

Dvě vlastnosti celý problém zhoršily:

• Klíč mohl vzniknout automaticky. Při propojení webu s účtem na teamupdraft.com bylo políčko pro vzdálenou správu ve výchozím stavu zaškrtnuté. Kdo si chtěl například jen aktivovat Premium licenci nebo UpdraftVault, mohl tak nevědomky vytvořit i klíč UpdraftCentral.
• Klíče neexpirují. Patchstack uvádí, že klíče vydané v listopadu 2025 v říjnu 2026 stále fungovaly. Klíč, na který jste dávno zapomněli, tak byl pořád platný.

Patchstack odhaduje, že klíč UpdraftCentral nebo Migrator má zhruba 10 % webů s UpdraftPlus. To dává až přibližně 400 000 potenciálně ohrožených webů. Jde o odhad expozice, nikoli o počet skutečně napadených webů.

Co backdoor dělá

Škodlivé pluginy se tvářily jako nástroje pro údržbu nebo zrychlení webu. Patchstack napočítal 99 různých názvů. Nejčastěji se opakoval „Site Health Cache“, dále například Asset Forge 2, Content Helper, Css Lab, Speed Kit, Seo Engine nebo Wp Forge. Nejspolehlivějším poznávacím znamením je popis pluginu „Small maintenance toolkit: keeps option storage tidy.“

Backdoor se spouští na začátku každého požadavku a čeká na tajný parametr v URL s 32znakovým tokenem. Když ho dostane:

• založí účet s natvrdo zadaným heslem a rolí Editor,
• přidá mu oprávnění manage_options a install_plugins, tedy možnost měnit nastavení a instalovat libovolný kód,
• útočníka rovnou přihlásí nastavením přihlašovací cookie, takže obejde přihlašovací formulář, dvoufázové ověření i limity pokusů o přihlášení.

Založený účet zůstává na webu i po odstranění pluginu. Role Editor je přitom zvolená záměrně: v seznamu uživatelů nebije do očí tolik jako nový administrátor, a přesto má díky přidaným oprávněním prakticky stejnou moc.

Zajímavostí je chyba v kódu backdooru. U zachycených vzorků způsobuje fatální chybu PHP ještě před kontrolou tokenu, takže napadené weby vracely u necachovaných požadavků chybu 500. Patchstack výslovně varuje: takový plugin neopravujte. Oprava chyby by backdoor zprovoznila. A pokud se vám web kolem 18.–19. října bez zjevné příčiny rozbil, berte to jako varovný signál.

Opravené verze: 1.26.13 a 2.26.13

TeamUpdraft nejprve vydal verze 1.26.12 a 2.26.12, které měly staré klíče automaticky odpojit. Následně 19. října vyšly UpdraftPlus 1.26.13 (zdarma) a 2.26.13 (Premium), které opravují způsob, jakým se odvolání klíčů v předchozí verzi aplikovalo. WordPress.org bezplatnou verzi rozeslal jako automatickou aktualizaci, přesto si verzi raději ověřte.

Ani verze 1.26.13 ale není konečné řešení:

• Nemaže backdoory ani účty, které už na webu jsou. Jen brání dalšímu zneužití starých klíčů.
• Nemusí smazat všechny klíče. TeamUpdraft uvádí jako hranici 18. října 22:00 britského času (21:00 UTC). Podle Nethemby ale verze 1.26.13 maže jen klíče vytvořené před 12:07 UTC. Klíče z odpoledne 18. října tak mohou na webu zůstat a je potřeba je smazat ručně.
• Odebrání webu z panelu UpdraftCentral nestačí. Klíč na samotném webu tím nezmizí.

Jak zjistit, jestli se vás to týká

Rozhodující otázka zní: má váš web uložený klíč UpdraftCentral? Ověřte to, i když jste UpdraftCentral nikdy vědomě nepoužívali.

V administraci

Otevřete Nastavení → UpdraftPlus Backups → Advanced Tools → UpdraftCentral a podívejte se do sekce se správou existujících klíčů („Manage existing keys“). Pokud je seznam prázdný, web klíč nemá.

Přes WP-CLI

Pokud máte k hostingu SSH přístup, stačí jeden příkaz. Jakýkoli výstup znamená, že web klíč má:

wp option get updraft_central_localkeys

Pokud příkaz vrátí chybu, že volba neexistuje, klíč na webu není a útok tudy na váš web vést nemohl. Přesto se vyplatí ověřit verzi pluginu a projít seznam uživatelů.

Co udělat, když web klíč má

Postupujte v tomto pořadí. Na pořadí záleží: kdybyste nejdřív deaktivovali backdoor a klíč nechali na webu, útočník může poslat náhradní plugin.

1. Smažte všechny klíče UpdraftCentral. Buď v administraci přes „Manage existing keys“, nebo příkazem wp option delete updraft_central_localkeys. Zálohy fungují dál, smazání klíče se jich netýká.
2. Aktualizujte UpdraftPlus alespoň na 1.26.13, resp. 2.26.13.
3. Projděte pluginy. Hledejte cokoli, co jste neinstalovali, zejména „Site Health Cache“ nebo plugin s popisem „Small maintenance toolkit: keeps option storage tidy.“
4. Projděte uživatele. Podezřelé jsou účty ve tvaru dvě slova a dvě číslice (potvrzené jsou data-ops43 a media-staff96), e-mail na doméně @example.org a zobrazované jméno „Site Tools“. Zkontrolujte hlavně Editory, kteří mají oprávnění navíc.
5. Podívejte se do přístupových logů na požadavky s parametrem ve tvaru _xxxx= a 32znakovým tokenem. Patchstack uvádí jako zdroje útoku IP adresy 43.250.53.42 a 2a09:bac5:4e21:2e3c::49b:9, jsou ale jen výchozím bodem, ne úplným seznamem.

Když backdoor najdete

• Nejdřív smažte klíč UpdraftCentral, pokud jste to ještě neudělali.
• Plugin deaktivujte a jeho složku přesuňte mimo webový adresář. Nemažte ho přes administraci, protože jeho odinstalační rutina smaže stopy, které se hodí při analýze.
• Odstraňte účet založený backdoorem a volbu v databázi končící na _sync_token.

Pokud účet na webu existuje nebo se v logu objevil spouštěcí požadavek, považujte web za plně kompromitovaný. Útočník měl možnost instalovat libovolný kód, takže odstranění jednoho pluginu nemusí stačit. Doporučený postup je obnova ze zálohy pořízené před 17. říjnem, porovnání souborů s čistou instalací, změna hesel administrátorů, ukončení všech přihlášených relací a zapnutí dvoufázového ověření.

Změňte heslo k účtu TeamUpdraft

I když váš web klíč UpdraftCentral nemá, ale máte účet na teamupdraft.com (třeba kvůli Premium licenci, podpoře nebo UpdraftVault), změňte si tam heslo. Hesla sice byla uložena zahashovaná, ale uniklá databáze je důvod nepodcenit to. Pokud používáte stejné heslo i jinde, změňte ho i tam. Uživatelé UpdraftVault by po změně hesla měli úložiště znovu připojit.

S opětovným připojením webů k UpdraftCentral Cloud podle Patchstacku počkejte, dokud TeamUpdraft úplně nevysvětlí příčinu úniku. Pokud vzdálenou správu nutně potřebujete, vytvořte klíč pod uživatelem, který nemá oprávnění instalovat pluginy. Podle Patchstacku právě tento detail zastavil útok na jednom z veřejně analyzovaných webů.

Jak jsme to zkontrolovali u nás

Pro představu, jak rychle se dá kontrola zvládnout: na přibližně třiceti webech, které spravujeme, jsme přes WP-CLI ověřili verzi UpdraftPlus a přítomnost volby updraft_central_localkeys, vypsali uživatele zaregistrované od 16. října, hledali Editory s oprávněními install_plugins nebo manage_options a prošli složky pluginů změněné od 17. října. Všechny weby už měly verzi 1.26.13, žádný neměl uložený klíč UpdraftCentral a nenašli jsme žádné nové účty ani neznámé pluginy. Celé to zabralo pár minut. U jednoho webu bez SSH stačí projít administraci podle návodu výše.

Shrnutí

• Útočníci ukradli z teamupdraft.com klíče UpdraftCentral a 18.–19. října jimi instalovali backdoory do připojených webů.
• Ohrožené jsou weby s aktivním klíčem UpdraftCentral. Ten mohl vzniknout i automaticky při propojení s účtem TeamUpdraft.
• Aktualizujte na UpdraftPlus 1.26.13 / 2.26.13, ale klíče smažte ručně. Aktualizace je nemusí odstranit všechny a nemaže už nainstalovaný backdoor.
• Zkontrolujte pluginy, uživatele a logy. Při nálezu backdooru obnovte web ze zálohy pořízené před 17. října.
• Změňte heslo k účtu na teamupdraft.com.

Zdroje: Patchstack, BleepingComputer, Search Engine Journal, The Hacker News. Informace odpovídají stavu k 26. říjnu 2026.