Nuove informazioni emergono sull'attacco che ha sfruttato le chiavi di UpdraftCentral per installare plugin malevoli su migliaia di siti WordPress. Gli aggressori hanno avuto accesso a dati sensibili degli utenti.
Un recente e significativo incidente di sicurezza ha messo in ginocchio numerosi siti web basati su WordPress, a seguito di un accesso non autorizzato al sito web di TeamUpdraft, l'azienda dietro i popolari plugin di backup e gestione UpdraftPlus e UpdraftCentral. L'attacco, avvenuto tra il 17 e il 18 ottobre 2026, ha permesso ai criminali informatici di rubare chiavi di connessione UpdraftCentral, utilizzandole poi per inviare comandi remoti ai siti WordPress collegati e installare plugin malevoli, compromettendo potenzialmente milioni di siti.
Le nuove fonti confermano che gli aggressori non solo hanno ottenuto l'accesso alle chiavi di connessione, ma hanno anche violato il database clienti di TeamUpdraft. Questo database conteneva informazioni sensibili come nomi, indirizzi email, cronologia degli ordini e, soprattutto, le impostazioni di autenticazione a due fattori (2FA) e le chiavi di connessione per UpdraftCentral, UpdraftVault e UpdraftClone. Fortunatamente, le password degli utenti erano memorizzate in formato hashing (scrambled) e non in chiaro, e nessuna informazione finanziaria è stata compromessa, poiché gestita da Stripe e PayPal.
TeamUpdraft ha agito rapidamente per contenere l'incidente, chiudendo la via d'accesso non autorizzato, disconnettendo tutti gli account e sostituendo le chiavi e le credenziali potenzialmente compromesse. Hanno inoltre rilasciato versioni aggiornate dei loro plugin (UpdraftPlus 1.26.13 per la versione gratuita e 2.26.13 per la Premium) che disconnettono automaticamente tutte le connessioni UpdraftCentral stabilite prima delle 22:00 BST del 18 ottobre 2026, rendendo inefficaci le vecchie chiavi.
UpdraftCentral è uno strumento di gestione remota che consente agli utenti di controllare più siti WordPress da un'unica dashboard. Quando un sito viene collegato, il componente client di UpdraftCentral, integrato in UpdraftPlus, è in grado di ricevere comandi firmati dalla chiave di gestione del dashboard. Gli aggressori hanno sfruttato le chiavi di connessione rubate per inviare comandi malevoli, aggirando i normali controlli di sicurezza e facendo apparire le loro istruzioni come legittime. Questo attacco non è una semplice riedizione di vulnerabilità note in precedenza, poiché i siti colpiti utilizzavano versioni recenti dei plugin già patchate.
La campagna malevola è stata osservata operare ininterrottamente per un periodo di 18 ore tra il 18 e il 19 ottobre 2026. Gli aggressori hanno utilizzato un comando specifico, plugin.upload_plugin, attraverso il canale di chiamata di procedura remota (RPC) del plugin, che ascolta su normali richieste POST alla root del sito. WordPress, ricevendo questo comando firmato, procedeva all'installazione e all'attivazione del plugin dannoso.
La società di sicurezza Patchstack ha identificato almeno 99 plugin malevoli distribuiti. Questi plugin sono stati spesso mascherati da strumenti di manutenzione o ottimizzazione, come "Site Health Cache". Le varianti del malware analizzate avevano diverse capacità: alcune creavano nuovi account utente con privilegi di amministratore, mentre altre permettevano all'attaccante di accedere come un amministratore esistente senza creare nuove credenziali. Un'analisi condotta dalla società di penetration testing Nethemba ha rivelato che uno dei plugin malevoli agiva come un backdoor, monitorando ogni richiesta al sito per un parametro specifico e un token di 32 caratteri. In caso di corrispondenza, creava un utente chiamato "data-ops43" con il ruolo di Editor e permessi di "manage_options" e "install_plugins".
Si stima che fino al 10% dei siti che utilizzano UpdraftPlus, potenzialmente fino a 400.000 siti web, potessero essere a rischio a causa della presenza di una chiave UpdraftCentral o Migrator.
TeamUpdraft ha implementato diverse misure di sicurezza aggiuntive, tra cui la rotazione delle chiavi con i fornitori di pagamento e altri servizi connessi, l'implementazione di monitoraggio potenziato e la segnalazione dell'incidente alle autorità competenti, come l'U.K. Information Commissioner's Office (ICO).
Gli amministratori dei siti interessati sono fortemente raccomandati a intraprendere le seguenti azioni con urgenza:
TeamUpdraft ha confermato che le installazioni self-hosted di UpdraftCentral non sono state interessate e che i file del plugin UpdraftPlus, i pacchetti scaricabili e i backup archiviati su servizi di terze parti non sono stati compromessi. Tuttavia, la prudenza suggerisce di seguire tutte le raccomandazioni per garantire la sicurezza dei propri siti.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
