Un recente incidente di sicurezza ha colpito l’ecosistema WordPress coinvolgendo TeamUpdraft, società nota per UpdraftPlus, uno dei plugin di backup più usati al mondo con oltre quattro milioni di installazioni attive. In seguito a un accesso non autorizzato al sito teamupdraft.com, attori malevoli avrebbero potuto ottenere le chiavi di connessione utilizzate da servizi come UpdraftCentral, UpdraftVault e UpdraftClone, sfruttandole per installare backdoor su siti WordPress collegati.
UpdraftCentral è un servizio di gestione remota che consente di amministrare più siti da un unico pannello. Proprio questa comodità diventa un rischio quando le chiavi di connessione finiscono in mani sbagliate, perché possono inviare comandi ai siti associati. Secondo quanto comunicato dal fornitore, il database clienti potrebbe essere stato esposto includendo dati come nomi, email, indirizzi di fatturazione e storico ordini. Le password sarebbero state archiviate in forma hash e non in chiaro, mentre le impostazioni di autenticazione a due fattori e soprattutto le connection keys rappresentano l’elemento più critico. Non risultano invece compromessi dati finanziari, gestiti da Stripe e PayPal, né il plugin UpdraftPlus in sé o i backup salvati su storage remoti controllati dagli utenti.
Per contenere l’incidente sono state disconnesse automaticamente le connessioni UpdraftCentral create prima di una specifica finestra temporale e sono state rilasciate nuove versioni del plugin in grado di invalidare le vecchie chiavi. Sono state inoltre rigenerate credenziali per UpdraftVault e sostituite le chiavi client di UpdraftClone, insieme alla rotazione di chiavi con provider di pagamento e servizi integrati e a un rafforzamento del monitoraggio.
Le analisi tecniche indicano che un attaccante con chiavi valide avrebbe inviato comandi firmati per caricare e attivare plugin malevoli tramite richieste POST verso la root del sito, sfruttando i normali meccanismi di installazione di WordPress. Alcune backdoor osservate creano utenti sospetti e possono mantenere un accesso persistente anche dopo la rimozione del plugin, soprattutto se non è attiva la 2FA sull’account creato.
Azioni consigliate per ridurre il rischio
- Aggiornare subito UpdraftPlus all’ultima versione disponibile.
- Scollegare e rigenerare la chiave di UpdraftCentral (connection key) per invalidare eventuali credenziali esposte.
- Verificare utenti amministratori e plugin sconosciuti, cercando account sospetti o installazioni non autorizzate.
- Cambiare le password degli amministratori e rafforzare l’autenticazione (in particolare con 2FA).
- Valutare un ripristino da backup precedente alle date dell’attacco, se si sospetta compromissione.
- Prestare attenzione a email inattese che imitano comunicazioni del servizio.