Ataque con claves robadas de UpdraftCentral instala puertas traseras en sitios WordPress
Entre el 18 de octubre a las 15:32 y el 19 de octubre a las 09:23, un atacante que poseía claves robadas de UpdraftCentral instaló puertas traseras en sitios WordPress conectados. Así lo informó Patchstack en un comunicado en el que detalla las acciones que está tomando y las medidas que los administradores de sitios deben implementar de inmediato.
De acuerdo con el comunicado, es posible que un sitio tenga una clave sin saberlo. Conectar una cuenta de TeamUpdraft.com marca por defecto la opción “Add this website to UpdraftCentral”. Incluso los sitios que solo usaron UpdraftPlus para respaldos están expuestos. Las claves no expiran. La campaña sigue activa y ninguna actualización de plugin la corrige.
Patchstack señaló que, aunque técnicamente no se trata de una vulnerabilidad, está protegiendo a los usuarios mediante los métodos disponibles. La empresa ahora bloquea los comandos remotos de UpdraftCentral en los sitios protegidos de usuarios de pago. Sus reglas de mitigación cubren tres rutas: el propio canal de comandos de UpdraftCentral, el activador de la puerta trasera y las cuentas de servicio, y la ruta de comandos falsificados de CVE-2026-10795, en UpdraftPlus 1.26.4 / 2.26.4 o versiones anteriores. El panel de UpdraftCentral mostrará estos sitios como inalcanzables, pero los respaldos programados seguirán ejecutándose.
Entre las acciones que los administradores deben realizar, el comunicado indica verificar si existe una clave. Cualquier salida significa que el sitio está expuesto. El comando sugerido es wp option get updraft_central_localkeys. Luego se deben eliminar todas las claves. En wp-admin: Settings → UpdraftPlus Backups → Advanced Tools → UpdraftCentral → Manage existing keys → delete all. O bien: wp option delete updraft_central_localkeys. Eliminar el sitio del panel de UpdraftCentral no es suficiente: la clave que importa vive en el sitio. Los respaldos siguen funcionando después de la eliminación.
También se debe buscar la puerta trasera. El ataque comenzó antes de que las reglas entraran en vigor, por lo que hay que revisar cada sitio que tuvo una clave. Todas las muestras llevan esta descripción de plugin: grep -rl “Small maintenance toolkit: keeps option storage tidy\.” /var/www/*/wp-content/plugins/. Además, se deben buscar cuentas de Editor con manage_options, una dirección de correo @example.org o el nombre visible “Site Tools”.
Si se encuentra la puerta trasera, el comunicado advierte: eliminar primero la clave, o el atacante enviará un reemplazo. Desactivar el plugin y moverlo fuera de la raíz web. No borrarlo desde wp-admin, ya que su rutina de desinstalación borra sus propias huellas. Si el plugin arroja errores HTTP 500, no corregirlos, porque corregir el error activa la puerta trasera.
En caso de que exista la cuenta de la puerta trasera, se debe tratar el sitio como completamente comprometido: restaurar desde un respaldo anterior al ataque, rotar las contraseñas de administrador y de UpdraftCentral Cloud, finalizar todas las sesiones y revisar cada usuario con capacidades adicionales. No reconectar a UpdraftCentral hasta que TeamUpdraft explique la causa.
El comunicado otorga crédito a Nethemba, que detectó el ataque en sus propios sitios y publicó el primer análisis en cuestión de horas. La advertencia completa incluye todos los indicadores de compromiso, los 99 nombres de plugins y las revisiones de registros para el activador. Patchstack puso a disposición el aviso completo en un enlace incluido en el comunicado.
Imagen: Foto de Tima Miroshnichenko en Pexels
