A empresa TeamUpdraft, que desenvolve plugins populares de backup e segurança para WordPress, teve o site invadido no fim de semana de 17 e 18 de outubro. Segundo a própria empresa, o invasor provavelmente acessou o banco de dados de clientes, que guarda informações de cobrança, histórico de pedidos e dados mais sensíveis, como hashes de senhas, configurações de autenticação em dois fatores e chaves de conexão do UpdraftCentral, UpdraftVault e UpdraftClone. A TeamUpdraft diz que não guarda dados de pagamento e que os arquivos do plugin UpdraftPlus não foram afetados.

Por que isso importa? As chaves de conexão funcionam como uma cópia de chave da casa: quem a tem pode enviar comandos para os sites conectados ao UpdraftCentral, que serve para gerenciar vários sites ao mesmo tempo. A TeamUpdraft estima que cerca de 10% dos sites que usam o UpdraftPlus tenham essa chave, o que pode expor cerca de 400 mil sites. A Patchstack, empresa de segurança para WordPress, já viu atacantes usando essas chaves para instalar backdoors, que são portas secretas que permitem voltar ao site depois. Foram encontrados ao menos 99 plugins maliciosos com nomes disfarçados de ferramentas de manutenção, como Site Health Cache.

A Nethemba, empresa de segurança de aplicações web, relatou que três dos seus próprios sites WordPress foram alvo, e dois tiveram plugins maliciosos instalados. Esses sites estavam com WordPress 7.1.3 e UpdraftPlus 2.26.11, versões que já corrigiam a falha de junho CVE-2026-10795. Ou seja, o invasor não quebrou os servidores: entrou pelo canal de gerenciamento remoto do UpdraftCentral usando chaves válidas. A Nethemba também disse que a versão 1.26.12/2.26.12 deveria remover as chaves do UpdraftCentral Cloud, mas um bug impediu isso.

O que fazer? Atualize o UpdraftPlus para a versão 1.26.13 (gratuita) ou 2.26.13 (Premium) ou superior. Depois, entre em cada site WordPress e apague as chaves de conexão do UpdraftCentral no menu de configurações do UpdraftPlus. Administradores também devem verificar logs e arquivos em busca dos indicadores de comprometimento divulgados pela TeamUpdraft, Patchstack e Nethemba. Se houver invasão confirmada, a recomendação é restaurar o site a partir de um backup limpo, trocar a senha da conta na TeamUpdraft, encerrar todas as sessões e redefinir o método de autenticação em dois fatores. Se os backups estiverem em armazenamento remoto próprio, troque também as credenciais desse armazenamento e reautorize as conexões.