Entre el 18 de octubre a las 15:32 y el 19 de octubre a las 09:23, un atacante que poseía claves robadas de UpdraftCentral instaló puertas traseras en sitios WordPress conectados. Así lo informó Patchstack en un comunicado en el que detalla las acciones que está tomando y las medidas que los administradores de sitios deben adoptar de inmediato.
De acuerdo con el comunicado, es posible que un sitio tenga una clave sin saberlo. Conectar una cuenta de TeamUpdraft.com marca por defecto la opción “Add this website to UpdraftCentral”. Incluso los sitios que solo usaron UpdraftPlus para respaldos están expuestos. Las claves no expiran. La campaña sigue activa y ninguna actualización de plugin la corrige.
Patchstack señaló que, aunque técnicamente no se trata de una vulnerabilidad, está protegiendo a los usuarios mediante los métodos disponibles. Ahora bloquea los comandos remotos de UpdraftCentral en los sitios protegidos de los usuarios de pago. Las reglas de mitigación cubren tres rutas: el propio canal de comandos de UpdraftCentral, el activador de la puerta trasera y las cuentas de servicio, y la ruta de comandos falsificados de CVE-2026-10795, en UpdraftPlus 1.26.4 / 2.26.4 o versiones anteriores. El panel de UpdraftCentral mostrará esos sitios como inaccesibles, aunque los respaldos programados seguirán ejecutándose.
Entre las acciones que los administradores deben realizar, el comunicado indica revisar si existe una clave con el comando wp option get updraft_central_localkeys. Cualquier resultado significa que el sitio está expuesto. Luego hay que eliminar todas las claves, ya sea en wp-admin mediante Settings → UpdraftPlus Backups → Advanced Tools → UpdraftCentral → Manage existing keys → delete all, o con el comando wp option delete updraft_central_localkeys. Eliminar el sitio del panel de UpdraftCentral no es suficiente: la clave que importa vive en el sitio. Los respaldos siguen funcionando después de la eliminación.
También se debe buscar la puerta trasera, ya que el ataque comenzó antes de que las reglas entraran en vigor, por lo que hay que revisar cada sitio que haya tenido una clave. Todas las muestras llevan esta descripción de plugin: grep -rl “Small maintenance toolkit: keeps option storage tidy\.” /var/www/*/wp-content/plugins/. Además, hay que buscar cuentas de Editor con manage_options, una dirección de correo @example.org o el nombre visible “Site Tools”.
Si se encuentra la puerta trasera, el comunicado advierte que primero se debe eliminar la clave, o el atacante enviará un reemplazo. Luego hay que desactivar el plugin y moverlo fuera de la raíz web. No se debe eliminar desde wp-admin, ya que su rutina de desinstalación borra sus propias huellas. Si el plugin arroja errores HTTP 500, no hay que corregirlos: corregir el error activa la puerta trasera.
En caso de que exista la cuenta de la puerta trasera, se debe tratar el sitio como completamente comprometido: restaurar desde un respaldo anterior al ataque, rotar las contraseñas de administrador y de UpdraftCentral Cloud, finalizar todas las sesiones y revisar cada usuario con capacidades adicionales. El comunicado también pide no volver a conectar con UpdraftCentral hasta que TeamUpdraft explique la causa.
Patchstack otorgó crédito a Nethemba, que detectó el ataque en sus propios sitios y publicó el primer análisis en cuestión de horas. El aviso completo incluye todos los indicadores de compromiso, los 99 nombres de plugins y las revisiones de registros para el activador. El comunicado no proporciona más detalles sobre los responsables ni sobre el alcance total del incidente.
Imagen: Foto de Tima Miroshnichenko en Pexels
