UpdraftCentral backdoors via gestolen sleutels

Er is een ernstig incident gemeld rond UpdraftCentral backdoors. Onbekende aanvallers zouden via gestolen verbindingstoetsen (connection keys) opdrachten hebben kunnen geven aan WordPress-sites die met UpdraftCentral waren verbonden. Daardoor konden er verborgen plugins worden geïnstalleerd en geactiveerd, wat blijvende toegang kan opleveren.

Het voorval draait om TeamUpdraft, de ontwikkelaar achter de populaire WordPress-back-up plugin UpdraftPlus (meer dan vier miljoen actieve installaties). Daarnaast levert TeamUpdraft UpdraftCentral (beheer op afstand voor meerdere sites), en UpdraftVault en UpdraftClone als aanvullende componenten. Volgens TeamUpdraft is de impact vooral te herleiden tot sleutelmisbruik richting UpdraftCentral, niet tot een direct probleem in de back-upfunctie zelf.

Wat er gebeurde: sleutels misbruikt om WordPress te backdooren

TeamUpdraft geeft aan dat het in het weekend van 17–18 oktober ongeautoriseerde toegang tot teamupdraft.com heeft vastgesteld. Het team heeft die toegang vervolgens ingeperkt, accounts uitgelogd en alle mogelijk aangetaste sleutels en credentials vervangen.

Volgens de security-analyse werd met de (beheer)keys een remote kanaal misbruikt om commando’s te sturen naar verbonden sites. Patchstack beschrijft dat de aanvaller daarbij een gesigneerde plugin-upload uitvoerde via het RPC-achtige mechanisme dat op gewone POST-verzoeken aan de site-root luistert. WordPress installeert en activeert de aangeleverde plugin vervolgens via het standaard installatiepad.

Waarom dit zo gevaarlijk is

De kern van het risico zit niet alleen in “een plugin installeren”, maar in wat die plugin vervolgens doet. Nethemba, een penetration testing bureau, omschrijft de rogue plugin als een backdoor die elke request controleert op een specifieke queryparameter (met een token-vergelijking). Als de controle slaagt, maakt de backdoor een account aan met rechten om beheertaken uit te voeren.

• Er wordt een gebruiker aangemaakt met een rol die voldoende privileges geeft om opties te beheren en plugins te installeren.
• De account kan daardoor willekeurige PHP-plugins uploaden en ook instellingen aanpassen.
• Daarnaast is er volgens Nethemba een extra laag: zelfs nadat de plugin wordt verwijderd, kan een gebruiker met een bekende wachtwoordcombinatie blijven bestaan.
• Om persistence en misbruik mogelijk te maken, kan 2FA mogelijk omzeild worden als het voor dat specifieke account niet actief was.

Patchstack signaleerde bovendien dat er meerdere verschillende backdoor-plugin varianten in omloop waren (in totaal werden 99 plugin-namen waargenomen in samples), wat duidt op een campagne, geen enkel incident.

Welke gegevens mogelijk zijn geraakt bij TeamUpdraft

TeamUpdraft stelt dat de database mogelijk is benaderd, maar noemt ook expliciet wat er niet zou staan: er zouden geen financiële gegevens zijn, omdat betalingen via Stripe en PayPal lopen.

Wat volgens TeamUpdraft wél in de database zat:

• Naam, e-mailadres, factuuradres en orderhistorie
• Wachtwoorden in hashed vorm (niet in plaintext)
• 2FA-instellingen
• Connection keys voor UpdraftCentral, UpdraftVault en UpdraftClone

TeamUpdraft geeft aan dat de UpdraftPlus plugin en ook self-hosted UpdraftCentral en naar klanten verstuurde back-ups niet zouden zijn geraakt. De directe dreiging zit dus vooral in de keten tussen UpdraftCentral en de verbonden WordPress-sites.

Controleer de juiste dingen: indicators en verdachte plugins

Als je wil beoordelen of jouw site betrokken is, is het belangrijk om gericht te zoeken. Patchstack en andere partijen benoemen indicaties die helpen om compromissen sneller te vinden.

Verdachte plugin-namen

In analyses worden onder meer plugin-namen genoemd als:

• Site Health Cache / Site Health 364F
• Asset Forge 2
• Content Helper
• Wp Forge
• Query Shelf (meerdere varianten)
• Style Bridge 8F5
• Media Kit 183
• Nav Hub, Speed Desk / Speed Kit 300, Link Latch
• Script Shelf en Feed Case

Let op: omdat er meerdere varianten circuleerden, is “één naam” niet genoeg. Zie dit als startpunt voor jouw triage.

Verdachte accounts

Ook account- en e-mailpatronen kunnen aanwijzingen geven. Nethemba noemt onder meer accounts zoals:

• system_team850
• web.tech988
• cmseditor170
• cms.tech644 of web_mgr684

Verder wordt een e-mailadres met een @example.com-achtig patroon genoemd, met display names zoals “System Team”, “Web Tech”, “System Staff”, “System Ops” of “Cms Tech”.

Vroege netwerk-/request-indicatoren

Voor forensisch onderzoek worden ook IP-adressen genoemd: 43.250.53.42 en 2a09:bac5:4e21:2e3c::49b:9. Afhankelijk van je logging kun je dit gebruiken om te bepalen of er in de betrokken periode verdachte activiteit was.

Wanneer is je site waarschijnlijk geraakt?

Wordfence benoemt voorwaarden waaronder een site geraakt kan zijn. Kort samengevat is de kans groter als:

• Je UpdraftPlus (Free of Premium) had geïnstalleerd en actief, en de site tijdens het incident een getroffen UpdraftCentral connection key had.
• Je site (of had tijdens het incident) een actieve verbinding key voor de cloud-hosted UpdraftCentral service van TeamUpdraft.

Patchstack waarschuwt daarnaast dat dit mogelijk samenvalt met eerdere problemen in dezelfde context. In juni 2026 was een issue rond CVE-2026-10795 opgelost, maar volgens Patchstack waren exploitatiepogingen in sommige gevallen blijven doorgaan, waardoor sites onder bepaalde versies met “meerdere problemen tegelijk” te maken kunnen hebben.

Wat je nu moet doen (praktische checklist)

TeamUpdraft en securitypartijen adviseren om snel en gestructureerd te handelen. Hieronder de belangrijkste acties, waarbij je telkens uitgaat van jouw rol als site-eigenaar of beheerklant.

1) Verander wachtwoorden en hercheck 2FA

TeamUpdraft adviseert gebruikers met een teamupdraft.com-account om hun wachtwoord direct te wijzigen. Als je hetzelfde wachtwoord elders hergebruikt, wijzig het daar ook. Herstel daarnaast je 2FA-instellingen en wees extra alert op onverwachte e-mails die aanspraak maken op TeamUpdraft.

2) Update UpdraftPlus

TeamUpdraft heeft UpdraftPlus 1.26.13 (free) en 2.26.13 (Premium) uitgebracht. Deze updates zorgen automatisch voor het verbreken van UpdraftCentral-verbindingen die waren gemaakt vóór 18 oktober 2026 om 22:00 BST, zodat oude keys niet meer werken.

Wordfence- en patchadvies: controleer of je op de juiste versies zit en update zo nodig.

3) Verwijder de UpdraftCentral connection key uit je site

Voor cloudklanten van UpdraftCentral adviseert TeamUpdraft om:

• In te loggen op het eigen WordPress dashboard (dus niet via UpdraftCentral).
• UpdraftPlus bij te werken naar een geschikte versie of nieuwer.
• UpdraftCentral te verbreken via Settings > UpdraftPlus > Advanced Tools > UpdraftCentral en daar de connection key te verwijderen.

4) Check je gebruikers, plugins en beheertoegang

Ga in je WordPress-beheer naar Users en verwijder onbekende beheerders of accounts die je niet herkent. Controleer daarnaast onder Plugins (ook het Must-Use tabblad als je dat ziet) of er verdachte of onbekende plugins actief zijn.

TeamUpdraft adviseert ook om wachtwoorden van alle admin-accounts te wijzigen. Als je iets verdachts vindt, overweeg dan herstel vanaf een back-up die genomen is vóór 17 oktober.

5) Herkoppel pas daarna aan UpdraftCentral

Na je opschoning en updates kun je de site opnieuw verbinden met UpdraftCentral. Het idee is dat je eerst de compromitterende verbinding weghaalt en pas daarna teruggaat naar normaal beheer met nieuwe credentials.

Meer context: andere supply chain incidenten lopen door

Dit incident komt niet geïsoleerd. In dezelfde periode werden ook andere WordPress-gerelateerde supply chain gebeurtenissen besproken. Denk aan een aanval op een Rank Math PRO website waarbij een specifieke tijdsperiode gekoppeld werd aan gecompromitteerde downloads. Los daarvan circuleert er ook berichtgeving over kritieke PHP-kwetsbaarheden met de codenaam PHP2Shell, die (zoals altijd bij platformlagen) breed doorwerken omdat PHP veel websoftware aandrijft.

Dat betekent voor site-eigenaren vooral één ding: houd je afhankelijkheden bij, zorg voor snelle patching en laat je security-checks niet stilstaan bij alleen één plugin of één leverancier.

Gerelateerde lectuur: bereid je voor op agentische en supply chain risico’s

Wil je je verdediging breder trekken dan alleen dit incident? Lees dan ook:

• Waarom de harness telt bij agentic pentesting
• PHP-kwetsbaarheden: bereid je voor op patchen
• Software Supply Chain Security: wat je organisatiepraktijk nodig heeft

Conclusie

UpdraftCentral backdoors vormen een serieuze dreiging omdat gestolen verbindingstoetsen direct kunnen leiden tot het installeren en activeren van rogue plugins met hoge rechten. De kernaanpak is duidelijk: update UpdraftPlus, verbreek en verwijder de UpdraftCentral connection keys, controleer gebruikers en plugins op afwijkingen en vervang waar nodig wachtwoorden en credentials.

Heb je UpdraftCentral gebruikt? Handle dan vandaag nog volgens de checklist. Zo verklein je de kans dat oude sleutels nog actief misbruikt worden en dat een backdoor zich blijft handhaven.

Bron: https://thehackernews.com/2026/10/attackers-abuse-updraftcentral-keys-to.html