کلیدهای سرقت‌شده UpdraftCentral برای نصب درِ پشتی روی سایت‌های وردپرسی استفاده شد

کلیدهای اتصال UpdraftCentral که برای مدیریت چند سایت وردپرسی از یک داشبورد مرکزی ساخته شده‌اند، پس از نفوذ به زیرساخت TeamUpdraft در اختیار مهاجمان قرار گرفته‌اند و اکنون شواهدی از استفاده آن‌ها برای نصب افزونه‌های درِ پشتی دیده می‌شود. اهمیت ماجرا در این است که حمله الزاماً از یک حفره تازه در خود وردپرس یا افزونه UpdraftPlus عبور نمی‌کند؛ فرمان مخرب می‌تواند با کلیدی وارد شود که سایت مقصد آن را معتبر می‌شناسد.

گزارش ۲۰ اکتبر ۲۰۲۶ BleepingComputer می‌گوید TeamUpdraft در آخرهفته ۱۷ و ۱۸ اکتبر دسترسی غیرمجاز به وب‌سایت خود را شناسایی کرد. شرکت اعلام کرده مسیر ورود را بسته، همه حساب‌ها را از نشست‌های فعال خارج کرده و کلیدها و اعتبارنامه‌هایی را که احتمال می‌رفت در معرض دسترسی قرار گرفته باشند جایگزین کرده است. با این حال، گزارش‌های شرکت‌های امنیتی نشان می‌دهد بخشی از کلیدهای سرقت‌شده پیش از تکمیل مهار برای صدور فرمان روی سایت‌های متصل به کار رفته‌اند.

چه داده‌ای در معرض دسترسی قرار گرفت؟

TeamUpdraft گمان می‌کند مهاجم به پایگاه داده مشتریان دست یافته است. این پایگاه، افزون بر اطلاعات مشتری، صورت‌حساب و سابقه سفارش، شامل هش گذرواژه، تنظیمات احراز هویت دومرحله‌ای و کلیدهای اتصال سرویس‌های UpdraftCentral، UpdraftVault و UpdraftClone بوده است. شرکت می‌گوید اطلاعات پرداخت را در این سامانه نگهداری نمی‌کرده و فایل‌ها و مسیر دانلود افزونه UpdraftPlus نیز از این رخداد آسیب ندیده‌اند.

این تفکیک مهم است. در دسترس قرارگرفتن هش گذرواژه به معنی افشای خودکار گذرواژه همه کاربران نیست و وجود اطلاعات احراز هویت دومرحله‌ای نیز به‌تنهایی ثابت نمی‌کند که کدهای دومرحله‌ای همه حساب‌ها قابل استفاده بوده‌اند. در مقابل، کلید اتصال UpdraftCentral مستقیماً برای اعتماد میان داشبورد مدیریت و سایت مقصد به کار می‌رود. اگر چنین کلیدی همچنان روی سایت معتبر باشد، مهاجم می‌تواند از همان کانال مجاز برای فرستادن فرمان استفاده کند.

سرویس‌های UpdraftCentral که به‌صورت خودمیزبان اجرا می‌شوند، طبق توضیح شرکت تحت تأثیر این رخداد نیستند. نسخه ابری و سایت‌هایی که با کلیدهای ابری یا Migrator متصل شده‌اند در کانون نگرانی قرار دارند. BleepingComputer به برآوردی اشاره می‌کند که حدود ۱۰ درصد سایت‌های استفاده‌کننده از UpdraftPlus ممکن است چنین کلیدی داشته باشند؛ رقمی که دامنه بالقوه را نزدیک به ۴۰۰ هزار سایت قرار می‌دهد. این عدد برآورد سایت‌های بالقوه در معرض خطر است، نه شمار سایت‌های هک‌شده.

شواهد بهره‌برداری واقعی چیست؟

به‌گفته پژوهشگران Patchstack، حملات از ۱۸ اکتبر ساعت ۱۵:۳۲ به وقت UTC آغاز شده و برای اجرای کد و ساخت حساب‌هایی با دسترسی کامل مدیر استفاده شده است. آن‌ها دست‌کم ۹۹ نام متفاوت برای افزونه‌های درِ پشتی ثبت کرده‌اند؛ نام‌هایی که به شکل ابزارهای نگهداری یا بهینه‌سازی عادی نمایش داده می‌شوند. رونما نام این فایل‌ها یا جزئیات عملیاتی قابل سوءاستفاده را بازنشر نمی‌کند، اما مدیران باید افزونه‌ها و حساب‌های مدیریتی تازه یا ناشناس را با سابقه تغییرات خود تطبیق دهند.

شرکت امنیتی Nethemba نیز گفته سه سایت خودش هدف قرار گرفته و افزونه مخرب روی دو سایت با موفقیت نصب شده است. هر سه سایت WordPress 7.1.3 و UpdraftPlus 2.26.11 داشتند و در برابر آسیب‌پذیری قدیمی CVE-2026-10795 وصله شده بودند. این مشاهده نشان می‌دهد به‌روز بودن در برابر آن حفره قدیمی برای مهار این حمله کافی نبوده است، زیرا مهاجم از کلید معتبر داشبورد استفاده کرده، نه از همان آسیب‌پذیری نرم‌افزاری.

چرا نسخه 1.26.12 یا 2.26.12 کافی نیست؟

طبق گزارش Nethemba که BleepingComputer نقل کرده، انتشار نخست برای بی‌اعتبارکردن کلیدهای UpdraftCentral Cloud در نسخه‌های 1.26.12 و 2.26.12 یک اشکال اجرایی داشت و در بعضی شرایط کلیدهای قبلی را حذف نمی‌کرد. توصیه فعلی ارتقا به UpdraftPlus 1.26.13 برای نسخه رایگان یا 2.26.13 برای نسخه Premium، یا هر نسخه جدیدتر است.

شماره نسخه به‌تنهایی پایان کار نیست. مدیر باید پس از به‌روزرسانی وارد هر سایت شود و اتصال‌های موجود UpdraftCentral را از بخش ابزارهای پیشرفته مدیریت کند. مسیر گزارش‌شده در رابط انگلیسی افزونه از Settings، سپس UpdraftPlus Backups، Advanced Tools و UpdraftCentral به گزینه Manage existing keys می‌رسد. کلیدهای قدیمی باید حذف و اتصال‌های لازم دوباره با اعتبارنامه تازه برقرار شوند.

ترتیب اقدام دفاعی برای مدیران سایت

نخست نسخه نصب‌شده UpdraftPlus و نوع اتصال به UpdraftCentral بررسی شود. اگر سایت به سرویس ابری متصل بوده است، ارتقا به نسخه اصلاح‌شده و حذف کلیدهای موجود باید در اولویت باشد. سپس اعتبارنامه فضای ذخیره‌سازی پشتیبان چرخانده و اتصال آن دوباره مجاز شود؛ TeamUpdraft این اقدام را حتی در شرایطی توصیه کرده که فایل‌های پشتیبان داخل فضای ذخیره‌سازی مشتری دست‌نخورده‌اند.

گام بعدی بررسی حساب‌های مدیر، افزونه‌های تازه، زمان نصب فایل‌ها و گزارش‌های ورود و اجرای فرمان است. نبود نام آشنا در فهرست افزونه‌ها اثبات سالم‌بودن نیست، زیرا افزونه مخرب می‌تواند با نامی شبیه ابزار نگهداری ظاهر شود. در مقابل، صرف وجود یک فایل ناشناخته هم نباید بدون بررسی به معنای نفوذ قطعی تلقی شود. زمان ایجاد، منبع نصب، امضای فایل و سابقه فعالیت حساب مدیر باید کنار هم دیده شوند.

اگر نشانه نفوذ تأیید شد، پاک‌کردن افزونه مشکوک به‌تنهایی کافی نیست. گزارش منبع بازگردانی از نسخه پشتیبان سالم، تغییر گذرواژه حساب TeamUpdraft، لغو همه نشست‌ها و بازنشانی روش احراز هویت دومرحله‌ای را توصیه می‌کند. گذرواژه‌های تکراری در سرویس‌های دیگر نیز باید جداگانه تغییر کنند، اما مدیر نباید فرض کند هر نسخه پشتیبان موجود سالم است؛ زمان تهیه نسخه و آغاز فعالیت مهاجم باید مقایسه شود.

این رخداد چه تفاوتی با یک آسیب‌پذیری عادی افزونه دارد؟

در یک حفره معمول، اصلاح کد آسیب‌پذیر می‌تواند مسیر ورود را ببندد. در این پرونده، مسئله اصلی زنجیره اعتماد است: کلیدی که برای مدیریت قانونی چند سایت ساخته شده، پس از سرقت همچنان می‌تواند از نگاه سایت مقصد معتبر باشد. به همین دلیل، اصلاح نرم‌افزار باید همراه با لغو کلیدهای قبلی و ساخت اتصال تازه انجام شود. همین ویژگی همچنین توضیح می‌دهد چرا سایت دارای نسخه تازه وردپرس می‌تواند هدف قرار گیرد.

تا این مرحله، عددی رسمی از کل سایت‌های واقعاً آلوده منتشر نشده است. سه سایت هدف‌گرفته‌شده Nethemba و دو نصب موفق، شواهد واقعی بهره‌برداری‌اند، اما نمی‌توان آن‌ها را به صدها هزار سایت تعمیم داد. رقم ۴۰۰ هزار، برآورد دامنه بالقوه کلیدهای موجود است. مدیران باید مسئله را جدی بگیرند، ولی از تبدیل «در معرض خطر» به «هک‌شده» خودداری کنند.

درس عملی رخداد فراتر از یک افزونه است: هر سامانه مدیریت متمرکز که بتواند روی چند سایت فرمان اجرا کند، نقطه‌ای با امتیاز دسترسی بالا ایجاد می‌کند. موجودی دقیق کلیدها، امکان لغو سریع، ثبت فرمان‌های صادرشده و جداسازی دسترسی‌ها باید بخشی از طراحی و بهره‌برداری آن باشد. در کوتاه‌مدت، مهم‌ترین اقدام برای کاربران UpdraftCentral بررسی نوع اتصال، ارتقا به نسخه اصلاح‌شده، حذف کلیدهای قبلی و جست‌وجوی نشانه‌های تغییر غیرمجاز است.