Ключи UpdraftCentral утекли — и это не просто баг

Обсуждали с коллегами статью про утечку ключей UpdraftCentral — и понял, что это не просто «баг», а прямая угроза для любого сайта с этим плагином. Кто-то получил доступ к ключам управления, и теперь через них устанавливаются вредоносные плагины, которые создают скрытые админ-аккаунты. Это не уязвимость в коде, а обход проверки: команды подписаны настоящими ключами, и WordPress их принимает как легитимные. Их не отфильтровывает даже антивирус — они приходят из «доверенного» источника. Всё, что нужно — просто сгенерировать ключ и подключиться к сервису, который встроен в плагин по умолчанию.

Понял, что проблема не в том, что плагин «плохой» — он работает как надо. Проблема в том, что ключи, которые управляют всем, оказались в чужих руках. Атакующий не взламывает сайт — он использует легитимный канал, который работает через стандартные запросы. Плагин устанавливается, активируется, и на месте уже есть скрытый аккаунт с правами админа, который не виден в списке пользователей. Он не требует логина — просто ставит куки и пропускает двухфакторную аутентификацию. Это не просто «взлом» — это постоянная точка входа, которую нельзя найти через стандартные логи.