UpdraftPlus: ключи скомпрометированы, доступ открыт

Пришло уведомление об обновлении UpdraftPlus — версии 1.26.13 и 2.26.13, вышедшие 19 октября. В них закрыт обход безопасности через скомпрометированные ключи UpdraftCentral. Атакующие получили возможность устанавливать вредоносные плагины и создавать админ-аккаунты без пароля, используя легитимные ключи, которые оказались в чужих руках. Риск — не только заражение, но и полный контроль над сайтом. Система безопасности работала правильно, но ключи были украдены, и тогда всё проходило как «официальная команда».

Прочитал, что у UpdraftPlus, плагина для бэкапов WordPress, скомпрометировали ключи удалённого управления. Это не ошибка в коде, а утечка ключей, которые позволяют отправлять команды на сайт, будто они пришли из официального панели. Система проверяет подпись — и принимает. Атакующие создавали аккаунты с правами редактора, но с привилегиями админа, обходили двухфакторную аутентификацию и устанавливали вредоносные плагины. Их названия — как у легальных, чтобы не бросались в глаза.

Считаю, что главная угроза — не в самом плагине, а в том, что пользователь может и не знать, что его сайт подключён к удалённой панели. По умолчанию это включено. Значит, даже если человек не пользовался функцией, он мог быть в зоне риска. Это не просто «взлом», а системный риск: ключ — это как ключ от двери, который упал в чужие руки.

Уже начал проверять всех клиентов, у которых стоит UpdraftPlus. Проверяю, есть ли подключение к UpdraftCentral, и если есть — обновляю до 1.26.13 или 2.26.13. У тех, у кого ключи ещё активны — удаляю их вручную. Следующей неделей запланировал проверку всех сайтов на наличие вредоносных плагинов и подозрительных пользователей. Даже если обновление блокирует доступ — заражение остаётся, и его надо убирать.