UpdraftCentral-nøgler kompromitteret: en tjekliste site for site til bureauer

I weekenden den 17.–18. oktober 2026 opdagede TeamUpdraft (firmaet bag UpdraftPlus) uautoriseret adgang til teamupdraft.com og fandt ud af, at der var blevet tilgået deres kundedatabase. Den database indeholdt blandt andet forbindelsesnøglerne til UpdraftCentral, UpdraftVault og UpdraftClone. Den 21. oktober bekræftede TeamUpdraft, at angriberen brugte en kompromitteret UpdraftCentral-nøgle til at oprette administratorkonti og installere plugins på sites; det fulde omfang undersøges stadig. Hvis du administrerer kundesites via UpdraftCentral (cloud), så behandl hvert site, der stod der før den 18. oktober, som muligvis berørt. Denne guide gør de officielle råd til en tjekliste site for site, som du kan give til hvem som helst i teamet, og fortæller, hvad du siger til kunderne.

Alt om selve hændelsen kommer fra TeamUpdrafts sikkerhedsmeddelelse (offentliggjort den 19. oktober, senest opdateret den 22. oktober, da dette blev skrevet). Tjek den for den seneste status, før du går i gang.

Først: er du berørt?

• Du brugte UpdraftCentral (cloud) til at administrere sites: berørt. Forbindelsesnøglerne blev kompromitteret, og mindst én blev brugt. Gå hvert listet site igennem i dag.
• Du bruger selvhostet UpdraftCentral: ikke berørt ifølge TeamUpdraft.
• Du bruger UpdraftVault: alle sites blev frakoblet, og der blev udstedt nye loginoplysninger. Du skal forbinde hvert site igen (se nedenfor).
• Du har delt UpdraftClone-nøgler med kunder: gamle nøgler virker ikke længere; send dine kunder de nye.
• Du har overhovedet en teamupdraft.com-konto: skift den adgangskode og alle steder, hvor du har genbrugt den.
• Gratis UpdraftPlus uden teamupdraft.com-konto: ingen handling nødvendig, men hold pluginet opdateret.

Plugin-downloads blev ikke berørt, og det gjorde backups, du sender til dit eget eksterne lager (Google Drive, Dropbox, Amazon S3 og lignende), heller ikke. TeamUpdraft gemte ikke kortoplysninger. Hvis et site kunne nås via UpdraftCentral, anbefaler TeamUpdraft at godkende det eksterne lager igen og for en sikkerheds skyld skifte lagerets adgangsnøgler.

Lav en liste, før du rører noget

Med mange kundesites er risikoen, at du springer et over. Eksporter eller kopier først listen over sites, der er forbundet til UpdraftCentral, og giv hvert site en række: site, hvem der tjekkede, tidspunkt, administratorer OK, plugins OK, nøgle slettet, adgangskoder skiftet, forbundet igen. Det tager fem minutter, og det er det, du viser kunden bagefter.

Tjeklisten for hvert forbundet site

Gør det via sitets eget WordPress-kontrolpanel (log ind direkte på sitet), ikke via UpdraftCentral. Skriv selv adressen i stedet for at klikke på links i e-mails.

1. Opdater UpdraftPlus til 1.26.13 (gratis) eller 2.26.13 (Premium) eller nyere. Disse udgivelser tilbagekalder UpdraftCentral-forbindelsesnøgler, der blev oprettet før kl. 13:07 BST den 18. oktober. WordPress.org rullede opdateringen ud automatisk, men tjek versionen på hvert site.
2. Slet den gamle forbindelsesnøgle under Indstillinger → UpdraftPlus → Advanced Tools → UpdraftCentral.
3. Tjek Brugere. Filtrer på Administrator og Redaktør, og fjern alle konti, du ikke genkender. Noter brugernavn og oprettelsesdato, før du sletter den; du kan få brug for dem senere.
4. Tjek Plugins, inklusive fanen Must-Use. Fjern alt, du ikke selv har installeret. Angribere kan lide plugins med harmløst klingende navne, og must-use-plugins vises ikke på den almindelige liste.
5. Skift adgangskoderne til alle administratorkonti, inklusive dit eget bureaus konto på sitet.
6. Ser noget mistænkeligt ud, så gendan en backup fra før den 17. oktober, og gentag derefter tjekkene på det gendannede site.
7. Godkend det eksterne lager igen (Google Drive, Dropbox, S3 og lignende), og skift de adgangsnøgler, hvis sitet stod i UpdraftCentral.
8. Forbind sitet til UpdraftCentral igen først når trinene ovenfor er gjort. Sites, du forbinder igen på denne måde, bliver ikke frakoblet igen af opdateringen.

Kig lidt længere end den officielle liste

De officielle trin dækker de oplagte indgange. På sites, der betyder noget (shops, medlemssites, alt med kundedata), så brug ti minutter mere:

• Ukendte filer og mapper i webroden og i wp-content, og ukendte IP-adresser i dine adgangslogs, især nyligt ændrede PHP-filer eller mapper med tilfældige navne eller kun tal.
• Planlagte opgaver som du ikke genkender (WP-Cron-poster, via et værktøj som WP Crontrol eller WP-CLI wp cron event list).
• Applikationsadgangskoder på administratorprofiler. De overlever et almindeligt skift af adgangskode.
• Udgående omdirigeringer og spam: åbn sitet på en telefon, logget ud, og søg i Google efter site:clientdomain.com for at finde sider, du aldrig har lavet.
• Malwarescanningen i dit sikkerhedsplugin eller hos din host, kørt én gang nu, hvor du ved, at der måske er noget at finde.

UpdraftVault og UpdraftClone

UpdraftVault: gå på hvert site til Indstillinger → UpdraftPlus → Settings, vælg UpdraftVault som eksternt lager, klik på Connect under “Already got space?”, indtast din teamupdraft.com-e-mail med den nye adgangskode, gem, og kør én manuel backup for at bevise, at det virker. Indtil du gør det, sender de sites ikke backups til Vault.

UpdraftClone: har du aldrig oprettet kundenøgler, er der intet at gøre. Har du, så kopier de nye nøgler fra My Account → UpdraftClone → UpdraftClone Key Management, og send dem til de kunder, der bruger dem.

Hvad du fortæller dine kunder

Kunder hører om brud fra nyhederne eller fra en nervøs kollega. Det er bedre, at de hører det fra dig, kort og med arbejdet allerede gjort. En kort besked er nok:

“Et backupværktøj, vi bruger, meldte om en sikkerhedshændelse den 19. oktober. Vi har tjekket dit site: ingen ukendte administratorkonti eller plugins, adgangskoder skiftet, forbindelse fornyet. Du skal ikke gøre noget. Vi holder øje med det.”

Send det først, når det er sandt for det site. Har du fundet noget, så sig, hvad du fandt, hvad du gendannede, og hvad du holder øje med nu. Pas også på phishing: TeamUpdraft siger, at de aldrig beder om adgangskoder eller nøgler på e-mail, så enhver besked, der gør det, er ikke fra dem.

Læren for ethvert centralt dashboard

Det handler ikke kun om én leverandør. Ethvert værktøj, der administrerer mange sites fra ét sted, har en nøgle til hvert af dem: et backupdashboard, en administrationskonsol, et hostingpanel. Nogle få vaner begrænser skaden, når et af dem bliver brudt:

• Hold en opdateret liste over, hvilke værktøjer der er forbundet til hvilke kundesites.
• Brug unikke adgangskoder og totrinsbekræftelse på hver leverandørkonto.
• Opbevar backups et sted, du selv styrer, i mere end én kopi, og test, at de kan gendannes.
• Vælg helst værktøjer, der logger hvert login og hver handling på et site, og som site-ejeren kan slå fra inde i WordPress.
• Vid, hvem i teamet der gør hvad på dagen for en hændelse, før den dag kommer.

Sådan håndterer Verploy det

Verploy forbinder til kundesites via et lille connector-plugin. Login med ét klik til WP Admin fra Verploy bliver registreret, og site-ejeren kan slå det fra i WordPress (Indstillinger → Verploy). Hver opdatering bliver tjekket. Risikable testes først på en kopi. Mere på siden WordPress-vedligeholdelse for bureauer .