Chiavi UpdraftCentral compromesse: una checklist sito per sito per le agenzie

Nel fine settimana del 17–18 ottobre 2026, TeamUpdraft (l’azienda dietro UpdraftPlus) ha rilevato un accesso non autorizzato a teamupdraft.com e ha scoperto che il suo database clienti era stato consultato. Quel database conteneva, tra l’altro, le chiavi di connessione di UpdraftCentral, UpdraftVault e UpdraftClone. Il 21 ottobre TeamUpdraft ha confermato che l’attaccante ha usato una chiave UpdraftCentral compromessa per creare account amministratore e installare plugin sui siti; la portata completa è ancora in fase di verifica. Se gestisci siti dei clienti tramite UpdraftCentral (cloud), considera ogni sito che vi era elencato prima del 18 ottobre come possibilmente toccato. Questa guida trasforma le indicazioni ufficiali in una checklist sito per sito che puoi affidare a chiunque nel tuo team, e aggiunge cosa dire ai clienti.

Tutto ciò che riguarda l’incidente in sé proviene da l’avviso di sicurezza di TeamUpdraft (pubblicato il 19 ottobre, aggiornato l’ultima volta il 22 ottobre al momento della stesura). Controllalo per lo stato più recente prima di iniziare.

Prima di tutto: sei coinvolto?

• Hai usato UpdraftCentral (cloud) per gestire siti: coinvolto. Le sue chiavi di connessione sono state compromesse e almeno una è stata usata. Controlla oggi ogni sito elencato.
• Usi UpdraftCentral self-hosted: non coinvolto, secondo TeamUpdraft.
• Usi UpdraftVault: tutti i siti sono stati scollegati e sono state emesse nuove credenziali. Devi ricollegare ogni sito (vedi sotto).
• Hai condiviso chiavi UpdraftClone con i clienti: le vecchie chiavi non funzionano più; invia ai clienti quelle nuove.
• Hai un qualsiasi account teamupdraft.com: cambia quella password e ovunque tu l’abbia riutilizzata.
• UpdraftPlus gratuito senza account teamupdraft.com: nessuna azione richiesta, ma tieni il plugin aggiornato.

I download del plugin non sono stati toccati, e nemmeno i backup che invii al tuo spazio di archiviazione remoto (Google Drive, Dropbox, Amazon S3 e simili). TeamUpdraft non conservava i dati delle carte. Se un sito era raggiungibile tramite UpdraftCentral, TeamUpdraft consiglia di autorizzare di nuovo l’archiviazione remota e di cambiare per precauzione le chiavi di accesso.

Fai una lista prima di toccare qualsiasi cosa

Con molti siti di clienti, il rischio è saltarne uno. Esporta o copia prima la lista dei siti collegati a UpdraftCentral e dai a ogni sito una riga: sito, chi l’ha controllato, ora, amministratori OK, plugin OK, chiave eliminata, password cambiate, ricollegato. Ci vogliono cinque minuti ed è ciò che mostrerai al cliente dopo.

La checklist per ogni sito collegato

Fallo dalla bacheca WordPress del sito stesso (accedi direttamente al sito), non tramite UpdraftCentral. Digita tu l’indirizzo invece di cliccare sui link nelle email.

1. Aggiorna UpdraftPlus a 1.26.13 (gratuito) o 2.26.13 (Premium) o successivo. Queste release revocano le chiavi di connessione UpdraftCentral create prima delle 13:07 BST del 18 ottobre. WordPress.org ha distribuito l’aggiornamento automaticamente, ma controlla la versione su ogni sito.
2. Elimina la vecchia chiave di connessione in Impostazioni → UpdraftPlus → Advanced Tools → UpdraftCentral.
3. Controlla Utenti. Filtra per Amministratore e per Editore e rimuovi ogni account che non riconosci. Annota nome utente e data di creazione prima di eliminarlo; potrebbero servirti in seguito.
4. Controlla Plugin, compresa la scheda Must-Use. Rimuovi tutto ciò che non hai installato tu. Gli attaccanti amano i plugin dai nomi innocui, e i plugin must-use non compaiono nella lista normale.
5. Cambia le password di tutti gli account amministratore, compreso l’account della tua agenzia su quel sito.
6. Se qualcosa sembra sospetto, ripristina un backup precedente al 17 ottobre, poi ripeti i controlli sul sito ripristinato.
7. Autorizza di nuovo l’archiviazione remota (Google Drive, Dropbox, S3 e simili) e cambia quelle chiavi di accesso se il sito era elencato in UpdraftCentral.
8. Ricollega il sito a UpdraftCentral solo quando i passaggi precedenti sono completati. I siti ricollegati in questo modo non verranno scollegati di nuovo dall’aggiornamento.

Guarda un po’ oltre la lista ufficiale

I passaggi ufficiali coprono i punti di ingresso ovvi. Sui siti che contano (negozi, siti con aree riservate, tutto ciò che contiene dati dei clienti), dedica dieci minuti in più:

• File e cartelle sconosciuti nella root web e in wp-content, e indirizzi IP insoliti nei log di accesso, soprattutto file PHP modificati di recente o cartelle con nomi casuali o solo numeri.
• Attività pianificate che non riconosci (voci WP-Cron, con uno strumento come WP Crontrol o WP-CLI wp cron event list).
• Password per le applicazioni nei profili amministratore. Sopravvivono a un normale cambio di password.
• Reindirizzamenti in uscita e spam: apri il sito su un telefono, senza essere connesso, e cerca su Google site:clientdomain.com per individuare pagine che non hai mai creato.
• La scansione malware del tuo plugin di sicurezza o del tuo hosting, eseguita una volta ora che sai che potrebbe esserci qualcosa da trovare.

UpdraftVault e UpdraftClone

UpdraftVault: su ogni sito vai su Impostazioni → UpdraftPlus → Settings, scegli UpdraftVault come archiviazione remota, clicca su Connect sotto “Already got space?”, inserisci la tua email teamupdraft.com con la nuova password, salva ed esegui un backup manuale per verificare che funzioni. Finché non lo fai, quei siti non inviano backup a Vault.

UpdraftClone: se non hai mai creato chiavi per i clienti, non c’è nulla da fare. Se lo hai fatto, copia le nuove chiavi da My Account → UpdraftClone → UpdraftClone Key Management e inviale ai clienti che le usano.

Cosa dire ai tuoi clienti

I clienti vengono a sapere delle violazioni dalle notizie o da un collega preoccupato. È meglio che lo sappiano da te, in breve e con il lavoro già fatto. Basta un messaggio breve:

“Uno strumento di backup che usiamo ha annunciato un incidente di sicurezza il 19 ottobre. Abbiamo controllato il tuo sito: nessun account amministratore o plugin sconosciuto, password cambiate, connessione rinnovata. Non devi fare nulla. Continueremo a tenerlo d’occhio.”

Invialo solo quando è vero per quel sito. Se hai trovato qualcosa, di’ cosa hai trovato, cosa hai ripristinato e cosa stai monitorando. Attenzione anche al phishing: TeamUpdraft dichiara che non chiederà mai password o chiavi via email, quindi qualsiasi messaggio che lo fa non viene da loro.

La lezione per ogni dashboard centrale

Non riguarda un solo fornitore. Ogni strumento che gestisce molti siti da un unico punto ha una chiave per ciascuno di essi: una dashboard di backup, una console di gestione, un pannello di hosting. Alcune abitudini limitano i danni quando uno di essi viene violato:

• Tieni una lista aggiornata di quali strumenti sono collegati a quali siti dei clienti.
• Usa password uniche e l’autenticazione a due fattori su ogni account dei fornitori.
• Conserva i backup in un posto che controlli tu, con più di una copia, e verifica che si possano ripristinare.
• Preferisci strumenti che registrano ogni accesso e ogni azione su un sito, e che il proprietario del sito può disattivare da WordPress.
• Sappi chi fa cosa nel tuo team il giorno di un incidente, prima che quel giorno arrivi.

Come lo gestisce Verploy

Verploy si collega ai siti dei clienti tramite un piccolo plugin connettore. Gli accessi con un clic a WP Admin da Verploy vengono registrati, e il proprietario del sito può disattivarli in WordPress (Impostazioni → Verploy). Ogni aggiornamento viene controllato. Quelli rischiosi vengono prima provati su una copia. Scopri di più nella pagina manutenzione WordPress per agenzie .