Przejęte klucze UpdraftCentral: checklista strona po stronie dla agencji

W weekend 17–18 października 2026 roku TeamUpdraft (firma stojąca za UpdraftPlus) wykrył nieuprawniony dostęp do teamupdraft.com i ustalił, że ktoś uzyskał dostęp do bazy danych klientów. W tej bazie znajdowały się między innymi klucze połączenia do UpdraftCentral, UpdraftVault i UpdraftClone. 21 października TeamUpdraft potwierdził, że atakujący użył przejętego klucza UpdraftCentral, aby tworzyć konta administratora i instalować wtyczki na stronach; pełna skala wciąż jest badana. Jeśli zarządzasz stronami klientów przez UpdraftCentral (chmura), traktuj każdą stronę, która była tam na liście przed 18 października, jako potencjalnie naruszoną. Ten poradnik zamienia oficjalne zalecenia w checklistę strona po stronie, którą możesz przekazać każdemu w zespole, i podpowiada, co powiedzieć klientom.

Wszystkie informacje o samym incydencie pochodzą z komunikatu bezpieczeństwa TeamUpdraft (opublikowanego 19 października, ostatnio zaktualizowanego 22 października w chwili pisania). Sprawdź tam najnowszy stan, zanim zaczniesz.

Najpierw: czy to cię dotyczy?

• Używałeś UpdraftCentral (chmura) do zarządzania stronami: dotyczy. Klucze połączenia zostały przejęte, a co najmniej jeden został użyty. Przejdź dziś przez każdą stronę z listy.
• Używasz samodzielnie hostowanego UpdraftCentral: nie dotyczy, według TeamUpdraft.
• Używasz UpdraftVault: wszystkie strony zostały odłączone i wydano nowe dane logowania. Musisz ponownie połączyć każdą stronę (zobacz niżej).
• Udostępniałeś klientom klucze UpdraftClone: stare klucze już nie działają; wyślij klientom nowe.
• Masz jakiekolwiek konto w teamupdraft.com: zmień to hasło i wszędzie tam, gdzie go użyłeś ponownie.
• Darmowy UpdraftPlus bez konta w teamupdraft.com: nie musisz nic robić, ale aktualizuj wtyczkę.

Pliki do pobrania wtyczki nie zostały naruszone, podobnie jak kopie zapasowe wysyłane do twojego własnego zdalnego magazynu (Google Drive, Dropbox, Amazon S3 i podobne). TeamUpdraft nie przechowywał danych kart. Jeśli strona była dostępna przez UpdraftCentral, TeamUpdraft zaleca ponowną autoryzację zdalnego magazynu i zapobiegawczą zmianę kluczy dostępu do niego.

Zrób listę, zanim czegokolwiek dotkniesz

Przy wielu stronach klientów ryzykiem jest pominięcie jednej. Najpierw wyeksportuj lub skopiuj listę stron połączonych z UpdraftCentral i daj każdej stronie wiersz: strona, kto sprawdził, godzina, administratorzy OK, wtyczki OK, klucz usunięty, hasła zmienione, połączona ponownie. To zajmuje pięć minut i właśnie to pokażesz potem klientowi.

Checklista dla każdej połączonej strony

Rób to przez kokpit WordPress samej strony (zaloguj się bezpośrednio na stronie), a nie przez UpdraftCentral. Wpisuj adres samodzielnie, zamiast klikać linki w e-mailach.

1. Zaktualizuj UpdraftPlus do 1.26.13 (darmowy) lub 2.26.13 (Premium) albo nowszej. Te wydania unieważniają klucze połączenia UpdraftCentral utworzone przed 13:07 BST 18 października. WordPress.org rozesłał aktualizację automatycznie, ale sprawdź wersję na każdej stronie.
2. Usuń stary klucz połączenia w Ustawienia → UpdraftPlus → Advanced Tools → UpdraftCentral.
3. Sprawdź Użytkowników. Przefiltruj według roli Administrator i Redaktor i usuń każde konto, którego nie rozpoznajesz. Przed usunięciem zanotuj nazwę użytkownika i datę utworzenia; mogą się przydać później.
4. Sprawdź Wtyczki, łącznie z zakładką Must-Use. Usuń wszystko, czego sam nie instalowałeś. Atakujący lubią wtyczki o niewinnie brzmiących nazwach, a wtyczki must-use nie pojawiają się na zwykłej liście.
5. Zmień hasła wszystkich kont administratora, łącznie z kontem twojej agencji na tej stronie.
6. Jeśli coś wygląda podejrzanie, przywróć kopię zapasową sprzed 17 października, a potem powtórz sprawdzenie na przywróconej stronie.
7. Ponownie autoryzuj zdalny magazyn (Google Drive, Dropbox, S3 i podobne) i zmień te klucze dostępu, jeśli strona była na liście w UpdraftCentral.
8. Połącz stronę ponownie z UpdraftCentral dopiero po wykonaniu powyższych kroków. Strony połączone ponownie w ten sposób nie zostaną znów odłączone przez aktualizację.

Spójrz trochę dalej niż oficjalna lista

Oficjalne kroki obejmują oczywiste punkty wejścia. Na ważnych stronach (sklepy, serwisy członkowskie, wszystko z danymi klientów) poświęć dziesięć minut więcej:

• Nieznane pliki i foldery w katalogu głównym i w wp-content oraz nietypowe adresy IP w logach dostępu, zwłaszcza niedawno zmienione pliki PHP lub foldery o losowych nazwach albo z samych cyfr.
• Zaplanowane zadania których nie rozpoznajesz (wpisy WP-Cron, przez narzędzie takie jak WP Crontrol lub WP-CLI wp cron event list).
• Hasła aplikacji w profilach administratorów. Przetrwają zwykłą zmianę hasła.
• Przekierowania wychodzące i spam: otwórz stronę na telefonie, bez logowania, i wyszukaj w Google site:clientdomain.com , aby wychwycić strony, których nigdy nie tworzyłeś.
• Skan złośliwego oprogramowania we wtyczce bezpieczeństwa lub u hostingodawcy, uruchomiony teraz raz, skoro wiesz, że może być coś do znalezienia.

UpdraftVault i UpdraftClone

UpdraftVault: na każdej stronie przejdź do Ustawienia → UpdraftPlus → Settings, wybierz UpdraftVault jako zdalny magazyn, kliknij Connect pod „Already got space?”, wpisz swój e-mail z teamupdraft.com z nowym hasłem, zapisz i wykonaj jedną ręczną kopię zapasową, aby sprawdzić, że działa. Dopóki tego nie zrobisz, te strony nie wysyłają kopii do Vault.

UpdraftClone: jeśli nigdy nie tworzyłeś kluczy dla klientów, nie musisz nic robić. Jeśli tak, skopiuj nowe klucze z My Account → UpdraftClone → UpdraftClone Key Management i wyślij je klientom, którzy z nich korzystają.

Co powiedzieć klientom

Klienci dowiadują się o wyciekach z wiadomości albo od zdenerwowanego kolegi. Lepiej, żeby usłyszeli to od ciebie, krótko i z pracą już wykonaną. Wystarczy krótka wiadomość:

„Narzędzie do kopii zapasowych, z którego korzystamy, ogłosiło 19 października incydent bezpieczeństwa. Sprawdziliśmy twoją stronę: brak nieznanych kont administratora i wtyczek, hasła zmienione, połączenie odnowione. Nie musisz nic robić. Będziemy to obserwować.”

Wyślij to dopiero wtedy, gdy jest to prawdą dla tej strony. Jeśli coś znalazłeś, powiedz, co znalazłeś, co przywróciłeś i co dalej obserwujesz. Uważaj też na phishing: TeamUpdraft zapewnia, że nigdy nie prosi o hasła ani klucze e-mailem, więc każda wiadomość, która to robi, nie pochodzi od nich.

Lekcja dla każdego centralnego panelu

Nie chodzi tylko o jednego dostawcę. Każde narzędzie, które zarządza wieloma stronami z jednego miejsca, ma klucz do każdej z nich: panel kopii zapasowych, konsola zarządzania, panel hostingu. Kilka nawyków ogranicza szkody, gdy jedno z nich zostanie złamane:

• Prowadź aktualną listę, które narzędzia są połączone z którymi stronami klientów.
• Używaj unikalnych haseł i uwierzytelniania dwuskładnikowego na każdym koncie u dostawców.
• Trzymaj kopie zapasowe w miejscu, które kontrolujesz, w więcej niż jednym egzemplarzu, i sprawdzaj, czy da się je przywrócić.
• Wybieraj narzędzia, które rejestrują każde logowanie i każdą akcję na stronie i które właściciel strony może wyłączyć w WordPress.
• Ustal, kto w zespole co robi w dniu incydentu, zanim ten dzień nadejdzie.

Jak Verploy sobie z tym radzi

Verploy łączy się ze stronami klientów przez małą wtyczkę łączącą. Logowania jednym kliknięciem do WP Admin z Verploy są rejestrowane, a właściciel strony może je wyłączyć w WordPress (Ustawienia → Verploy). Każda aktualizacja jest sprawdzana. Ryzykowne najpierw testowane na kopii. Więcej na stronie utrzymanie WordPress dla agencji .