Chaves do UpdraftCentral comprometidas: um checklist site a site para agências

No fim de semana de 17 e 18 de outubro de 2026, a TeamUpdraft (a empresa por trás do UpdraftPlus) detectou acesso não autorizado ao teamupdraft.com e constatou que seu banco de dados de clientes foi acessado. Esse banco continha, entre outras coisas, as chaves de conexão do UpdraftCentral, UpdraftVault e UpdraftClone. Em 21 de outubro a TeamUpdraft confirmou que o atacante usou uma chave do UpdraftCentral comprometida para criar contas de administrador e instalar plugins em sites; a extensão completa ainda está sendo investigada. Se você gerencia sites de clientes pelo UpdraftCentral (cloud), trate cada site que estava listado lá antes de 18 de outubro como possivelmente atingido. Este guia transforma a orientação oficial em um checklist site a site que você pode entregar a qualquer pessoa da equipe, e acrescenta o que dizer aos clientes.

Tudo sobre o incidente em si vem do aviso de segurança da TeamUpdraft (publicado em 19 de outubro, atualizado pela última vez em 22 de outubro no momento em que este texto foi escrito). Confira o status mais recente antes de começar.

Primeiro: você foi afetado?

• Você usava o UpdraftCentral (cloud) para gerenciar sites: afetado. As chaves de conexão foram comprometidas e pelo menos uma foi usada. Revise hoje cada site listado.
• Você usa o UpdraftCentral auto-hospedado: não afetado, segundo a TeamUpdraft.
• Você usa o UpdraftVault: todos os sites foram desconectados e novas credenciais foram emitidas. Você precisa reconectar cada site (veja abaixo).
• Você compartilhou chaves do UpdraftClone com clientes: as chaves antigas não funcionam mais; envie as novas aos seus clientes.
• Você tem qualquer conta no teamupdraft.com: troque essa senha e em qualquer lugar onde a tenha reutilizado.
• UpdraftPlus gratuito sem conta no teamupdraft.com: nenhuma ação necessária, mas mantenha o plugin atualizado.

Os downloads do plugin não foram afetados, nem os backups que você envia para seu próprio armazenamento remoto (Google Drive, Dropbox, Amazon S3 e similares). A TeamUpdraft não armazenava dados de cartão. Se um site foi acessado pelo UpdraftCentral, a TeamUpdraft recomenda reautorizar o armazenamento remoto e trocar as chaves de acesso do armazenamento por precaução.

Faça uma lista antes de mexer em qualquer coisa

Com muitos sites de clientes, o risco é pular um. Exporte ou copie primeiro a lista de sites conectados ao UpdraftCentral e dê uma linha a cada site: site, quem verificou, horário, administradores OK, plugins OK, chave excluída, senhas trocadas, reconectado. Leva cinco minutos e é o que você vai mostrar ao cliente depois.

O checklist para cada site conectado

Faça isso pelo próprio painel do WordPress do site (entre no próprio site), não pelo UpdraftCentral. Digite o endereço você mesmo em vez de clicar em links de e-mails.

1. Atualize o UpdraftPlus para 1.26.13 (gratuito) ou 2.26.13 (Premium) ou posterior. Essas versões revogam as chaves de conexão do UpdraftCentral criadas antes das 13:07 BST de 18 de outubro. O WordPress.org enviou a atualização automaticamente, mas confira a versão em cada site.
2. Exclua a chave de conexão antiga em Configurações → UpdraftPlus → Advanced Tools → UpdraftCentral.
3. Verifique Usuários. Filtre por Administrador e por Editor e remova qualquer conta que você não reconheça. Anote o nome de usuário e a data de criação antes de excluir; você pode precisar deles depois.
4. Verifique Plugins, incluindo a aba Must-Use. Remova tudo o que você não instalou. Atacantes gostam de plugins com nomes inofensivos, e plugins must-use não aparecem na lista normal.
5. Troque as senhas de todas as contas de administrador, incluindo a conta da sua própria agência nesse site.
6. Se algo parecer suspeito, restaure um backup de antes de 17 de outubroe depois repita as verificações no site restaurado.
7. Reautorize o armazenamento remoto (Google Drive, Dropbox, S3 e similares) e troque essas chaves de acesso se o site estava listado no UpdraftCentral.
8. Reconecte o site ao UpdraftCentral somente depois de concluir os passos acima. Sites reconectados dessa forma não serão desconectados de novo pela atualização.

Olhe um pouco além da lista oficial

Os passos oficiais cobrem as portas de entrada óbvias. Em sites importantes (lojas, sites de membros, qualquer coisa com dados de clientes), reserve mais dez minutos:

• Arquivos e pastas desconhecidos na raiz do site e em wp-content, e endereços IP estranhos nos logs de acesso, principalmente arquivos PHP modificados recentemente ou pastas com nomes aleatórios ou só números.
• Tarefas agendadas que você não reconhece (entradas do WP-Cron, com uma ferramenta como WP Crontrol ou WP-CLI wp cron event list).
• Senhas de aplicativo nos perfis de administrador. Elas sobrevivem a uma troca de senha normal.
• Redirecionamentos de saída e spam: abra o site em um celular, sem login, e pesquise no Google por site:clientdomain.com para encontrar páginas que você nunca criou.
• A verificação de malware do seu plugin de segurança ou da sua hospedagem, executada uma vez agora que você sabe que pode haver algo a encontrar.

UpdraftVault e UpdraftClone

UpdraftVault: em cada site, vá em Configurações → UpdraftPlus → Settings, escolha UpdraftVault como armazenamento remoto, clique em Connect abaixo de “Already got space?”, informe seu e-mail do teamupdraft.com com a nova senha, salve e faça um backup manual para comprovar que funciona. Até fazer isso, esses sites não enviam backups ao Vault.

UpdraftClone: se você nunca criou chaves para clientes, não há nada a fazer. Se criou, copie as novas chaves em My Account → UpdraftClone → UpdraftClone Key Management e envie aos clientes que as usam.

O que dizer aos seus clientes

Clientes ficam sabendo de vazamentos pelo noticiário ou por um colega nervoso. É melhor que saibam por você, de forma breve e com o trabalho já feito. Uma mensagem curta basta:

“Uma ferramenta de backup que usamos anunciou um incidente de segurança em 19 de outubro. Verificamos seu site: nenhuma conta de administrador ou plugin desconhecido, senhas trocadas, conexão renovada. Você não precisa fazer nada. Vamos continuar de olho.”

Só envie isso quando for verdade para aquele site. Se encontrou algo, diga o que encontrou, o que restaurou e o que vai acompanhar a seguir. Cuidado também com phishing: a TeamUpdraft diz que nunca pede senhas ou chaves por e-mail, então qualquer mensagem que peça não é deles.

A lição para todo painel central

Isso não é sobre um único fornecedor. Qualquer ferramenta que gerencia muitos sites a partir de um só lugar guarda uma chave de cada um: um painel de backup, um console de gestão, um painel de hospedagem. Alguns hábitos limitam o estrago quando um deles é invadido:

• Mantenha uma lista atualizada de quais ferramentas estão conectadas a quais sites de clientes.
• Use senhas únicas e autenticação em dois fatores em cada conta de fornecedor.
• Guarde backups em um lugar que você controla, com mais de uma cópia, e teste se eles restauram.
• Prefira ferramentas que registram cada login e cada ação em um site, e que o dono do site pode desativar dentro do WordPress.
• Saiba quem na equipe faz o quê no dia de um incidente, antes que esse dia chegue.

Como a Verploy lida com isso

A Verploy se conecta aos sites dos clientes por meio de um pequeno plugin conector. Logins com um clique no WP Admin a partir da Verploy são registrados, e o dono do site pode desativá-los no WordPress (Configurações → Verploy). Cada atualização é verificada. As arriscadas são testadas primeiro em uma cópia. Mais na página de manutenção de WordPress para agências .