UpdraftCentral-nycklar komprometterade: en checklista sajt för sajt för byråer

Helgen den 17–18 oktober 2026 upptäckte TeamUpdraft (företaget bakom UpdraftPlus) obehörig åtkomst till teamupdraft.com och konstaterade att kunddatabasen hade lästs. Databasen innehöll bland annat anslutningsnycklarna till UpdraftCentral, UpdraftVault och UpdraftClone. Den 21 oktober bekräftade TeamUpdraft att angriparen använde en komprometterad UpdraftCentral-nyckel för att skapa administratörskonton och installera plugins på sajter; den fulla omfattningen utreds fortfarande. Om du hanterar kundsajter via UpdraftCentral (moln), behandla varje sajt som fanns listad där före den 18 oktober som möjligen påverkad. Den här guiden gör de officiella råden till en checklista sajt för sajt som du kan ge till vem som helst i teamet, och tar upp vad du säger till kunderna.

Allt om själva incidenten kommer från TeamUpdrafts säkerhetsmeddelande (publicerat den 19 oktober, senast uppdaterat den 22 oktober när detta skrevs). Kontrollera det senaste läget där innan du börjar.

Först: är du påverkad?

• Du använde UpdraftCentral (moln) för att hantera sajter: påverkad. Anslutningsnycklarna komprometterades och minst en användes. Gå igenom varje listad sajt i dag.
• Du använder självhostad UpdraftCentral: inte påverkad, enligt TeamUpdraft.
• Du använder UpdraftVault: alla sajter kopplades bort och nya inloggningsuppgifter utfärdades. Du måste ansluta varje sajt igen (se nedan).
• Du har delat UpdraftClone-nycklar med kunder: gamla nycklar fungerar inte längre; skicka de nya till dina kunder.
• Du har över huvud taget ett teamupdraft.com-konto: byt det lösenordet och överallt där du har återanvänt det.
• Gratis UpdraftPlus utan teamupdraft.com-konto: ingen åtgärd krävs, men håll pluginet uppdaterat.

Nedladdningarna av pluginet påverkades inte, och inte heller säkerhetskopior som du skickar till din egen fjärrlagring (Google Drive, Dropbox, Amazon S3 och liknande). TeamUpdraft lagrade inga kortuppgifter. Om en sajt nåddes via UpdraftCentral råder TeamUpdraft dig att auktorisera fjärrlagringen igen och för säkerhets skull byta lagringens åtkomstnycklar.

Gör en lista innan du rör något

Med många kundsajter är risken att du hoppar över en. Exportera eller kopiera först listan över sajter som är anslutna till UpdraftCentral och ge varje sajt en rad: sajt, vem som kontrollerade, tid, administratörer OK, plugins OK, nyckel raderad, lösenord bytta, ansluten igen. Det tar fem minuter och är det du visar kunden efteråt.

Checklistan för varje ansluten sajt

Gör detta via sajtens egen WordPress-panel (logga in direkt på sajten), inte via UpdraftCentral. Skriv in adressen själv i stället för att klicka på länkar i mejl.

1. Uppdatera UpdraftPlus till 1.26.13 (gratis) eller 2.26.13 (Premium) eller senare. Dessa versioner återkallar UpdraftCentral-anslutningsnycklar som skapades före 13:07 BST den 18 oktober. WordPress.org rullade ut uppdateringen automatiskt, men kontrollera versionen på varje sajt.
2. Radera den gamla anslutningsnyckeln under Inställningar → UpdraftPlus → Advanced Tools → UpdraftCentral.
3. Kontrollera Användare. Filtrera på Administratör och Redaktör och ta bort alla konton du inte känner igen. Anteckna användarnamn och skapandedatum innan du raderar; du kan behöva dem senare.
4. Kontrollera Tillägg, inklusive fliken Must-Use. Ta bort allt du inte själv har installerat. Angripare gillar plugins med oskyldigt klingande namn, och must-use-plugins syns inte i den vanliga listan.
5. Byt lösenord för alla administratörskonton, inklusive din egen byrås konto på sajten.
6. Ser något misstänkt ut, återställ en säkerhetskopia från före den 17 oktoberoch upprepa sedan kontrollerna på den återställda sajten.
7. Auktorisera fjärrlagringen igen (Google Drive, Dropbox, S3 och liknande) och byt de åtkomstnycklarna om sajten fanns listad i UpdraftCentral.
8. Anslut sajten till UpdraftCentral igen först när stegen ovan är klara. Sajter som du ansluter igen på det här sättet kopplas inte bort igen av uppdateringen.

Titta lite längre än den officiella listan

De officiella stegen täcker de uppenbara ingångarna. På sajter som spelar roll (butiker, medlemssajter, allt med kunddata), lägg tio minuter till:

• Okända filer och mappar i webbroten och i wp-content, och okända IP-adresser i dina åtkomstloggar, särskilt nyligen ändrade PHP-filer eller mappar med slumpmässiga namn eller bara siffror.
• Schemalagda uppgifter som du inte känner igen (WP-Cron-poster, via ett verktyg som WP Crontrol eller WP-CLI wp cron event list).
• Applikationslösenord på administratörsprofiler. De överlever ett vanligt lösenordsbyte.
• Utgående omdirigeringar och spam: öppna sajten i en telefon, utloggad, och sök på Google efter site:clientdomain.com för att hitta sidor du aldrig har skapat.
• Skanningen efter skadlig kod i ditt säkerhetsplugin eller hos ditt webbhotell, körd en gång nu när du vet att det kanske finns något att hitta.

UpdraftVault och UpdraftClone

UpdraftVault: gå på varje sajt till Inställningar → UpdraftPlus → Settings, välj UpdraftVault som fjärrlagring, klicka på Connect under ”Already got space?”, ange din teamupdraft.com-e-post med det nya lösenordet, spara och kör en manuell säkerhetskopia för att bevisa att det fungerar. Tills du gör det skickar de sajterna inga säkerhetskopior till Vault.

UpdraftClone: har du aldrig skapat kundnycklar finns inget att göra. Har du gjort det, kopiera de nya nycklarna från My Account → UpdraftClone → UpdraftClone Key Management och skicka dem till de kunder som använder dem.

Vad du säger till dina kunder

Kunder hör om intrång via nyheterna eller från en nervös kollega. Det är bättre att de hör det från dig, kort och med jobbet redan gjort. Ett kort meddelande räcker:

”Ett verktyg för säkerhetskopiering som vi använder meddelade en säkerhetsincident den 19 oktober. Vi har kontrollerat din sajt: inga okända administratörskonton eller plugins, lösenord bytta, anslutningen förnyad. Du behöver inte göra något. Vi håller ett öga på det.”

Skicka det först när det stämmer för den sajten. Har du hittat något, säg vad du hittade, vad du återställde och vad du bevakar härnäst. Se också upp för nätfiske: TeamUpdraft säger att de aldrig ber om lösenord eller nycklar via mejl, så alla meddelanden som gör det kommer inte från dem.

Lärdomen för varje central panel

Det här handlar inte bara om en leverantör. Varje verktyg som hanterar många sajter från ett ställe har en nyckel till var och en av dem: en panel för säkerhetskopior, en hanteringskonsol, en hostingpanel. Några vanor begränsar skadan när ett av dem drabbas av intrång:

• Håll en aktuell lista över vilka verktyg som är anslutna till vilka kundsajter.
• Använd unika lösenord och tvåfaktorsautentisering på varje leverantörskonto.
• Förvara säkerhetskopior på en plats du själv styr över, i mer än en kopia, och testa att de går att återställa.
• Välj hellre verktyg som loggar varje inloggning och varje åtgärd på en sajt, och som sajtägaren kan stänga av inifrån WordPress.
• Vet vem i teamet som gör vad på dagen för en incident, innan den dagen kommer.

Så hanterar Verploy det

Verploy ansluter till kundsajter via ett litet connector-plugin. Inloggningar med ett klick till WP Admin från Verploy loggas, och sajtägaren kan stänga av dem i WordPress (Inställningar → Verploy). Varje uppdatering kontrolleras. Riskabla testas först på en kopia. Mer på sidan WordPress-underhåll för byråer .