UpdraftPlus e UpdraftCentral: backdoor nei siti WordPress con le chiavi rubate a TeamUpdraft, colpiti anche quelli aggiornati

Nel fine settimana del 17 e 18 ottobre 2026 TeamUpdraft, lo sviluppatore del plugin di backup per WordPress UpdraftPlus, ha rilevato un accesso non autorizzato al proprio sito teamupdraft.com e ritiene che l'intrusione abbia raggiunto il database dei clienti: nomi, indirizzi email e di fatturazione, storico degli ordini, password in forma hash, impostazioni dell'autenticazione a due fattori e le chiavi di connessione di UpdraftCentral, UpdraftVault e UpdraftClone. Nessun dato di carta, perché i pagamenti passano da Stripe e PayPal. Le più delicate sono le chiavi di UpdraftCentral, la console da cui agenzie e amministratori gestiscono a distanza più siti WordPress: chi possiede la chiave di un sito può inviargli comandi firmati che il plugin accetta come legittimi. Il 21 ottobre il vendor ha confermato che l'attaccante ha usato quelle connessioni per creare account amministrativi e installare plugin malevoli con funzioni di backdoor sui siti dei clienti, in misura ancora non nota, e lo sfruttamento attivo è documentato in modo indipendente da Nethemba, Patchstack e Wordfence. Il 22 ottobre ACN ha diffuso un proprio bollettino con le misure per ciascun tipo di utente. Patchstack classifica l'episodio come una compromissione di chiavi, senza CVE: i comandi erano firmati con chiavi valide e superavano i normali controlli del plugin, come spiega anche Wordfence, e per entrare nei siti è bastato rubare le chiavi a chi le custodiva.

A rilevare per prima l'abuso delle chiavi è stata Nethemba, società slovacca di penetration testing, su tre propri siti: nelle prime ore del 19 ottobre due hanno ricevuto un plugin backdoor, mentre il terzo si è salvato perché all'utente legato alla chiave mancavano i permessi necessari. Nethemba ha ricostruito la tecnica, confermata da Patchstack: con una chiave valida l'attaccante inviava un comando firmato di caricamento di un plugin, che WordPress installava e attivava. La telemetria di Patchstack registra installazioni di backdoor dal pomeriggio del 18 ottobre alla mattina del 19, per circa diciotto ore, con 99 nomi diversi di plugin camuffati da strumenti di manutenzione, fra cui ricorre «Site Health Cache». La prima variante, attivata da un token segreto, è scritta per creare un account Editor con i permessi di cambiare le impostazioni e installare plugin, quanto basta per diventare amministratore, e per far entrare l'attaccante con un cookie che aggira login e autenticazione a due fattori. In diversi campioni però un errore di programmazione mandava il sito in errore 500 prima del controllo del token, ed è stata la mail automatica di WordPress su quell'errore ad allertare Nethemba, che con Patchstack avverte di non correggere un plugin del genere: basterebbe a renderlo operativo. Una seconda variante, funzionante, crea direttamente un amministratore o accede come uno già esistente. L'account creato resta anche dopo la rimozione del plugin, e il 22 ottobre il vendor segnalava la comparsa ricorrente di account Editor inattesi. Wordfence, che il 19 ottobre ha rilasciato una regola d'emergenza per il proprio firewall, ha ricevuto segnalazioni di installazioni riuscite anche sulla Premium 2.26.11 e sulla Free 1.26.10 o 1.26.11. Il numero dei siti compromessi non è noto e nessuna fonte attribuisce l'attacco.

La correzione è arrivata in due tempi. Il 19 ottobre sono uscite le versioni 1.26.12 (Free) e 2.26.12 (Premium), la cui pulizia delle chiavi per un difetto poteva saltare, e secondo Nethemba, che ha analizzato il codice, non ne revocava nessuna; poco dopo le 23 italiane dello stesso giorno sono arrivate le 1.26.13 e 2.26.13, distribuite in automatico secondo il vendor, che disconnettono le connessioni UpdraftCentral create prima delle 13.07 ora britannica del 18 ottobre, le 14.07 in Italia. In origine il vendor indicava una soglia più tarda, le 22 ora britannica, e l'ha corretta nel comunicato aggiornato al 23 ottobre: le chiavi create il 18 ottobre fra le 14.07 e le 23 ora italiana restano quindi attive anche con la 1.26.13, e Nethemba e Wordfence consigliano di cancellarle a mano. L'aggiornamento, poi, non rimuove backdoor e account già installati, e l'attaccante non si è fermato: la mattina del 21 ottobre, con la 1.26.13 già disponibile, ha inviato nuovi comandi a due siti di Nethemba, bloccati da un plugin difensivo installato nel frattempo. È il secondo episodio in cinque mesi sullo stesso canale di comunicazione remota: a giugno la CVE-2026-10795, un authentication bypass con CVSS 8.1 corretto nelle versioni 1.26.5 e 2.26.5, permetteva di forgiare comandi senza alcuna chiave, e secondo Patchstack i tentativi di sfruttamento contro le versioni precedenti continuano.

A doversene preoccupare è prima di tutto chi ha collegato siti a UpdraftCentral nella versione cloud gestita da TeamUpdraft: agenzie web, fornitori e hosting che amministrano in blocco i siti di clienti, enti e scuole. Il perimetro si allarga per due motivi documentati da Patchstack: collegando UpdraftPlus a un account teamupdraft.com compare la casella «Add this website to UpdraftCentral», già spuntata, per cui un sito può avere una chiave senza che il titolare l'abbia voluta; e le chiavi non scadono, tanto che alcune emesse a novembre 2025 funzionavano ancora a ottobre. Il 21 ottobre il vendor ha esteso l'invito a controllare i siti anche agli utenti Premium che non hanno mai usato UpdraftCentral, mentre non devono fare nulla gli utenti della versione gratuita senza account. UpdraftPlus conta oltre quattro milioni di installazioni attive secondo Patchstack, e WordPress è la piattaforma di molti siti di scuole, enti e PMI: al momento non sono noti casi in Italia. Chi affida il sito istituzionale a un fornitore esterno deve comunque chiedergli per prima cosa se lo gestisce con UpdraftCentral. Lo schema è quello della filiera: l'attaccante compromette il fornitore e raggiunge i clienti attraverso un canale di cui si fidano. A fine settembre l'ingresso nei siti WordPress passava da una falla del core, come raccontato in un nostro precedente alert del 28 settembre sulla CVE-2026-87902 di WordPress, e l'aggiornamento chiudeva la porta; questa volta un sito aggiornato con la chiave UpdraftCentral attiva era esposto quanto uno trascurato.

• Versioni affette: UpdraftPlus Free precedenti alla 1.26.13 e Premium precedenti alla 2.26.13 (le 1.26.12 e 2.26.12 possono non revocare le chiavi), quando il sito ha una chiave di connessione a UpdraftCentral cloud: senza chiave il sito non accetta comandi, con la chiave erano esposte anche versioni recenti come la 1.26.11 e la 2.26.11. Restano attive anche dopo l'aggiornamento le chiavi create il 18 ottobre fra le 14.07 e le 23 ora italiana. Coinvolte anche le credenziali di UpdraftVault, da cui tutti i siti sono stati disconnessi, e le chiavi client di UpdraftClone, tutte sostituite. Non sono interessati UpdraftCentral installato in proprio, i pacchetti del plugin e i backup salvati sullo storage remoto del cliente.
• Azione raccomandata: accedere alla bacheca WordPress di ogni sito direttamente, senza passare da UpdraftCentral, e verificare di avere UpdraftPlus 1.26.13 o 2.26.13 o successive, aggiornando a mano dove l'aggiornamento automatico non è arrivato (la 1.26.12 e la 2.26.12 non bastano); cancellare comunque la chiave UpdraftCentral dalla sezione Advanced Tools delle impostazioni di UpdraftPlus, anche dopo l'aggiornamento, e togliere il sito dalla console; cercare account sconosciuti, compresi gli utenti con ruolo Editor creati di recente e non solo gli amministratori, e plugin non riconosciuti, compresi quelli nella cartella dei plugin Must-Use, tenendo conto che alcune varianti della backdoor si nascondono dagli elenchi di utenti e plugin della bacheca; trattare come compromesso un sito che va in errore 500 o mostra un errore critico che nomina un plugin sconosciuto, e rimuovere quel plugin senza tentare di ripararlo; eliminare account e plugin estranei, cambiare le password di tutti gli account amministrativi e, se emergono elementi sospetti, valutare il ripristino da un backup precedente al 17 ottobre; per precauzione riautorizzare lo storage remoto dei backup e sostituirne le chiavi di accesso; ricollegare il sito a UpdraftCentral solo a verifiche concluse; per gli account teamupdraft.com cambiare la password digitando l'indirizzo nel browser, anche dove è stata riutilizzata, reimpostare l'autenticazione a due fattori e diffidare dei messaggi che chiedono password o chiavi; chi usa UpdraftVault deve ricollegare lo storage con la nuova password ed eseguire un backup di prova, chi usa UpdraftClone recuperare le nuove chiavi client e sostituire quelle condivise con clienti o terzi.

Fonti: ACN, TeamUpdraft, Nethemba, Patchstack, Wordfence