Wyciek kluczy UpdraftCentral: co zrobić, jeśli masz UpdraftPlus

Stan na 19 października 2026, godz. 16:45. Jeśli Twoja strona ma wtyczkę UpdraftPlus, sprawdź dziś, czy ma podłączony klucz UpdraftCentral, i usuń go. Osoba, która ma skradzione klucze tej usługi, instaluje na połączonych stronach wtyczki z tylną furtką. Producent przygotowuje aktualizację, ale do czasu jej wydania jedyną ochroną jest usunięcie klucza.

Co się stało

W weekend 17-18 października TeamUpdraft, producent UpdraftPlus, wykrył nieuprawniony dostęp do serwisu teamupdraft.com. Według komunikatu producenta z 19 października wyciekła baza klientów, w tym klucze połączeń UpdraftCentral, UpdraftVault i UpdraftClone, adresy e-mail, adresy rozliczeniowe i hasła zapisane jako skrót (hash), a nie otwartym tekstem. Danych płatności producent nie przechowuje.

UpdraftCentral to usługa do zdalnego zarządzania wieloma stronami. Jej klient jest wbudowany w każdą kopię UpdraftPlus, także darmową. Strona z aktywnym kluczem wykonuje każde podpisane polecenie z panelu UpdraftCentral, bez potwierdzania. Patchstack odnotował instalacje tylnych furtek między 18 października, 15:32, a 19 października, 9:23. Atak wykryła i opisała firma Nethemba na trzech własnych stronach.

Ważne: to nie jest błąd w kodzie wtyczki, więc aktualizacja UpdraftPlus sama dziś nie pomaga. Polecenia są poprawnie podpisane prawdziwymi kluczami, dlatego wtyczka uznaje je za legalne. Najnowsze wersje są podatne tak samo jak starsze.

Kogo to dotyczy

• stron z UpdraftPlus (darmową albo Premium), które mają aktywny klucz UpdraftCentral;
• także stron, których właściciel nigdy świadomie nie używał UpdraftCentral: przy łączeniu konta TeamUpdraft.com pole dodające stronę do UpdraftCentral jest domyślnie zaznaczone;
• nie dotyczy stron z samą wtyczką i bez klucza oraz samodzielnie hostowanego UpdraftCentral (według producenta).

Jak sprawdzić stronę w 5 minut

1. Zaloguj się do kokpitu WordPressa bezpośrednio na stronie, nie przez UpdraftCentral.
2. Wejdź w Ustawienia, UpdraftPlus Backups, zakładka Advanced Tools (Narzędzia zaawansowane), sekcja UpdraftCentral.
3. Kliknij „Manage existing keys”. Jeśli widzisz jakikolwiek klucz, strona jest narażona.
4. Usuń wszystkie klucze. Kopie zapasowe będą działać dalej, przestanie działać tylko zdalne zarządzanie.
5. Na liście wtyczek (także w zakładce „Wymagane”, jeśli ją widzisz) poszukaj wtyczek, których nie instalowałeś, zwłaszcza o nazwie „Site Health Cache” albo z opisem „Small maintenance toolkit: keeps option storage tidy.”.
6. W Użytkownikach sprawdź nie tylko administratorów, ale też redaktorów: konto z tylnej furtki ma rolę redaktora z dodatkowymi uprawnieniami.

Jeśli strona po 18 października zaczęła zwracać błąd 500 na każdej podstronie, to może być właśnie ta furtka: według Patchstack w analizowanych próbkach jest błąd, który wywraca stronę. Nie naprawiaj tej wtyczki. Poprawienie błędu uruchamia furtkę.

Dla osób z dostępem do serwera

Jeśli Twoja agencja albo hosting ma dostęp do WP-CLI, te same kontrole można zrobić poleceniami z analizy Patchstack. Pierwsze polecenie pokazuje klucze UpdraftCentral, drugie je usuwa, trzecie szuka plików furtki.

wp option get updraft_central_localkeys
wp option delete updraft_central_localkeys
grep -rl "Small maintenance toolkit: keeps option storage tidy\." wp-content/plugins/

Konto z furtki wykryjesz po uprawnieniach, nie po nazwie. Według Patchstack nazwy mają postać dwóch słów i dwóch cyfr (np. data-ops43), adres e-mail w domenie example.org, a nazwa wyświetlana to „Site Tools”.

Co zrobić, jeśli znajdziesz furtkę

1. Najpierw usuń klucz UpdraftCentral, inaczej atakujący wgra poprawioną wersję furtki.
2. Dezaktywuj podejrzaną wtyczkę i przenieś jej katalog poza serwer albo poza katalog strony, zamiast usuwać ją z kokpitu: według Patchstack jej procedura odinstalowania kasuje własne ślady.
3. Usuń konto z furtki i opcję w bazie kończącą się na _sync_token.
4. Jeśli konto istniało, traktuj stronę jako przejętą: przywróć kopię sprzed ataku (producent zaleca kopię sprzed 17 października), porównaj pliki z czystą instalacją, sprawdź wszystkich użytkowników z dodatkowymi uprawnieniami, zmień hasła administratorów i do konta TeamUpdraft, wyloguj wszystkie sesje i włącz logowanie dwuetapowe.

Jeśli nie chcesz robić tego sam, pomagam w usuwaniu infekcji i zabezpieczeniu strony.

Producent i Patchstack zalecają co innego. Co wybrać

Producent pisze, żeby po wyczyszczeniu strony połączyć ją ponownie z UpdraftCentral i sprawdzić nieznanych administratorów. Patchstack zaleca, żeby nie łączyć strony ponownie, dopóki producent nie wyjaśni przyczyny, i podkreśla, że konto z furtki wygląda jak redaktor, a nie administrator.

Ja w tej sytuacji robię tak: usuwam klucze, sprawdzam wszystkich użytkowników z rolą wyższą niż autor i nie łączę strony ponownie, dopóki nie ma aktualizacji i wyjaśnienia przyczyny. Jeśli zdalne zarządzanie jest naprawdę potrzebne, Patchstack podaje jedną skuteczną zasadę: klucz zakładaj z konta, które nie może instalować wtyczek. Na jednej z analizowanych stron to zatrzymało atak.

Co z kopiami zapasowymi

Kopie wysłane na Twój własny magazyn (Google Drive, Dropbox, Amazon S3) według producenta nie zostały naruszone, a sama wtyczka i jej pliki do pobrania też nie. Strony korzystające z UpdraftVault zostały odłączone: w ustawieniach UpdraftPlus trzeba połączyć Vault ponownie nowym hasłem i zrobić ręczną kopię, żeby sprawdzić, czy działa. Jak ustawić kopie od zera, opisuję w poradniku o kopiach zapasowych WordPressa.

Na stronach, którymi się opiekuję, zestaw ochrony jest zawsze ten sam: zabezpieczenie samego WordPressa, Cloudflare, hosting z własną zaporą i pod spodem regularne kopie oraz aktualizacje. Ten incydent dobrze pokazuje, dlaczego kopia musi leżeć poza stroną i poza usługą, która może nią zdalnie sterować. Więcej o warstwach ochrony piszę w przewodniku po bezpieczeństwie WordPressa.

Najczęstsze pytania

Źródła (dostęp 19.10.2026): Patchstack, Stolen UpdraftCentral Keys Are Backdooring WordPress Sites; TeamUpdraft, Security incident: what customers need to know; Nethemba, analiza ataku. Zaktualizuję wpis, gdy producent wyda poprawkę.