Actores de amenazas no identificados han comprometido el sitio web de TeamUpdraft y podrían haber obtenido acceso no autorizado a las claves de conexión de los clientes para UpdraftCentral, UpdraftVault y UpdraftClone, utilizando dichas claves para instalar puertas traseras en sitios WordPress. TeamUpdraft es el desarrollador de UpdraftPlus, un popular plugin de copias de seguridad para WordPress que cuenta con más de cuatro millones de instalaciones activas. El proveedor también ofrece UpdraftCentral, un servicio de gestión remota utilizado para administrar múltiples sitios a distancia. Un componente cliente de UpdraftCentral se incluye en cada copia de UpdraftPlus.
En un comunicado, TeamUpdraft explicó: «Durante el fin de semana del 17 al 18 de octubre identificamos acceso no autorizado al sitio web teamupdraft.com. Nuestro equipo respondió de inmediato y trabajó durante toda la noche para contenerlo: cerramos la ruta de acceso, desconectamos todas las cuentas y reemplazamos las claves y credenciales que podrían haberse visto afectadas».
Como resultado del incidente, se cree que los atacantes accedieron a la base de datos de clientes, que contiene la siguiente información:
- Nombres, direcciones de correo electrónico, direcciones de facturación e historial de pedidos.
- Contraseñas de cuentas, almacenadas únicamente en forma hash (cifrada) y nunca en texto plano.
- Configuraciones de autenticación de dos factores (2FA).
- Claves de conexión para UpdraftCentral, UpdraftVault y UpdraftClone.
TeamUpdraft afirmó que la base de datos no contiene información financiera, ya que esta es gestionada por Stripe y PayPal. También enfatizó que el plugin UpdraftPlus, junto con las versiones autoalojadas de UpdraftCentral y las copias de seguridad enviadas al almacenamiento remoto propio de los clientes, no se ven afectados. «Sin embargo, si se accedió a su sitio a través de UpdraftCentral, vuelva a autorizar su almacenamiento remoto y cambie las claves de acceso al almacenamiento como precaución», añadieron.
Además, TeamUpdraft implementó una solución para abordar el problema subyacente, cerró todas las cuentas de teamupdraft.com y restableció la seguridad de inicio de sesión en todo el sitio, y lanzó UpdraftPlus 1.26.13 (gratuita) y 2.26.13 (Premium) para desconectar automáticamente toda conexión de UpdraftCentral realizada antes de las 22:00 BST del 18 de octubre de 2026, con el fin de evitar que las claves antiguas sigan funcionando. Otras medidas adoptadas por el desarrollador incluyen:
- Desconectar todos los sitios de UpdraftVault y emitir nuevas credenciales.
- Reemplazar todas las claves de cliente de UpdraftClone.
- Rotar sus claves con proveedores de pago y otros servicios conectados.
- Implementar monitoreo adicional.
- Reportar el incidente a la Oficina del Comisionado de Información del Reino Unido (ICO) y a otras autoridades relevantes.
Se recomienda a los usuarios que tengan una cuenta en teamupdraft.com que cambien su contraseña de inmediato (y en otros sitios si han reutilizado la misma contraseña), restablezcan la configuración de 2FA y actúen con precaución ante correos electrónicos inesperados que afirmen ser de TeamUpdraft. TeamUpdraft también recomienda a los clientes de la nube de UpdraftCentral que sigan estos pasos lo antes posible, ya que las claves de conexión pueden enviar comandos a los sitios conectados:
- Iniciar sesión en el panel de WordPress del propio sitio, no a través de UpdraftCentral.
- Actualizar UpdraftPlus a la versión 1.26.12 (gratuita) o 2.26.12 (Premium) o posterior.
- Desconectarlo de UpdraftCentral: ir a Ajustes > UpdraftPlus > Herramientas avanzadas > UpdraftCentral y eliminar la clave de conexión.
- Ir a Usuarios y verificar si hay cuentas de administrador que no reconozcan. Eliminarlas.
- Ir a Plugins, incluida la pestaña Must-Use si está visible, y buscar cualquier cosa que no se reconozca. Eliminarla.
- Cambiar las contraseñas de todas las cuentas de administrador del sitio.
- Si se encuentra algo sospechoso, considerar restaurar el sitio desde una copia de seguridad anterior al 17 de octubre.
- Volver a conectar el sitio a UpdraftCentral.
Se insta a los usuarios de UpdraftVault a reconectar sus sitios al servicio de copias de seguridad, y los usuarios de UpdraftClone que hayan creado una clave de cliente deben copiar las nuevas claves desde Mi cuenta > UpdraftClone > Gestión de claves de UpdraftClone y compartirlas con sus clientes.
Este desarrollo se produce después de que la empresa de seguridad WordPress Patchstack informara que observó a un atacante con claves válidas del panel de UpdraftCentral emitiendo comandos para instalar plugins de puerta trasera en sitios WordPress conectados. Según la compañía, la campaña se ejecutó continuamente durante un período de 18 horas entre el 18 y el 19 de octubre de 2026. El investigador de seguridad de Patchstack, Dave Jong, explicó: «El atacante envía un comando firmado plugin.upload_plugin a través del canal de llamada a procedimiento remoto del plugin, que escucha en solicitudes POST ordinarias a la raíz del sitio. WordPress instala y activa el plugin proporcionado a través de su instalador estándar».
La empresa de pruebas de penetración con sede en Eslovaquia Nethemba, que detectó el ataque en estado salvaje por primera vez, describió el plugin malicioso como una puerta trasera que se engancha a cada solicitud al sitio para verificar si la URL contiene el parámetro «?_9f5696=» y lo compara con un token de 32 caracteres. Si se detecta un token coincidente, crea un usuario «data-ops43» con el nombre visible «Site Tools», le asigna el rol de Editor y le otorga permisos de «manage_options» e «install_plugins», lo que permite al operador subir plugins PHP arbitrarios y abrir la configuración del sitio.
«Habilitar el registro y establecer el rol predeterminado como administrador es suficiente para que el atacante cree un administrador completo», dijo Nethemba. «En un sitio WordPress estándar, un Editor también tiene unfiltered_html, por lo que la cuenta puede insertar JavaScript en las publicaciones que se ejecuta en el navegador de cada administrador». «La puerta trasera también tiene una segunda capa. La cuenta que crea, con una contraseña conocida, permanece en WordPress incluso después de eliminar el plugin, y el atacante puede iniciar sesión con ella a través del formulario de inicio de sesión normal a menos que se haya habilitado la autenticación de dos factores para esa cuenta».
Aunque una versión temprana del plugin tenía un error de codificación que hacía que los sitios afectados fallaran con el error 500, Nethemba indicó que el actor de amenazas eliminó la puerta trasera defectuosa enviando un comando «plugin.delete_plugin» y luego subió una versión funcional que crea una cuenta de administrador completa o inicia sesión como un administrador existente. Se recomienda a los propietarios de sitios WordPress que verifiquen los siguientes indicadores de compromiso:
- Nombres de plugins: Site Health Cache o Site Health 364F, Asset Forge 2, Content Helper, Wp Forge, Query Shelf, Style Bridge 8F5, Media Kit 183, Query Shelf, Post Dock 776, Nav Hub, Speed Desk, Speed Kit 300, Link Latch, Script Shelf o Feed Case.
- Nombres de cuentas: system_team850, web.tech988, cmseditor170, cms.tech644 o web_mgr684, con un correo electrónico en @example.com y un nombre visible como System Team, Web Tech, System Staff, System Ops o Cms Tech.
- Direcciones IP: 43.250.53.42 y 2a09:bac5:4e21:2e3c::49b:9.
En total, Patchstack observó 99 nombres distintos de plugins de puerta trasera, y cada muestra contenía la línea «Small maintenance toolkit: keeps option storage tidy». Wordfence, que publicó su propio análisis del incidente, señaló que un sitio WordPress puede verse afectado si se cumplen los siguientes criterios:
- El sitio tenía UpdraftPlus Free o UpdraftPlus Premium instalado y activo mientras estaba presente la clave de conexión de UpdraftCentral afectada.
- El sitio tiene, o tenía durante el incidente, una clave de conexión activa para el servicio UpdraftCentral alojado en la nube de TeamUpdraft.
Patchstack advirtió: «Este es el segundo incidente en este canal en cinco meses. En junio de 2026, el proveedor corrigió CVE-2026-10795 (CVSS 8.1), donde un formato de mensaje obsoleto sin firmar permitía a un atacante falsificar comandos de UpdraftCentral sin claves. Eso se corrigió en 1.26.5 y 2.26.5, pero los intentos de explotación continúan, por lo que los sitios por debajo de esas versiones enfrentan ambos problemas a la vez».
Este incidente se produce días después de que el sitio web del plugin Rank Math PRO para WordPress fuera víctima de un ataque de cadena de suministro de software, lo que provocó que los usuarios que descargaron la versión 3.0.123 entre las 20:02 UTC del 15 de octubre y las 07:12 UTC del 16 de octubre recibieran versiones comprometidas que instalaban puertas traseras ocultas. El incidente ha sido asignado al identificador CVE-2026-111862 (puntuación CVSS: 9.8) y se corrigió en la versión 3.0.124 de Rank Math PRO. Wordfence declaró: «El malware puede establecer acceso persistente, comunicarse con rank1cdn[.]com, recrear puertas traseras ocultas en las visitas a la página y exponer credenciales de WordPress, credenciales de bases de datos, claves API y otros secretos accesibles para el servidor web».
Los hallazgos también coinciden con un aviso de PHP, que anunció su intención de lanzar una versión de seguridad que corrige dos vulnerabilidades críticas (CVE-2026-109618 y CVE-2026-109619, puntuaciones CVSS: 9.2), después de que se filtrara información sobre las fallas antes de su divulgación programada. Las fallas han sido denominadas PHP2Shell. Según el CEO de watchTowr, Benjamin Harris, las vulnerabilidades afectan a las versiones 5, 6, 7 y 8 de PHP y originalmente debían publicarse el 22 de octubre a las 11:00 ET. Huntress comentó: «PHP está en todas partes. Impulsa silenciosamente sitios WordPress, Drupal, Joomla y Magento, plataformas de alojamiento compartido, paneles de control y muchísimo software que ni siquiera anuncia que funciona con PHP. Cuando surge un error crítico en el propio PHP, en lugar de en una aplicación construida sobre él, la cantidad de lugares que hay que revisar para identificar versiones vulnerables de PHP se vuelve muy grande, muy rápido».
Deja una respuesta