Aanvallers plaatsen achterdeurtjes op WordPress-sites via UpdraftCentral

TeamUpdraft meldde op 20 oktober dat UpdraftPlus 1.26.13 en 2.26.13 oude UpdraftCentral Cloud-sleutels intrekken, nadat aanvallers zulke sleutels gebruikten om plug-ins met achterdeurtjes op WordPress-sites te installeren.

Voor een Nederlandse organisatie met WordPress is een update daarom maar één deel van de controle. Beheerders moeten nagaan of een site ooit met UpdraftCentral Cloud verbonden was en of daarna plug-ins, accounts of toegangstokens zijn achtergebleven. Een beheeropdracht kan een plug-in installeren met de rechten van de gekoppelde WordPress-gebruiker.

Een geldige handtekening gaf toegang

UpdraftPlus bevat een onderdeel voor UpdraftCentral, waarmee een beheerder meerdere WordPress-sites vanuit één dashboard aanstuurt. Bij een koppeling bewaart de site de publieke dashboardsleutel; de geheime sleutel blijft in UpdraftCentral Cloud. Correct ondertekende opdrachten draaien met de rechten van die gebruiker, zonder extra bevestiging.

Met plugin.upload_plugin installeerde en activeerde WordPress de aangeleverde plug-in. De handtekening was geldig. Patchstack beschrijft deze uploadopdracht en 99 verschillende namen voor de geplaatste backdoorplug-ins.

Een achterdeur wacht op een geheime waarde in een webadres en maakt daarna een account aan of gebruikt een bestaand account. Eén variant gaf een account de rol Editor met extra rechten om instellingen te wijzigen en plug-ins te installeren. Zo kan een controle die alleen onbekende beheerders zoekt een account missen. Andere voorbeelden konden zich voordoen als een bestaande beheerder, en één plug-in met de naam Site Health Cache verborg zich in de plug-inlijst. Het verwijderen van de plug-in verwijdert een al aangemaakt account niet automatisch.

Eerste voorbeelden crashten voordat de achterdeur actief werd; latere varianten werkten wel. Een foutmelding of lege beheerderslijst is onvoldoende bewijs dat een site schoon is. De plug-innaam helpt evenmin: de aanvallers wisselden tussen tientallen namen.

De schatting telt mogelijke verbindingen

BleepingComputer noemt maximaal 400.000 mogelijk blootgestelde sites, een bovengrens op basis van ruim vier miljoen UpdraftPlus-installaties en TeamUpdrafts eerdere schatting uit juni: minder dan tien procent van de gebruikers had een UpdraftCentral- of Migrator-sleutel. De huidige pluginpagina van WordPress.org vermeldt meer dan drie miljoen actieve installaties, zonder een exact totaal. De berekening schat mogelijke verbindingen. Bij dit incident is geen telling van gestolen sleutels gepubliceerd.

Nethemba meldt plug-ininstallaties op twee van zijn drie onderzochte sites en pogingen op 20 oktober op minstens drie sites om verwijderde achterdeurtjes te activeren. De onderzoekers kennen geen wereldwijd aantal besmette sites. Hun eigen sites gaven bij die laatste pogingen een normale pagina terug, omdat de achterdeurtjes al waren verwijderd. De verzoeken bevestigen geen nieuwe infecties.

Ook de update vraagt om een nauwkeurige lezing. TeamUpdraft zegt dat versie 1.26.13 en 2.26.13 verbindingen van vóór 21.00 UTC op 18 oktober verbreken. Nethemba controleerde de code en zag dat 1.26.12 geen sleutels verwijderde. In 1.26.13 worden sleutels die na 12.07 UTC zijn aangemaakt niet automatisch verwijderd. Die sleutels moeten handmatig weg.

Een update vraagt om siteonderzoek

Werk elke installatie bij naar UpdraftPlus 1.26.13 voor de gratis versie of 2.26.13 voor Premium, of naar een nieuwere versie. Log daarna rechtstreeks in op het eigen WordPress-dashboard, niet via UpdraftCentral. Open Instellingen, UpdraftPlus, Geavanceerde hulpmiddelen en UpdraftCentral en verwijder alle sleutels die daar nog staan. Controleer ook sites die niet dagelijks worden beheerd. Een UpdraftPlus-gebruiker kan een sleutel hebben zonder de koppeling bewust te herinneren.

De incidentpagina noemt bovenaan inmiddels versie 1.26.13, terwijl een lagere checklist nog 1.26.12 noemt. Nethemba zag dat 1.26.12 geen sleutels verwijderde.

Bekijk daarna de plug-ins, ook de sectie Must-Use, en zoek naar onbekende bestanden. Zoek ook naar de beschrijving Small maintenance toolkit: keeps option storage tidy. als herkenningspunt. Controleer accounts op hun rechten, niet alleen op hun rolnaam. Bekijk toegangslogs op plug-ininstallaties zonder bijbehorende beheeractie en op verzoeken met geheime URL-triggers.

Wordfence bood een tijdelijke firewallregel aan om UpdraftCentral-opdrachten te blokkeren. Het bedrijf waarschuwt dat die regel eerdere wijzigingen op een site niet ongedaan maakt. Bij een verdachte vondst adviseert TeamUpdraft beheerderswachtwoorden te wijzigen, opslagkoppelingen opnieuw te autoriseren en zo nodig te herstellen vanaf een back-up van vóór 17 oktober. De firewallregel blokkeert nieuwe opdrachten, maar herstelt geen site die eerder is geraakt.

De beheerroute had al een waarschuwing

In juni dichtte TeamUpdraft een andere kwetsbaarheid in hetzelfde beheerpad. CVE-2026-10795 liet aanvallers vervalste opdrachten sturen via een verouderd berichtformaat, zonder geldige sleutel. De fix kwam toen in UpdraftPlus 1.26.5 en 2.26.5. De recente aanval gebruikte juist echte sleutels die uit de cloudomgeving waren buitgemaakt. Een site met de eerdere patch kon daarom nog steeds een correct ondertekende opdracht accepteren.

WordPress-sites kregen dit jaar ook aanvallen via vertrouwde plugin- en leverancierspaden. Zo maakte een gekaapte API-feed van BdThemes verborgen beheerdersaccounts aan via zeven WordPress-plug-ins. De aanval liep via een externe feed in het beheerscherm, terwijl de pluginbestanden zelf intact bleven.

Herstel vraagt ook om controle van sporen naast versienummers. De WordPress-patchroutine die database, plug-inbestanden en toegangslogs samen controleert laat zien welke sporen naast versienummers nodig zijn. TeamUpdraft zegt dat de cloudtoegang is afgesloten; het aantal besmette sites is nog niet vastgesteld. Per site bepalen resterende sleutels, bestanden en logregels of een beheeropdracht een blijvende wijziging heeft achtergelaten.