Entre el 18 de octubre a las 15:32 y el 19 de octubre a las 09:23, un atacante en posesión de claves robadas de UpdraftCentral instaló puertas traseras en sitios WordPress conectados, de acuerdo con una alerta de la firma de seguridad Patchstack.
El comunicado advierte que un sitio puede tener una clave de UpdraftCentral sin que el administrador lo sepa: al conectar una cuenta de TeamUpdraft.com se marca por defecto la opción “Add this website to UpdraftCentral”, y los sitios que solo usaron UpdraftPlus para respaldos también están expuestos. Las claves no expiran. La campaña sigue activa y ninguna actualización de plugin la corrige, según la alerta.
Patchstack señaló que, aunque técnicamente no se trata de una vulnerabilidad, está protegiendo a los usuarios mediante los métodos disponibles. La empresa ahora bloquea los comandos remotos de UpdraftCentral en los sitios protegidos de usuarios de pago. Sus reglas de mitigación cubren tres rutas: el propio canal de comandos de UpdraftCentral, el disparador de activación de la puerta trasera y las cuentas de servicio, y la ruta de comandos falsificados de CVE-2026-10795, en UpdraftPlus 1.26.4 / 2.26.4 o versiones anteriores. El panel de UpdraftCentral mostrará esos sitios como inalcanzables, mientras que los respaldos programados siguen ejecutándose.
Entre las acciones que Patchstack pide a los administradores está verificar si existe una clave. Cualquier resultado del comando wp option get updraft_central_localkeys significa que el sitio está expuesto. Después, se deben eliminar todas las claves, ya sea en wp-admin mediante Settings → UpdraftPlus Backups → Advanced Tools → UpdraftCentral → Manage existing keys → delete all, o con el comando wp option delete updraft_central_localkeys. La firma subraya que quitar el sitio del panel de UpdraftCentral no es suficiente: la clave que importa vive en el sitio, y los respaldos siguen funcionando después de eliminarla.
También se debe buscar la puerta trasera, ya que el ataque comenzó antes de que entraran en vigor las reglas de Patchstack, por lo que recomienda revisar cada sitio que haya tenido una clave. Todas las muestras comparten esta descripción de plugin: grep -rl “Small maintenance toolkit: keeps option storage tidy\.” /var/www/*/wp-content/plugins/. Además, se deben buscar cuentas de Editor con manage_options, una dirección de correo @example.org o el nombre visible “Site Tools”.
Si se encuentra la puerta trasera, Patchstack indica que primero se elimine la clave, o el atacante enviará un reemplazo. Luego se debe desactivar el plugin y sacarlo de la raíz web. No se debe borrar desde wp-admin, porque su rutina de desinstalación borra sus propias huellas. Si el plugin arroja errores HTTP 500, no hay que corregirlos: arreglar el error activa la puerta trasera.
En caso de que exista la cuenta de la puerta trasera, el sitio debe tratarse como completamente comprometido: restaurar desde un respaldo anterior al ataque, rotar las contraseñas de administrador y de UpdraftCentral Cloud, cerrar todas las sesiones y revisar cada usuario con capacidades adicionales. Patchstack recomienda no reconectar a UpdraftCentral hasta que TeamUpdraft explique la causa.
La firma dio crédito a Nethemba, que detectó el ataque en sus propios sitios y publicó el primer análisis en cuestión de horas. El aviso completo, según el comunicado, incluye todos los indicadores de compromiso, los 99 nombres de plugins y revisiones de registros para el disparador de activación.
Imagen: Foto de Tima Miroshnichenko en Pexels
