Uma falha de segurança no UpdraftPlus — plugin de backup instalado em mais de 3 milhões de sites WordPress — permitiu que atacantes assumissem o controle de sites conectados sem precisar de usuário ou senha. O vetor não foi uma falha no código do plugin, e sim o roubo de chaves de autenticação legítimas.
O que aconteceu
A própria TeamUpdraft confirmou que seu site foi comprometido no fim de semana de 17 e 18 de outubro. Os atacantes acessaram o banco de dados de clientes da empresa, que continha informações de conta e chaves de conexão do UpdraftCentral — o recurso de gerenciamento remoto que permite administrar vários sites WordPress a partir de um único painel.
Com essas chaves em mãos, os atacantes passaram a enviar comandos para os sites conectados que pareciam — e eram tecnicamente — instruções legítimas do próprio painel remoto. Segundo a análise da empresa de segurança Patchstack, publicada antes da correção: “Isso não é uma vulnerabilidade no UpdraftPlus, e até 19 de outubro nenhuma atualização do plugin impede isso. Os comandos são corretamente criptografados e assinados com chaves privadas genuínas do painel. Todas as verificações do plugin passam, porque, do ponto de vista do site, a instrução é legítima.”
O que os atacantes instalaram
Usando as chaves comprometidas, os atacantes instruíram os sites a instalar plugins maliciosos — a Patchstack identificou 99 nomes diferentes usados para disfarçá-los, como “Site Health Cache”, imitando ferramentas comuns de manutenção. Esses plugins continham um backdoor capaz de criar uma conta de usuário com papel de Editor e, em seguida, conceder a ela permissões administrativas extras — o que torna a conta difícil de identificar numa revisão rápida de usuários, já que aparenta ser um Editor comum.
O backdoor também contornava o fluxo normal de login, incluindo autenticação de dois fatores e limites de tentativas de acesso. Uma falha no próprio código malicioso chegou a causar erros de servidor em parte dos sites afetados antes da ativação do backdoor — o que reduziu, mas não eliminou, o risco.
Um detalhe importante: a conexão pode existir sem o site saber
Segundo a Patchstack, conectar um site a uma conta TeamUpdraft podia criar automaticamente uma conexão UpdraftCentral, porque a opção de gerenciamento remoto vinha habilitada por padrão. Ou seja: sites que usam o UpdraftPlus só para backup podem ter chaves de conexão ativas sem que o responsável saiba disso. O problema afeta sites com conexões UpdraftCentral Cloud ativas — não todo site com o plugin instalado — e atinge tanto a versão gratuita quanto a premium. Instalações self-hosted do UpdraftCentral não foram afetadas.
A correção
O UpdraftPlus 1.26.13 (gratuito) e 2.26.13 (premium), lançados em 19 de outubro, revogam as chaves antigas do UpdraftCentral Cloud e desconectam automaticamente os sites afetados dessa via de acesso. O WordPress.org já empurrou a atualização automaticamente para os usuários.
O que fazer agora
A TeamUpdraft recomenda, mesmo para quem nunca usou o UpdraftCentral conscientemente:
- Confirmar que o site está rodando a versão 1.26.13, 2.26.13 ou superior.
- Revisar os plugins instalados em busca de nomes desconhecidos.
- Verificar contas de usuário à procura de administradores não reconhecidos (inclusive contas com papel de Editor com permissões além do esperado).
- Remover chaves de conexão UpdraftCentral remanescentes, em Configurações → UpdraftPlus → Ferramentas Avançadas → UpdraftCentral.
- Trocar as senhas de administrador do site e da conta TeamUpdraft.
- Considerar restaurar um backup anterior a 17 de outubro caso haja evidência de comprometimento.
A atualização bloqueia o acesso pela via comprometida, mas não remove plugins maliciosos ou contas não autorizadas que já tenham sido criadas — por isso a checagem manual continua necessária mesmo após atualizar.
Visão Estratégica da Web Estratégica
- Tratar isso como item de pauta técnica imediata para todo cliente que usa UpdraftPlus: confirmar versão instalada, revisar plugins e contas de administrador é uma checagem de poucos minutos com risco real se ignorada.
- Usar o episódio como gatilho para uma auditoria mais ampla de integrações de terceiros com acesso administrativo ao WordPress — chaves de API e conexões remotas costumam ficar invisíveis até um incidente como este.
- Reforçar, na rotina de homologação técnica, a prática de revisar periodicamente contas de usuário e plugins ativos, não só no momento de um alerta de segurança.
