A falha UpdraftCentral voltou a preocupar administradores de sites WordPress depois que a TeamUpdraft revelou um acesso não autorizado ao site teamupdraft.com durante o fim de semana de 17 e 18 de outubro de 2026. Segundo a empresa, o banco de dados de clientes foi acessado e continha chaves de conexão do UpdraftCentral, do UpdraftVault e do UpdraftClone, além de informações de contas de clientes.
De acordo com análises públicas da Nethemba e relatos enviados diretamente ao Wordfence, invasores passaram a usar chaves de conexão válidas do UpdraftCentral para enviar comandos remotos a sites WordPress conectados. Esses comandos foram utilizados para enviar, ativar e excluir plugins maliciosos. Como as requisições estavam assinadas corretamente com chaves confiáveis, uma instalação do UpdraftPlus que já contivesse a correção de segurança anterior, identificada como CVE-2026-10795, ainda assim poderia aceitá-las como instruções legítimas do UpdraftCentral.
Isso não significa, porém, que todo site rodando UpdraftPlus estivesse exposto. O cliente de gerenciamento remoto UpdraftCentral está presente tanto na versão gratuita quanto na versão Premium do UpdraftPlus, mas só aceita comandos do UpdraftCentral quando existe uma chave de conexão ativa no site. Dessa forma, os usuários mais diretamente em risco são aqueles cujos sites estavam conectados ao serviço UpdraftCentral hospedado na nuvem pela TeamUpdraft.
Resposta rápida diante da falha UpdraftCentral
Diante da gravidade do incidente, que atingiu um fornecedor relevante do ecossistema WordPress, o Wordfence optou por liberar antecipadamente uma regra de firewall de emergência também para os clientes do plano gratuito, poucas horas depois de disponibilizá-la para assinantes Premium, Care e Response, como forma de reduzir o impacto global do ataque. A regra bloqueia requisições UDRPC de entrada do UpdraftCentral nas versões afetadas do UpdraftPlus.
Para garantir que o site tenha as regras mais recentes, basta acessar Wordfence > Firewall > All Firewall Options no painel do WordPress, expandir Advanced Firewall Options e rolar até a seção Rules. Em seguida, é só clicar em Manually Refresh Rules para baixar imediatamente as regras atualizadas, incluindo essa.
Essa regra impede tanto comandos maliciosos quanto comandos legítimos do UpdraftCentral de chegarem ao plugin enquanto as chaves de conexão mais antigas são descontinuadas. Por outro lado, ela não interfere nos backups comuns do UpdraftPlus nem nos backups enviados a provedores de armazenamento externos.
A TeamUpdraft já disponibilizou o UpdraftPlus 1.26.12 (Free) e o UpdraftPlus 2.26.12 (Premium), versões que desconectam automaticamente conexões do UpdraftCentral criadas antes do corte do incidente. Plustag IA recomenda atualizar todos os sites que usam UpdraftPlus para uma dessas versões ou posterior.
Vale lembrar que a proteção do firewall não desfaz um comprometimento ocorrido antes da implantação da regra. Por isso, usuários do UpdraftCentral devem inspecionar cada site conectado e seguir as orientações oficiais de incidente publicadas pela TeamUpdraft, já que essa página pode ser atualizada conforme a investigação avança.
Como ocorreu o ataque via UpdraftCentral
O UpdraftCentral é um serviço de gerenciamento remoto capaz de administrar backups, plugins, temas, usuários e outras funções do WordPress a partir de um painel central. Quando um site é conectado, ele e o painel estabelecem chaves criptográficas, e o UpdraftPlus passa a aceitar comandos assinados pela chave confiável do painel, executando-os com as permissões do usuário WordPress que criou a conexão.
Nos ataques analisados publicamente, foi usado o comando plugin.upload_plugin para instalar um arquivo de plugin fornecido pelo invasor. Nos casos em que o usuário WordPress conectado tinha permissão para instalar e ativar plugins, esse comando abriu caminho para a execução de PHP malicioso no site.
O ponto central do incidente é justamente o comprometimento e uso indevido de chaves de conexão legítimas do UpdraftCentral. Uma requisição assinada com uma chave exposta conseguia passar pelas verificações normais de autenticação do plugin e ser tratada pelo site conectado como uma instrução confiável de gerenciamento remoto.
Relatos enviados ao Wordfence descrevem instalações maliciosas de plugins bem-sucedidas em sites rodando UpdraftPlus Premium 2.26.11.x, além de outro site que, sabidamente, utilizava UpdraftPlus Free 1.26.10 ou 1.26.11 no momento da atividade suspeita. Esses relatos reforçam que sites com uma conexão UpdraftCentral na nuvem exposta podiam ser afetados mesmo rodando versões recentes do plugin.
A TeamUpdraft afirma que o plugin UpdraftPlus e seus pacotes de download não foram afetados. A empresa também diz que backups enviados ao Google Drive, Dropbox, Amazon S3 ou outros serviços de armazenamento remoto de terceiros, por conta do próprio usuário, não foram atingidos, e que instalações autogerenciadas do UpdraftCentral não sofreram impacto do comprometimento do teamupdraft.com. Ainda assim, caso um site tenha sido acessado por meio do UpdraftCentral, a TeamUpdraft recomenda reautorizar o armazenamento remoto e trocar as chaves de acesso de armazenamento como medida de precaução.
Segundo a TeamUpdraft, o banco de dados de clientes continha nomes, endereços de e-mail, endereços de cobrança, históricos de pedidos, hashes de senha e configurações de autenticação de dois fatores.
A empresa afirma que as senhas não eram armazenadas em texto simples e que não guarda dados de cartão de pagamento, já que os pagamentos são processados por Stripe e PayPal. Mesmo assim, a TeamUpdraft recomenda que todo titular de conta no teamupdraft.com altere sua senha, troque-a em qualquer outro serviço onde ela tenha sido reutilizada e redefina as configurações de autenticação de dois fatores.
Quem pode ser afetado pela falha UpdraftCentral
Um site pode estar afetado se todas as condições a seguir forem verdadeiras:
- O site tinha UpdraftPlus Free ou UpdraftPlus Premium instalado e ativo enquanto a chave de conexão afetada do UpdraftCentral permanecia presente.
- O site possui, ou possuía durante o incidente, uma chave de conexão ativa para o serviço UpdraftCentral hospedado na nuvem pela TeamUpdraft.
A menos que uma regra de firewall eficaz bloqueie o canal ou que o UpdraftPlus 1.26.12 (Free) ou 2.26.12 (Premium) já tenha removido a conexão, um site com uma chave antiga ainda presente localmente pode continuar aceitando comandos corretamente assinados com ela. Apagar a chave interrompe futuros comandos do UpdraftCentral, mas não apaga atividades que já possam ter ocorrido anteriormente.
Instalar o plugin gratuito UpdraftPlus não conecta automaticamente um site ao UpdraftCentral. No entanto, a versão 1.26.11 do UpdraftPlus apresenta, por padrão já selecionada, a opção de adicionar o site ao UpdraftCentral quando o usuário conecta uma conta TeamUpdraft. Assim, um site pode ter uma conexão UpdraftCentral ativa mesmo que o proprietário nunca tenha acessado separadamente o painel do UpdraftCentral ou não se lembre de ter habilitado deliberadamente o gerenciamento remoto.
Tanto usuários da versão gratuita quanto da Premium devem verificar se alguma vez conectaram o plugin a uma conta TeamUpdraft. De acordo com a orientação oficial da TeamUpdraft, usuários do UpdraftPlus Free sem conta no teamupdraft.com não precisam tomar nenhuma ação em relação a este incidente.
Como verificar se o site tem uma chave do UpdraftCentral
O primeiro passo é acessar diretamente o painel do próprio WordPress do site — essa verificação não deve ser feita pelo UpdraftCentral.
Em seguida, basta navegar até Settings > UpdraftPlus > Advanced Tools > UpdraftCentral. Se a página exibir “Manage existing keys (N)” com uma ou mais chaves, o site está ou esteve configurado para aceitar comandos do UpdraftCentral e deve ser tratado como potencialmente exposto.
No nível do banco de dados, essas conexões ficam armazenadas na opção do WordPress chamada updraft_central_localkeys. Depois que o WordPress desserializa o valor dessa opção, um array contendo uma ou mais entradas de chave indica que existe pelo menos uma conexão local do UpdraftCentral; um array vazio indica o contrário. É importante não divulgar nem enviar publicamente o conteúdo dessa opção quando ela estiver preenchida, já que contém material sensível de chave.
A ausência de uma chave atual não comprova que nenhum comando malicioso tenha sido recebido anteriormente. Caso uma chave tenha sido excluída recentemente, recomenda-se seguir com verificações de logs, plugins, usuários e arquivos do site.
Ações do Wordfence diante do incidente
Clientes Wordfence Premium, Wordfence Care e Wordfence Response receberam uma regra de firewall em tempo real que funciona como um interruptor temporário de emergência para o canal de comando afetado do UpdraftCentral. Dada a severidade do incidente, o Wordfence também disponibilizou a regra, poucas horas depois, aos usuários da versão gratuita. A regra bloqueia o tráfego correspondente e integra o conjunto de medidas recomendadas enquanto a TeamUpdraft conclui a investigação e orienta os usuários sobre os próximos passos necessários para eliminar qualquer resquício da exposição.
Com informações de wordfence.com.
