Um vazamento de dados no UpdraftPlus, plugin de backup instalado em mais de 3 milhões de sites WordPress, permitiu que criminosos instalassem plugins maliciosos e criassem contas de administrador sem autorização. A falha de segurança no UpdraftPlus explorou chaves de conexão comprometidas do UpdraftCentral, o que deu aos atacantes controle total sobre sites conectados — sem precisar de usuário ou senha para entrar.
O site da TeamUpdraft foi comprometido primeiro
Tudo começou quando a própria TeamUpdraft confirmou que seu site foi invadido no fim de semana de 17 e 18 de outubro de 2026. Segundo a empresa, os invasores conseguiram acessar o banco de dados de clientes, onde estavam armazenadas informações pessoais e as chaves de conexão de serviços como o UpdraftCentral. Foi justamente essa exposição que abriu caminho para o controle remoto de sites WordPress conectados ao serviço.
Como a Plustag IA resume a resposta da empresa ao incidente
Em comunicado no blog, a TeamUpdraft explicou que a brecha de acesso não autorizado foi fechada, que as credenciais potencialmente vazadas foram substituídas e que atualizações de segurança já foram lançadas para revogar conexões antigas do UpdraftCentral.
As versões corrigidas — UpdraftPlus 1.26.13, na edição gratuita, e 2.26.13, na premium — chegaram aos usuários em 19 de outubro de 2026. De acordo com o changelog do plugin, as atualizações revogam as chaves do UpdraftCentral Cloud, sendo que a versão 1.26.13 ainda corrigiu um ajuste mal aplicado na revogação feita na versão anterior. Na prática, isso desconecta automaticamente os sites afetados do UpdraftCentral, bloqueando esse caminho de acesso. A empresa também informou que o WordPress.org já distribuiu a atualização automaticamente para os usuários.
Para que serve o UpdraftPlus, afinal
O UpdraftPlus é bastante popular entre quem administra sites WordPress justamente por facilitar backups, restaurações e até migrações entre hospedagens ou domínios diferentes. Ele permite agendar backups automáticos e guardar cópias em serviços como Google Drive, Dropbox e Amazon S3.
Uma das funcionalidades do plugin é o UpdraftCentral, recurso de gerenciamento remoto que deixa o dono do site administrar várias instalações WordPress a partir de um único painel. E foi exatamente esse recurso que ficou no centro de todo o problema.
Entenda como as chaves comprometidas viraram porta de entrada
O UpdraftCentral usa chaves de segurança para autenticar os comandos enviados do painel remoto até os sites conectados. Essas chaves são o que permite ao serviço executar ações administrativas sem que alguém precise logar manualmente em cada site.
O problema é que, com as chaves comprometidas, os invasores passaram a enviar comandos que pareciam instruções legítimas vindas do próprio painel de gerenciamento remoto. Ou seja, as verificações padrão de segurança não tinham como diferenciar um comando real de um comando forjado com chave roubada — e por isso os sites aceitaram tudo como autorizado.
A empresa de segurança Patchstack, em análise publicada antes mesmo de a TeamUpdraft lançar as atualizações, foi direta ao explicar que não se tratava de uma vulnerabilidade comum:
“Isso não é uma vulnerabilidade no UpdraftPlus, e até o dia 19 de outubro nenhuma atualização do plugin interrompe isso. Os comandos são corretamente criptografados e assinados com chaves privadas genuínas do painel. Todas as verificações do plugin passam, porque, do ponto de vista do site, a instrução é legítima.”
Em resumo: os criminosos não exploraram um erro de programação do UpdraftPlus. As verificações de segurança funcionaram exatamente como deveriam — o problema é que as chaves roubadas permitiram que os atacantes se passassem pelo próprio serviço de gerenciamento remoto.
Plugins maliciosos e contas fantasma de administrador
Com as chaves do UpdraftCentral em mãos, os invasores mandaram comandos para instalar e ativar plugins maliciosos nos sites conectados. Como esses comandos vinham autenticados com chaves genuínas, os sites trataram tudo como instrução legítima e instalaram os plugins pelo processo normal do WordPress.
Esses plugins continham um backdoor capaz de criar uma conta de usuário com permissão de Editor e, na sequência, conceder a essa mesma conta privilégios administrativos extras. Isso é especialmente perigoso porque uma conta Editor normalmente não tem permissão para instalar plugins ou mexer em configurações importantes — mas o código malicioso liberava esses poderes por fora, dificultando bastante a identificação da fraude. Além disso, o backdoor conseguia driblar o login normal do WordPress, passando por cima de proteções como autenticação em dois fatores e limites de tentativas de acesso.
A Patchstack também encontrou um erro de codificação nos plugins maliciosos, que fazia os sites afetados retornarem erros de servidor antes mesmo de o backdoor ser ativado. Ainda assim, isso não elimina o risco representado pelos plugins. Ao todo, foram identificados 99 nomes diferentes usados para disfarçar esses plugins — um deles, por exemplo, se chamava Site Health Cache. Os nomes imitavam ferramentas comuns de manutenção e performance, o que tornava tudo mais difícil de perceber numa checagem rápida.
Muitos sites podem estar conectados sem o dono saber
Um detalhe importante é que um site pode ter uma conexão ativa com o UpdraftCentral mesmo que o dono nunca tenha pretendido usar o gerenciamento remoto. A Patchstack relatou que conectar um site a uma conta da TeamUpdraft podia criar automaticamente essa conexão, já que a opção de ativar o recurso vinha marcada por padrão. Na prática, sites que usavam o UpdraftPlus só para fazer backup podiam ter chaves de conexão ativas sem que ninguém percebesse.
O problema atinge sites com conexões ativas do UpdraftCentral Cloud — e não todo site que simplesmente tem o UpdraftPlus instalado. A Patchstack confirmou ainda que tanto a versão gratuita quanto a premium foram afetadas, enquanto a TeamUpdraft esclareceu que instalações autogerenciadas (self-hosted) do UpdraftCentral ficaram de fora do problema.
O que fazer agora, segundo a recomendação da empresa
A TeamUpdraft recomenda que todos os usuários — inclusive quem nunca usou o UpdraftCentral conscientemente — revisem seus sites em busca de sinais de atividade suspeita. Entre as orientações estão:
- Checar a lista de plugins instalados em busca de itens desconhecidos;
- Conferir as contas de usuário do WordPress à procura de administradores não autorizados;
- Confirmar se o site já está rodando a versão 1.26.13 ou 2.26.13 do UpdraftPlus, ou uma mais recente;
- Remover eventuais chaves de conexão do UpdraftCentral que ainda estejam comprometidas (acessíveis pelo painel do WordPress, em Configurações, UpdraftPlus, Ferramentas Avançadas e UpdraftCentral);
- Trocar as senhas de administrador e, se houver evidência de invasão, considerar restaurar o site a partir de um backup anterior a 17 de outubro.
Quem tem conta na TeamUpdraft também deve trocar a senha de acesso como medida de precaução. A empresa afirma que, até o momento, não há evidências de que os invasores ainda mantenham acesso aos seus sistemas, mas a investigação continua em andamento.
Vale reforçar: mesmo com as atualizações bloqueando o acesso pelas conexões comprometidas, elas não removem automaticamente plugins maliciosos nem contas não autorizadas que já possam existir nos sites afetados. Por isso, checar cada site manualmente continua sendo essencial mesmo depois de instalar a atualização.
Com informações de searchenginejournal.com.
