ハッカーはTeamUpdraftのインフラに侵入した後、盗み出したUpdraftCentralの接続キーを使い、WordPressサイトに悪意のあるプラグインをインストールしました。
この攻撃では、信頼されたリモート管理コマンドが悪用されました。そのため、以前のUpdraftPlusの脆弱性に対するパッチを適用済みの環境でも、悪意のあるリクエストが認証チェックを通過してしまいます。TeamUpdraftは、2026年10月17日から18日にかけて、teamupdraft.comへの不正アクセスを確認しました。
同社は、攻撃者が顧客データベースにアクセスしたとみています。このデータベースには、氏名、メールアドレス、請求先住所、注文履歴、パスワードハッシュ、二要素認証の設定、さらにUpdraftCentral、UpdraftVault、UpdraftCloneの接続キーが含まれています。決済カードの情報は保存されていませんでした。
今回のインシデントの焦点は認証情報であり、UpdraftPlusのダウンロードファイルが改ざんされたわけではありません。UpdraftCentralのコマンドは、信頼されたダッシュボードの鍵で署名され、接続を確立したWordPressユーザーの権限で実行されます。
Wordfenceによると、これらの鍵を入手した攻撃者は、正規の管理指示になりすますことができました。Nethembaは、攻撃者が3つのWebサイトに対してplugin.upload_pluginコマンドを発行し、そのうち2つでバックドアのインストールと有効化に成功したことを記録しています。
3つ目のサイトでは、接続に関連付けられたユーザーにプラグインをインストールする権限がなかったため、失敗しました。被害を受けたサイトは、CVE-2026-10795に対するパッチを適用済みのUpdraftPlus Premium 2.26.11を使用していました。
確認されたリクエストの送信元は43.250.53.42で、User-AgentにはWordPress/6.4; class-udrpc.phpが使われていました。調査担当者は、悪意のあるプラグインを置き換えるために使われたplugin.delete_pluginコマンドも確認しています。
これらの痕跡は調査の手がかりにはなりますが、サイトが安全であると判断する根拠にはなりません。バックドアには複数の亜種があり、HTTP 500エラーを引き起こす不完全な検体もあれば、アカウントを新規作成せずに既存の管理者として認証できる動作可能なものもありました。
一部の検体はプラグイン一覧から自身を隠すため、ダッシュボードの確認だけでは不十分です。秘密のクエリパラメータや埋め込まれたトークンによって、不正な認証が実行されました。
TeamUpdraftによると、同社は最初の侵入経路を塞ぎ、顧客をサインアウトさせ、認証情報をローテーションし、関係当局にインシデントを報告しました。10月20日の更新では、UpdraftPlus 1.26.13と2.26.13で、影響を受けたUpdraftCentralの接続を無効化したと説明しています。
一方、Nethembaは、その前のリリースである1.26.12と2.26.12では鍵が削除されなかったと報告しています。また、同社の分析では、修正版のリリースにも、ベンダーが示した締め切り時刻にかかわらず、10月18日12:07から21:00（UTC）の間に作成された鍵が残っていたことが判明しました。
管理者は、各Webサイトに直接アクセスして古いUpdraftCentralの鍵を削除し、ログを保全したうえで、ファイル、プラグイン、データベースのレコード、ユーザー権限を独自に点検する必要があります。
パスワードを変更し、鍵を無効化しても、すでにインストールされたマルウェアは除去されません。不審なサイトでは、10月17日より前の検証済みバックアップからの復元が必要になる場合があります。
TeamUpdraftは、セルフホスト型のUpdraftCentral、プラグインのダウンロード、顧客のサードパーティ製ストレージにあるバックアップは影響を受けていないとしています。アカウント保有者は、パスワードと二要素認証をリセットしてください。
侵害されたサイトでは、アクセス可能なストレージの認証情報もローテーションすべきです。UpdraftVaultのユーザーはバックアップを再開するために再接続が必要で、UpdraftCloneのユーザーは、すでに配布したクライアントキーを入れ替える必要があります。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。チームで試してみる
翻訳元: https://cyberpress.org/hackers-exploit-stolen-updraftplus-keys/
