UpdraftCentral violato backdoor WordPress: aggiornare i sistemi

Nel fine settimana del 17-18 ottobre 2026, soggetti ostili hanno compromesso i server di TeamUpdraft, l'azienda fornitrice del noto sistema di copie di sicurezza UpdraftPlus. Con il servizio UpdraftCentral violato backdoor WordPress sono state installate su numerosi siti aziendali sfruttando le chiavi crittografiche legittime sottratte durante l'attacco. Il problema riguarda le installazioni collegate all'infrastruttura UpdraftCentral Cloud tramite le versioni vulnerabili del componente. Per fermare gli accessi abusivi è necessario aggiornare immediatamente UpdraftPlus alla versione 1.26.13 (per l'edizione gratuita) o 2.26.13 (per l'edizione a pagamento) ed eseguire una bonifica manuale dei file. La vulnerabilità remota pregressa associata a queste dinamiche è catalogata come CVE-2026-10795.

Sintomi e segnali di compromissione

L'attacco non sfrutta difetti del codice locale di WordPress, ma abusa di chiavi RSA valide per inviare comandi remoti autorizzati (chiamate RPC) alla radice del sito, come "plugin.upload_plugin" e "plugin.delete_plugin". I responsabili IT possono verificare l'avvenuta intrusione cercando questi indicatori precisi nei propri sistemi:

• Errori di sistema: la presenza del messaggio testuale "Undefined constant ImageCore::FIELD" nei registri, generato da versioni difettose del codice ostile, che causa un errore 500 sul sito.
• Traffico di rete anomalo: richieste in ingresso contenenti i parametri URL sentinella "?_9f5696=" o "?_6212fc=_BEQI71sdL1mVAkslzjLMnG8ffyJfBwi".
• Estensioni sconosciute: la comparsa di cartelle o componenti anomali. Patchstack ha censito 99 varianti, tra cui "Site Health Cache", "Site Health 364F", "Asset Forge 2", "Image Core", "Speed Desk" e "Media Kit 183". La descrizione di questi file malevoli riporta quasi sempre la dicitura "Small maintenance toolkit: keeps option storage tidy." o "small maintenance toolkit".
• Utenze fittizie: creazione arbitraria di nuovi profili configurati come redattori, ma dotati di permessi tecnici critici come "manage_options" e "install_plugins". I nomi utente tipici includono "data-ops43", "render_maint13", "system_team850" o "web_mgr684", spesso associati a nomi visualizzati come "Site Tools" o "System Team" e indirizzi di posta elettronica fittizi terminanti in @example.com o @example.org.

Prodotti coinvolti e dettagli dell'attacco

L'incidente impatta esclusivamente i siti WordPress che utilizzano UpdraftPlus collegati all'infrastruttura UpdraftCentral Cloud. Le istanze UpdraftCentral auto-ospitate non risultano colpite.

Secondo le analisi di Nethemba e The Hacker News, gli aggressori hanno sottratto dal database aziendale anche le credenziali dei servizi UpdraftVault e UpdraftClone. I dati finanziari non sono stati compromessi in quanto gestiti da fornitori esterni di pagamento. Le indagini di Imunify360 hanno rilevato che il traffico d'attacco, diretto verso oltre 2.200 server, proviene principalmente dagli indirizzi di rete 43.250.53.42 e 2a09:bac5:4e21:2e3c::49b:9.

Per le aziende e gli studi professionali che gestiscono i propri siti o quelli dei clienti tramite strumenti centralizzati, questo evento dimostra i gravi rischi legati alla catena di fornitura.

Cosa fare per bonificare i siti WordPress

Non esiste una correzione automatica che elimini le manomissioni pregresse. Il semplice aggiornamento del software revoca la vecchia chiave, ma non cancella le porte sul retro o gli account amministrativi creati dagli attaccanti. Senza un intervento manuale, i sistemi restano accessibili a terzi. È necessario eseguire la bonifica in questo ordine preciso:

1. Accesso locale: accedere al pannello di controllo WordPress direttamente dal dominio del sito, evitando l'accesso tramite la piattaforma UpdraftCentral.
2. Aggiornamento immediato: installare UpdraftPlus versione 1.26.13 (gratuita) o 2.26.13 (a pagamento), pubblicate il 19 ottobre 2026. I precedenti tentativi di revoca (versioni 1.26.12 e 2.26.12) risultavano incompleti.
3. Revoca manuale delle chiavi: navigare in Impostazioni > UpdraftPlus > Strumenti avanzati > UpdraftCentral ed eliminare tutte le chiavi di connessione memorizzate. Alcune chiavi generate il 18 ottobre possono sopravvivere all'aggiornamento automatico.
4. Verifica ed epurazione dei componenti: ispezionare attentamente la cartella wp-content/plugins/ e la scheda "Must-Use", rimuovendo qualsiasi cartella o estensione corrispondente ai nomi segnalati o non riconosciuta.
5. Verifica degli account: eliminare qualsiasi utenza anomala o con indirizzi di dominio fittizi. Controllare scrupolosamente anche i profili non amministratori che presentano privilegi estesi.
6. Rotazione delle credenziali: modificare le parole d'ordine di tutti gli amministratori di WordPress, dell'account sul portale teamupdraft.com e riconfigurare l'autenticazione a due fattori (2FA). È fondamentale cambiare anche le chiavi di accesso ai servizi di archiviazione remota collegati, come Amazon S3, Dropbox o Google Drive.
7. Ripristino di sicurezza: in presenza di tracce di intrusione non rimosse con assoluta certezza, ripristinare l'intero sito da una copia di sicurezza integra antecedente al 17 ottobre 2026.

Si raccomanda ai titolari di verificare le proprie installazioni per garantire la conformità al GDPR.

Fonti

• Attackers Abuse UpdraftCentral Keys to Plant Backdoors on WordPress Sites
• UpdraftCentral Key Compromise