Kẻ tấn công lợi dụng khóa UpdraftCentral để cài backdoor vào WordPress
"TeamUpdraft experienced a breach resulting in unauthorized access to customer connection keys for UpdraftCentral, UpdraftVault, and UpdraftClone. Attackers exploited these keys to install backdoors on WordPress sites by uploading malicious plugins. Affected users should update UpdraftPlus to versions 1.26.13 or 2.26.13, disconnect/reconnect to UpdraftCentral, and review user accounts and plugins."
Sự cố này cho thấy nguy cơ bảo mật cao đối với các trang web WordPress sử dụng UpdraftPlus và UpdraftCentral. Việc cài đặt backdoor có thể dẫn đến mất quyền kiểm soát trang web và đánh cắp dữ liệu.
Các doanh nghiệp sử dụng WordPress có thể bị gián đoạn hoạt động và thiệt hại uy tín do bị tấn công. Chi phí khắc phục sự cố và bồi thường cho khách hàng có thể đáng kể.
TeamUpdraft xác nhận bị tấn công, dẫn đến lộ khóa kết nối UpdraftCentral, UpdraftVault và UpdraftClone. Kẻ tấn công sử dụng các khóa này để cài backdoor lên các trang WordPress.
UpdraftPlus là plugin sao lưu WordPress phổ biến với hơn bốn triệu lượt cài đặt. Sự cố này ảnh hưởng đến người dùng UpdraftCentral, dịch vụ quản lý nhiều trang web từ xa. TeamUpdraft đã đóng lỗ hổng, thay đổi khóa và thông báo cho các cơ quan chức năng.
Thông tin bị lộ bao gồm tên, email, địa chỉ, lịch sử đơn hàng, mật khẩu đã mã hóa, cài đặt xác thực hai yếu tố và khóa kết nối. Tuy nhiên, thông tin tài chính được xử lý riêng bởi Stripe và PayPal. Plugin UpdraftPlus và bản sao lưu tự lưu trữ không bị ảnh hưởng.
TeamUpdraft khuyến nghị người dùng cập nhật lên phiên bản 1.26.13 (miễn phí) hoặc 2.26.13 (Premium), ngắt kết nối/kết nối lại UpdraftCentral, và kiểm tra tài khoản người dùng cùng plugin. Patchstack ghi nhận kẻ tấn công đã cài backdoor thông qua lệnh plugin.upload_plugin trong khoảng 18 giờ từ 18-19 tháng 10 năm 2026. Nethemba mô tả backdoor tạo tài khoản “data-ops43” với quyền Editor, cho phép tải plugin PHP tùy ý và thay đổi cài đặt trang web. Quyền 'manage_options' và 'install_plugins' được cấp cho tài khoản này.
Người dùng UpdraftVault cần kết nối lại trang web. Người dùng UpdraftClone cần sao chép khóa mới từ tài khoản và chia sẻ với khách hàng. Khóa kết nối có thể gửi lệnh đến trang web, vì vậy cần kiểm tra kỹ. Việc cập nhật plugin là bước quan trọng nhất.
Câu hỏi thường gặp
Khóa nào đã bị lộ trong vụ tấn công này?
Khóa kết nối UpdraftCentral, UpdraftVault và UpdraftClone đã bị lộ. Kẻ tấn công sử dụng các khóa này để cài backdoor lên các trang WordPress.
Người dùng cần làm gì để bảo vệ trang web của mình?
Người dùng cần cập nhật UpdraftPlus lên phiên bản mới nhất, ngắt kết nối/kết nối lại UpdraftCentral, kiểm tra tài khoản người dùng và plugin, và thay đổi mật khẩu quản trị viên.
Thông tin tài chính của người dùng có bị ảnh hưởng không?
Không, thông tin tài chính được xử lý riêng bởi Stripe và PayPal và không bị lộ trong vụ tấn công này.
Góc nhìn của Orange Cloud
Theo chúng tôi, sự cố này cho thấy tầm quan trọng của việc cập nhật plugin thường xuyên. Các doanh nghiệp Việt Nam sử dụng WordPress nên kiểm tra và cập nhật UpdraftPlus ngay lập tức. Điều đáng chú ý là việc kiểm tra tài khoản người dùng và plugin cũng rất quan trọng để phát hiện các backdoor tiềm ẩn. Nên cân nhắc sử dụng các dịch vụ quét lỗ hổng bảo mật để chủ động phát hiện các rủi ro.