调查
TeamUpdraft 客户库遭未授权访问，UpdraftCentral 云端连接密钥被用于向 WordPress 站点推送后门
TeamUpdraft 于 10 月 19 日确认，10 月 17–18 日周末 teamupdraft.com 发生未授权访问，客户库疑似被读取，其中包含 UpdraftCentral（云）、UpdraftVault 与 UpdraftClone 的连接密钥；厂商称插件本体与用户自有远端备份存储未受影响，自托管 UpdraftCentral 不在本次范围内。Nethemba 同日与次日更新分析称，攻击者持有有效仪表盘私钥，经 UpdraftCentral 通道对已连接站点下发 plugin.upload_plugin，安装伪装维护类插件；其观测到攻击在厂商确认并切断入口之后仍可持续，因站点侧旧密钥未删除前仍可验签。厂商已强制登出账号、轮换 Vault/Clone 凭据，并发布 UpdraftPlus 紧急版本以断开旧连接；Nethemba 指出 1.26.12/2.26.12 未能删除密钥，同晚 1.26.13/2.26.13 起才对部分旧密钥生效，且建议对窗口内新建密钥手工删除并在本站核验用户与插件。
跟你的关系使用 UpdraftPlus 并曾连接 UpdraftCentral 云（含高级版默认勾选「加入 UpdraftCentral」可能在未察觉时建钥）的 WordPress 站点，应按厂商与独立分析核对本站连接密钥、异常插件/账号与近期 UpdraftCentral 日志后再决定是否重连。
活动
厂商称攻击者自 10-17 晚可访问站点，约 10-18 晚发现并约 20:00 BST 确认；Nethemba 观测到 10-18 夜至 10-19 对已连接站点的推送与后续尝试；厂商公告持续更新至 10-19，Nethemba 分析更新至 10-20。
- 状态
- 已公开
- 行业
- 信息技术、专业服务
- 可信度
- 高
可信度标为高：已经打开的独立调查报告不止一份。
来源
TeamUpdraft · 事件调查报告 · 最先提出
Nethemba · 事件调查报告 · 后来证实