Onbekende aanvallers kregen toegang tot TeamUpdrafts website en gebruikten gestolen UpdraftCentral-sleutels om backdoors te plaatsen op WordPress-sites.
Onbekende dreigingsactoren hebben de website van TeamUpdraft gehackt en mogelijk ongeautoriseerde toegang verkregen tot klantenverbinding-sleutels voor UpdraftCentral, UpdraftVault en UpdraftClone. Deze sleutels werden vervolgens gebruikt om backdoors te plaatsen op WordPress-sites. TeamUpdraft is de ontwikkelaar van UpdraftPlus, een populair WordPress-backupplugin met meer dan vier miljoen actieve installaties, en biedt daarnaast UpdraftCentral aan, een dienst voor het op afstand beheren van meerdere sites. Een clientcomponent van UpdraftCentral wordt meegeleverd in elke installatie van UpdraftPlus.
Volgens een verklaring van TeamUpdraft werd de ongeautoriseerde toegang op 17 en 18 oktober 2026 ontdekt. Het team reageerde direct, sloot de toegang, meldde alle accounts af en verving alle mogelijk getroffen sleutels en inloggegevens. Naar verwachting hebben de aanvallers toegang gekregen tot de klantendatabase, die namen, e-mailadressen, factuuradressen, bestelgeschiedenis, gehashte wachtwoorden, twee-factor-authenticatie-instellingen en verbinding-sleutels bevat. Financiële gegevens worden niet in deze database opgeslagen, maar via Stripe en PayPal afgehandeld.
De UpdraftPlus-plugin zelf, evenals zelf-gehoste versies van UpdraftCentral en back-ups die naar eigen externe opslag worden gestuurd, zijn niet getroffen. TeamUpdraft adviseert gebruikers die via UpdraftCentral toegang tot hun site hebben, om hun externe opslag opnieuw te autoriseren en alle toegangssleutels te wijzigen uit voorzorg. Daarnaast zijn er updates uitgebracht die oude verbinding-sleutels automatisch verbreken en zijn alle accounts op teamupdraft.com uitgelogd en beveiligingsinstellingen gereset.
Gebruikers wordt dringend aangeraden hun wachtwoord te wijzigen, twee-factor-authenticatie opnieuw in te stellen en alert te zijn op verdachte e-mails die zogenaamd van TeamUpdraft afkomstig zijn. Cloudgebruikers van UpdraftCentral wordt geadviseerd om hun sites via het eigen WordPress-dashboard te beheren, UpdraftPlus te updaten en verbindingen met UpdraftCentral te verbreken en opnieuw in te stellen. Ook wordt aanbevolen om onbekende beheerdersaccounts en plugins te verwijderen en wachtwoorden van beheerdersaccounts te wijzigen. Bij verdachte activiteiten kan het terugzetten van een back-up van vóór 17 oktober noodzakelijk zijn.
UpdraftVault-gebruikers dienen hun sites opnieuw te verbinden met de back-updienst en UpdraftClone-gebruikers moeten nieuwe client-sleutels genereren en delen met hun klanten. TeamUpdraft heeft het incident gemeld bij de Britse Information Commissioner's Office (ICO) en andere relevante autoriteiten en heeft extra monitoring geïmplementeerd om verdere incidenten te voorkomen.
