UpdraftPlus 開發商遭入侵，被盜密鑰用作植入後門

開發商承認客戶資料庫或已外洩

據 TeamUpdraft 周一（19 日）發出的事故通告，公司在 10 月 17 日至 18 日的周末發現 teamupdraft.com 網站被未經授權存取，相信客戶資料庫已被取得。TeamUpdraft 是英國 WordPress 備份外掛 UpdraftPlus 的開發商，據網絡安全公司 Patchstack，該外掛有逾 400 萬個網站在用。

TeamUpdraft 表示已關閉入侵途徑、登出所有帳戶、更換受影響的密鑰，並已向英國資訊專員辦公室（ICO）通報。

被盜密鑰用來向網站推送後門外掛

據網絡安全公司 Nethemba 周一（19 日）公布的分析，公司旗下三個網站被人經 UpdraftCentral 植入後門。UpdraftCentral 是 UpdraftPlus 的遙距管理服務，網站一旦連上，就會執行任何以管理台私鑰簽署的指令，毋須人逐一確認。Nethemba 排除了網站本身出錯的可能，認為密鑰是從 UpdraftCentral 雲端服務外洩。

Patchstack 同日的分析指，攻擊者發出的指令經過正確加密和簽署，外掛的每項檢查都會通過，因此當時最新版本的外掛同樣受影響。該公司在 10 月 18 日至 19 日約 18 小時內，觀察到 99 個不同名稱的後門外掛被安裝。

後門可避過雙重認證

Patchstack 指，後門外掛會建立一個顯示為「編輯」的帳戶，實際上卻有安裝外掛和修改網站設定的權限；由於登入時直接寫入 cookie，雙重認證和登入保護外掛都不會啟動。外掛移除後，帳戶仍然留在網站上。

另外，Patchstack 指用戶以 TeamUpdraft 帳戶連接網站時，「加入 UpdraftCentral」的選項預設已剔選，網站可能在站長不知情下取得密鑰。

更新外掛之外仍要刪除密鑰

TeamUpdraft 表示已推出 UpdraftPlus 1.26.12（免費版）及 2.26.12（付費版），會自動中斷香港時間 10 月 19 日早上 5 時前建立的所有 UpdraftCentral 連線。公司又促 UpdraftCentral 雲端用戶直接登入每個網站，刪除連線密鑰，並檢查有沒有不明的管理員帳戶和外掛。Patchstack 則提醒，出錯的後門外掛不要修復，因為修好後門就會生效，應直接移除。

翻查資料，UpdraftPlus 在 2026 年 6 月才修補另一個經 UpdraftCentral 偽造指令的漏洞（CVE-2026-10795），修正版本為 1.26.5。

來源

• TeamUpdraft security incident: What customers need to know（2026 年 10 月 19 日）（原始文件）
• Stolen UpdraftCentral Keys Are Backdooring WordPress Sites（Patchstack）
• Critical security problem in UpdraftCentral: an attacker holding the service's keys planted a backdoor on our websites（Nethemba）