UpdraftPlus 备份插件安全事件：UpdraftCentral 密钥泄露可导致网站被植入后门
安全公司 Patchstack 的初步分析揭示，一起影响 300 万个以上 WordPress 网站的 UpdraftPlus 安全事件，其核心并非插件代码本身的编程漏洞。攻击者利用被泄露的 UpdraftCentral 连接密钥，向已连接的网站发送了与远程管理服务"合法指令"无法区分的命令，从而安装恶意插件并创建未授权的管理员账户。
事件背景：TeamUpdraft 官网遭入侵
TeamUpdraft 确认，其官网在 2026 年 10 月 17 日至 18 日那个周末遭到入侵。公司认为攻击者进入了客户数据库，其中包含客户信息以及 UpdraftCentral 等服务的连接密钥。正是这些泄露的密钥，让攻击者得以控制与之相连的 WordPress 网站。
整套攻击链由此形成：从官网数据库到连接密钥，再到通过远程管理通道反向控制站点。攻击者全程不需要用户名和密码。
核心变化：官方发布安全更新，撤销旧连接
TeamUpdraft 在博客中说明了三项处置动作：关闭了此次入侵的核心未授权访问通道；替换了可能已被泄露的凭据；并发布安全更新，撤销旧有的 UpdraftCentral 连接。
更新于 2026 年 10 月 19 日发布，免费版为 UpdraftPlus 1.26.13，付费版为 2.26.13。更新日志将其描述为"撤销 UpdraftCentral Cloud 密钥"，其中 1.26.13 修正了前一版本在应用撤销操作时的处理方式。更新会自动将受影响的网站与 UpdraftCentral 断开，堵死该条攻击路径。WordPress.org 也已自动把新版本推送给用户。
攻击原理：合法密钥通过了所有校验
UpdraftCentral 依靠安全密钥对远程面板发往各站点的指令进行认证，从而在不逐个登录网站的前提下执行管理动作。
关键问题在于标准安全检查无法区分"真指令"与"用被盗密钥认证的假指令"。从站点视角看，后者同样是合法的，WordPress 因此直接接受了攻击者的命令。
Patchstack 在 TeamUpdraft 发出更新前发布的初步分析中，将该问题定性为并非真实漏洞：
“这不是 UpdraftPlus 的漏洞，截至 10 月 19 日也没有任何插件更新能阻止它。这些命令被正确加密，并用仪表盘的真实私钥签名。插件中的每一项检查都会通过，因为从站点的角度看，这条指令就是合法的。”
换句话说，攻击者并没有利用插件的编程错误，安全机制是按设计运行的；但被窃取的密钥让他们得以冒充远程管理服务本身。
落地入侵：恶意插件与后门账户
攻击者利用被盗的 UpdraftCentral 密钥，向已连接站点发送指令，要求安装并激活恶意插件。由于命令通过真实密钥认证，网站将其视为合法指令，走的是 WordPress 正常的插件安装流程。
恶意插件内置后门，可以创建一个 Editor（编辑者）角色的 WordPress 用户账户，再单独为该账户追加管理员级权限。Editor 本身无权安装插件或管理关键设置，恶意代码却绕开这一点单独授予，使这些未授权账户在查看已安装插件列表时看起来与普通编辑者无异，难以被识别。后门同时绕过 WordPress 常规登录流程，包括双因素认证和登录尝试次数限制。
Patchstack 还发现，恶意插件中含有一个代码错误，会导致受影响站点在后门激活前返回服务器错误。该错误降低了实际危害，但并未消除风险。
Patchstack 共识别出 99 个恶意插件使用的不同名称，其中一个叫 Site Health Cache。这些名称大多模仿合法的网站维护与性能工具，不易引起站长警觉。
影响范围：未必是你主动连接的
一个容易被忽略的细节是：站长即使从未打算使用远程管理服务，也可能已经处于 UpdraftCentral 连接状态。
Patchstack 报告指出，把网站连接到 TeamUpdraft 账号时，由于"启用远程管理"选项默认勾选，连接会自动创建 UpdraftCentral 连接。因此，仅仅把 UpdraftPlus 当作备份工具使用的网站，可能在站长毫不知情的情况下持有有效连接密钥。
本次事件影响的是存在有效 UpdraftCentral Cloud 连接的网站，并非所有安装了该插件的网站；免费版与付费版均受影响。TeamUpdraft 表示，自托管（self-hosted）的 UpdraftCentral 安装未受影响。
影响与建议
- 立即升级：确认站点运行的是免费版 1.26.13 或付费版 2.26.13 及以上版本；更新会自动断开受影响的 UpdraftCentral 连接。
- 排查站点：TeamUpdraft 呼吁包括从未主动使用过 UpdraftCentral 的站长在内，检查网站是否存在未授权活动。
- 检查插件与账户：重点排查已安装插件列表中是否存在 99 个已知名称或形似维护/性能工具的陌生插件，同时核对是否存在来源不明的 Editor 角色用户——Editor 账号若实际拥有插件安装权限，即为异常信号。
- 重新审视连接：若从未使用远程管理，可在插件设置中确认并关闭 UpdraftCentral 连接与相关授权。
升级之外：需要清理的残留项
安全更新虽然已经堵住了被劫持连接的后续利用通道，但它不会自动清除已经落到站点上的恶意插件或未授权账号。因此升级并不等于事情结束，判断"是否已被入侵"仍然需要人工核查。
具体建议包括：
- 检查已安装插件列表，找出自己并不熟悉、来源不明的插件并及时移除
- 检查 WordPress 用户账号，确认是否存在未授权的管理员角色
- 确认站点运行的是 UpdraftPlus 1.26.13 或 2.26.13，或更新的版本
- 移除所有仍然残留的、被污染的 UpdraftCentral 连接密钥
处置路径与账号安全
连接密钥可以在 WordPress 后台管理：Settings → UpdraftPlus → Advanced Tools → UpdraftCentral。
如果发现入侵证据，TeamUpdraft 还建议：
- 修改所有管理员账号的密码
- 考虑从 10 月 17 日之前创建的备份进行恢复
- TeamUpdraft 账户持有人同样需要修改自己的账户密码
当前态势
关于当前态势，公司的说法是：目前没有证据表明攻击者仍持有其系统的访问权限，但调查尚未结束。
也就是说，风险敞口主要落在下游站点端，而不是 Updraft 官方系统本身。因此建议站点运营方把这次更新当作一次完整的安全响应来做，而不是一次常规版本升级——升级、清账号、撤密钥、改密码，四件事缺一不可。
