Resumo
A TeamUpdraft informou em 19 de outubro de 2026 que invasores acessaram o banco de clientes do seu site entre 17 e 18 de outubro. Com chaves do UpdraftCentral, o atacante instalou plugins maliciosos e criou contas ocultas em sites WordPress. A empresa lançou as versões 1.26.13 e 2.26.13 do UpdraftPlus, que revogam as chaves, mas não removem o que já foi instalado.
TeamUpdraft informou em 19 de outubro de 2026 que invasores acessaram o site da empresa e usaram chaves do UpdraftCentral para instalar plugins maliciosos em sites WordPress conectados. Para quem usa o UpdraftPlus em backups, a correção saiu nas versões 1.26.13 (gratuita) e 2.26.13 (premium), mas ela não remove o que já foi instalado.
Banco de clientes e chaves de conexão entraram no alcance do ataque
A empresa por trás do UpdraftPlus identificou acesso não autorizado ao teamupdraft.com em 17 e 18 de outubro. Segundo o aviso de segurança da TeamUpdraft, assinado por Joe Whittaker, o banco de clientes provavelmente foi acessado e guarda nomes, e-mails, endereços de cobrança, histórico de pedidos, senhas com hash e chaves de conexão. Dados de cartão não ficam com a empresa, porque Stripe e PayPal cuidam dos pagamentos.
A Patchstack, que publicou sua análise em 19 de outubro, observou a campanha ao longo de cerca de 18 horas. Com chaves válidas, o invasor mandou comandos assinados que os sites aceitaram como genuínos. Os plugins instalados criam uma conta oculta de Editor, elevam seus poderes a administrador e entram por cookie, sem passar pelo login, pela verificação em duas etapas ou por plugins de proteção.
“Isso não é uma vulnerabilidade no UpdraftPlus, e até 19 de outubro nenhuma atualização do plugin impede o ataque”, disse Dave Jong, líder de pesquisa de segurança da Patchstack.
Versão 1.26.13 revoga as chaves, mas não limpa sites já atingidos
As versões 1.26.13 e 2.26.13 chegaram na noite de 19 de outubro. Elas revogam as chaves antigas do UpdraftCentral e desconectam os sites afetados. Atualizar bloqueia novos comandos, mas plugins e administradores criados antes continuam no site. Quem usa o UpdraftCentral na nuvem deve atualizar, apagar a chave de conexão, revisar usuários e plugins e trocar as senhas de administrador.
A Patchstack contou 99 nomes diferentes de plugin backdoor e diz que as chaves podem nascer de uma caixa marcada por padrão na conta e não expiram. Até quem só queria backup pode ter conexão ativa. A recomendação é remover o plugin malicioso, não consertá-lo. Em caso de invasão, a TeamUpdraft sugere restaurar um backup anterior a 17 de outubro, e o roteiro de emergência para limpar um WordPress invadido ajuda nos passos seguintes.
O que você acha? Você sabe se o seu site tem alguma conexão ativa com serviços externos de gerenciamento? Para acompanhar mais, acesse nossa editoria de WordPress Estratégico e os vídeos do canal no YouTube.
Perguntas Frequentes
O UpdraftPlus gratuito foi afetado pela invasão da TeamUpdraft?
UpdraftPlus gratuito, em versões anteriores à 1.26.13, entra no alcance do incidente apenas em sites com conexão ativa ao UpdraftCentral na nuvem. A TeamUpdraft diz que usuários gratuitos sem conta no serviço não precisam fazer mais nada além de manter o plugin atualizado. A instalação auto-hospedada do UpdraftCentral não foi afetada, segundo a empresa.
Como saber se meu site WordPress recebeu o backdoor do UpdraftCentral?
TeamUpdraft orienta revisar a lista de usuários e de plugins, inclusive os must-use, atrás de itens que ninguém instalou. A Patchstack contou 99 nomes diferentes de plugin malicioso, com Site Health Cache entre os repetidos, e recomenda localizá-los pela linha de descrição em comum. Encontrado o plugin, a ordem é removê-lo, nunca tentar consertá-lo.
Atualizar o UpdraftPlus basta para limpar um site já atacado?
UpdraftPlus 1.26.13 e 2.26.13 revogam as chaves antigas do UpdraftCentral e bloqueiam novos comandos, mas não apagam plugins nem administradores criados antes da atualização. TeamUpdraft e Patchstack pedem revisar usuários e plugins, trocar as senhas de administrador e, havendo sinal de invasão, considerar a restauração de um backup anterior a 17 de outubro.