اختراق TeamUpdraft يكشف مفاتيح UpdraftCentral

21 أكتوبر 2026 3 دقائق قراءة هدهد تك | Hudhud Tech

اخترق مهاجم موقع TeamUpdraft، الشركة المطورة لإضافات النسخ الاحتياطي والأمان الشهيرة في WordPress، ما قد يؤدي إلى كشف مفاتيح اتصال UpdraftCentral القادرة على إرسال أوامر إلى المواقع المتصلة.

اكتشفت TeamUpdraft وصولاً غير مصرح به إلى بنيتها التحتية خلال عطلة نهاية الأسبوع، وتعتقد أن المخترق وصل إلى قاعدة بيانات العملاء.

توفر الشركة عدة أدوات لـ WordPress للنسخ الاحتياطي والتخزين وإدارة المواقع:

UpdraftPlus: إضافة للنسخ الاحتياطي واستعادة المواقع بأكثر من 4 ملايين تنزيل
UpdraftCentral: لإدارة مواقع متعددة عن بُعد
UpdraftVault: لتخزين النسخ الاحتياطي السحابي
UpdraftClone: لإنشاء مواقع تجريبية

وقالت TeamUpdraft في إشعار بتاريخ 21 أكتوبر: «خلال عطلة نهاية الأسبوع من 17 إلى 18 أكتوبر اكتشفنا وصولاً غير مصرح به إلى موقع teamupdraft.com».

وأضافت: «استجاب فريقنا على الفور وعمل طوال الليل لاحتواء الأمر – أغلقنا مسار الوصول، وسجلنا الخروج من كل حساب، واستبدلنا المفاتيح وبيانات الاعتماد التي كان يمكن أن تتأثر».

تعتقد الشركة أن المهاجم وصل إلى قاعدة بيانات عملائها، التي تضمنت تفاصيل عن العملاء والفواتير وسجل الطلبات، إضافة إلى معلومات أكثر حساسية:

تجزئات كلمات المرور
إعدادات المصادقة الثنائية
مفاتيح الاتصال لخدمات UpdraftCentral وUpdraftVault وUpdraftClone

وأكدت الشركة أنها لم تخزن أي تفاصيل دفع، مشيرة إلى أن ملفات إضافة UpdraftPlus وعمليات التنزيل لم تتأثر. كما أن نسخ UpdraftCentral المستضافة ذاتياً غير متأثرة.

وحتى إذا كانت النسخ الاحتياطية في التخزين البعيد الخاص بالعملاء غير متأثرة، توصي الشركة المستخدمين بتدوير بيانات اعتماد التخزين وإعادة تفويض الاتصالات إذا كانوا قد وصلوا إلى مواقعهم عبر UpdraftCentral.

نطاق تأثير واسع

يُقدَّر أن 10% من المواقع التي تستخدم UpdraftPlus لديها مفتاح UpdraftCentral أو Migrator، ما قد يعرض نحو 400 ألف موقع للهجوم.

وبحسب أوليفر سيلد، الباحث الرئيسي في Patchstack، بدأ المهاجمون استخدام مفاتيح وصول مسروقة لزرع أبواب خلفية في مواقع متصلة بـ UpdraftCentral، وقال إن الحملة قد تكون أشد خطورة من هجوم «wp2shell».

وأفادت شركة أمان إضافات WordPress أن الهجمات بدأت في 18 أكتوبر عند الساعة 15:32 بالتوقيت العالمي المنسق لتنفيذ تعليمات برمجية عشوائية وإضافة حسابات بصلاحيات مسؤول كاملة.

وسجل الباحثون 99 إضافة باب خلفي خبيثة على الأقل بأسماء مميزة تتنكر في هيئة أدوات صيانة وتحسين لـ WordPress، مثل «Site Health Cache».

ورغم أن Patchstack تصف نسخة مبكرة من إضافة الباب الخلفي بأنها معطلة بسبب خطأ برمجي، فإن تقريراً من شركة أمان تطبيقات الويب Nethemba يوثق نسخة أحدث تتيح للمهاجمين إنشاء حسابات ذات صلاحيات أو تسجيل الدخول كمسؤولين موجودين.

وتذكر Nethemba أن ثلاثة من مواقع WordPress الخاصة بها تعرضت للاستهداف عبر UpdraftCentral، وتم تثبيت إضافات خبيثة بنجاح على اثنين منها.

وتقول Nethemba: «شغلت المواقع الثلاثة جميعها الإصدار الحالي WordPress 7.1.3 وUpdraftPlus 2.26.11، وهو مُرقّع ضد ثغرة يونيو CVE-2026-10795».

وأضافت: «لم يقتحم المهاجم خوادمنا ولم يستغل أي ضعف في إعداداتنا. دخل المهاجم عبر قناة الإدارة عن بُعد UpdraftCentral ووقّع الأوامر بمفاتيح لوحة تحكم خاصة صالحة».

وتفيد Nethemba بأن الإصدار الأولي 1.26.12/2.26.12 من الشركة كان يهدف إلى إزالة مفاتيح UpdraftCentral Cloud، لكن خطأً برمجياً منعه من ذلك.

ويُنصح المستخدمون بتحديث UpdraftPlus إلى الإصدار 1.26.13 (المجاني) / 2.26.13 (المميز) أو أحدث.

وبعد التحديث، يُنصح بتسجيل الدخول إلى كل موقع WordPress وحذف مفاتيح اتصال UpdraftCentral من Settings → UpdraftPlus Backups → Advanced Tools → UpdraftCentral → Manage existing keys.

وينبغي للمسؤولين فحص السجلات والملفات بحثاً عن مؤشرات اختراق قدمتها TeamUpdraft وPatchstack وNethemba.

وإذا تأكد الاختراق، يُنصح باستعادة المواقع من نسخ احتياطية نظيفة، وتغيير كلمة مرور حساب TeamUpdraft، وإلغاء جميع الجلسات، وإعادة تعيين طريقة الحماية بالمصادقة الثنائية.

المصدر: BleepingComputer

ما رأيك بهذا الخبر؟