Khóa UpdraftCentral bị đánh cắp, hàng loạt website WordPress dùng UpdraftPlus bị cài plugin backdoor

TeamUpdraft, đơn vị phát triển plugin sao lưu UpdraftPlus (hơn 4 triệu lượt cài), cho biết website teamupdraft.com bị truy cập trái phép vào cuối tuần 17-18/10/2026. Cơ sở dữ liệu khách hàng bị lộ, trong đó có khóa kết nối của UpdraftCentral, UpdraftVault và UpdraftClone.

Ngay sau đó, Wordfence và Patchstack ghi nhận kẻ tấn công dùng các khóa UpdraftCentral bị đánh cắp để cài plugin backdoor lên những website WordPress đang kết nối. Theo Patchstack, chiến dịch chạy liên tục trong khoảng 18 giờ, từ ngày 18 tới 19/10. Patchstack chấm mức CVSS 9.8; hiện sự cố chưa có mã CVE.

Vì sao lại nguy hiểm?

UpdraftCentral là dịch vụ quản lý nhiều website WordPress từ một bảng điều khiển: sao lưu, cập nhật plugin, theme, quản lý người dùng... Khi kết nối, website và bảng điều khiển trao đổi khóa mã hóa. Từ đó, UpdraftPlus trên website sẽ chấp nhận mọi lệnh có chữ ký hợp lệ và chạy lệnh với quyền của người dùng WordPress đã tạo kết nối.

Kẻ tấn công không cần khai thác lỗ hổng nào trong mã nguồn. Có khóa thật trong tay, chúng gửi lệnh plugin.upload_plugin để tải lên, kích hoạt rồi xóa plugin độc hại. Với website, các lệnh này trông hoàn toàn hợp lệ. Vì vậy, kể cả site đã cài bản vá cho lỗ hổng cũ CVE-2026-10795 vẫn có thể bị cài plugin.

Wordfence nhận được báo cáo về các site bị cài plugin độc hại khi chạy UpdraftPlus Premium 2.26.11.x và UpdraftPlus Free 1.26.10, 1.26.11.

Website nào có nguy cơ?

Không phải mọi site dùng UpdraftPlus đều bị ảnh hưởng. Trình nhận lệnh UpdraftCentral có sẵn trong cả bản Free và Premium, nhưng chỉ hoạt động khi website có khóa kết nối. Nhóm nguy cơ cao nhất là các site từng kết nối với UpdraftCentral bản cloud của TeamUpdraft.

Cần lưu ý: ở bản 1.26.11, khi người dùng kết nối tài khoản TeamUpdraft, tùy chọn "thêm website vào UpdraftCentral" được chọn sẵn. Nghĩa là site có thể đã kết nối UpdraftCentral mà chủ site không nhớ mình từng bật. Theo TeamUpdraft, người dùng bản Free không có tài khoản teamupdraft.com thì không cần làm gì cho sự cố này.

Cách kiểm tra site có khóa hay không: đăng nhập trực tiếp vào trang quản trị của site (không đi qua UpdraftCentral), vào Settings → UpdraftPlus → Advanced Tools → UpdraftCentral. Nếu thấy dòng Manage existing keys (N) với N ≥ 1, site đang hoặc từng nhận lệnh từ UpdraftCentral. Ở database, khóa được lưu trong option updraft_central_localkeys. Không đăng nội dung option này lên diễn đàn hay gửi cho người khác vì nó chứa khóa bí mật.

Không còn khóa không có nghĩa là site chưa từng nhận lệnh độc hại. Nếu khóa vừa bị xóa gần đây, vẫn cần kiểm tra log, plugin, tài khoản và file.

Bản vá và biện pháp tạm thời

• TeamUpdraft đã phát hành UpdraftPlus 1.26.12 (Free) và 2.26.12 (Premium). Hai bản này tự ngắt mọi kết nối UpdraftCentral tạo trước 21:00 UTC ngày 18/10/2026. Hãy cập nhật bằng cách đăng nhập trực tiếp vào từng site, không cập nhật qua UpdraftCentral.
• Wordfence đã phát hành rule firewall khẩn cấp chặn lệnh UpdraftCentral gửi tới các bản UpdraftPlus bị ảnh hưởng, và đưa sớm rule này cho cả người dùng Wordfence Free. Để nhận rule ngay: Wordfence → Firewall → All Firewall Options → Advanced Firewall Options → Manually Refresh Rules. Rule không ảnh hưởng việc sao lưu thông thường.
• Patchstack cũng đã triển khai rule giảm thiểu, chặn lệnh từ xa của UpdraftCentral.

Cả bản vá và firewall chỉ chặn lệnh mới, không gỡ được plugin, tài khoản hay mã độc đã được cài trước đó.

Các bước xử lý cho từng site đã kết nối

1. Đăng nhập trực tiếp vào trang quản trị của site.
2. Vào Settings → UpdraftPlus → Advanced Tools → UpdraftCentral, xóa toàn bộ khóa kết nối. Xóa site trên bảng điều khiển UpdraftCentral là chưa đủ, vì khóa nằm trên chính website.
3. Dùng một thiết bị sạch, tự gõ địa chỉ teamupdraft.com để đổi mật khẩu tài khoản, đổi cả ở những nơi dùng chung mật khẩu đó; đặt lại xác thực hai lớp nếu có. TeamUpdraft cho biết họ không bao giờ hỏi mật khẩu hay khóa kết nối.
4. Lưu lại bằng chứng trước khi dọn dẹp: log UpdraftCentral, access log của web server, log lỗi PHP, bản sao file đáng ngờ, danh sách plugin và người dùng hiện tại.
5. Cập nhật lên UpdraftPlus 1.26.12 / 2.26.12 trở lên.
6. Quét mã độc (với Wordfence, nên dùng chế độ High Sensitivity).
7. Kiểm tra file qua SFTP/SSH hoặc panel hosting, không chỉ dựa vào màn hình Plugins: wp-content/plugins, wp-content/mu-plugins, wp-content/upgrade, theme, thư mục uploads có file thực thi, file ở thư mục gốc, wp-admin, wp-includes, các drop-in như advanced-cache.php, db.php, object-cache.php.
8. Kiểm tra tài khoản trực tiếp trong database: quyền thực tế, phiên đăng nhập, application password. Một biến thể mã độc có thể cấp quyền gần như quản trị cho tài khoản hiển thị là Editor; biến thể khác ẩn tài khoản admin khỏi màn hình Users hoặc đăng nhập dưới danh nghĩa admin có sẵn mà không cần tạo tài khoản mới.
9. Nếu phát hiện dấu hiệu bất thường hoặc không thể xác minh site sạch: khôi phục từ bản sao lưu sạch trước ngày 17/10/2026, cài lại lõi WordPress, plugin, theme từ nguồn tin cậy.
10. Sau khi dọn xong, đổi mật khẩu toàn bộ quản trị viên và đăng xuất mọi phiên. Nếu site đã bị xâm nhập, đổi cả thông tin hosting, FTP, database, khóa API.
11. Chỉ kết nối lại UpdraftCentral bằng khóa mới khi đã hoàn tất các bước trên.

Người dùng UpdraftVault và UpdraftClone: TeamUpdraft đã ngắt mọi site khỏi UpdraftVault và cấp lại thông tin đăng nhập. Bản sao lưu lên UpdraftVault sẽ dừng cho tới khi bạn kết nối lại (Settings → UpdraftPlus → Settings → UpdraftVault → Already got space? → Connect). Khóa UpdraftClone cũng đã được thay, cần lấy khóa mới trong My Account → UpdraftClone.

Dấu hiệu nhận biết

Trong log UpdraftCentral (Advanced Tools → UpdraftCentral), chú ý các dòng:

• probe.central.updraftplus.com
• Command received: plugin.upload_plugin
• Command received: plugin.delete_plugin

Trong access log của web server:

• IP 43.250.53.42 và 2a09:bac5:4e21:2e3c::49b:9
• User-Agent chính xác WordPress/6.4; class-udrpc.php. Theo phân tích của Nethemba, lưu lượng thật từ TeamUpdraft có chứa phiên bản thư viện UDRPC và địa chỉ teamupdraft.com trong User-Agent.
• Request vào trang chủ có tham số query tên gồm 12 ký tự hex, giá trị là chuỗi 32 ký tự, có thể theo sau là chuyển hướng và hoạt động quản trị.

Plugin lạ xuất hiện quanh ngày 18-19/10 mà không ai trong nhóm cài, ví dụ: Load Stack 35C, Text Gantry Eb0, style-bridge-8f5, speed-press-23b, hero-bridge-6c9, site-health-6a20, db-works-7dba, cache-frame, site-engine, opt4fix, js-fix-757a, lazy-tool-3055, cache-smith. Một số plugin có mô tả "Small maintenance toolkit: keeps option storage tidy." Tên plugin thay đổi liên tục, nên đừng chỉ dò theo tên.

Một số mẫu mã độc bị lỗi, khiến site báo lỗi 500 hoặc thông báo "critical error" kèm tên một plugin lạ. Tuy nhiên, site vẫn chạy bình thường không có nghĩa là chưa bị xâm nhập.

Kẻ tấn công liên tục đổi IP, tên plugin và header, nên chỉ chặn theo các giá trị trên là chưa đủ. Hãy kết hợp nhiều dấu hiệu và đối chiếu với thời điểm plugin được cài, file được tạo.

Nguồn tham khảo: Wordfence, Patchstack và thông báo sự cố của TeamUpdraft.