UpdraftPlus è uno dei plugin più usati per fare il backup dei siti WordPress. Tra il 17 e il 18 ottobre 2026 qualcuno è entrato nel sito di TeamUpdraft, l’azienda che lo sviluppa, e ha portato via i dati dei clienti, comprese le chiavi che collegano i siti ai servizi in cloud dell’azienda. Secondo Patchstack, citata da BleepingComputer, dal pomeriggio del 18 ottobre quelle chiavi vengono usate per entrare nei siti WordPress, creare amministratori e installare plugin nascosti.
Lo strumento che doveva proteggere il sito è diventato la porta d’ingresso. Se il vostro sito usa UpdraftPlus, conviene capire subito se rientra tra quelli coinvolti e fare qualche controllo.
Cosa è stato rubato
Nell’avviso ufficiale del 19 ottobre TeamUpdraft elenca i dati a cui l’attaccante ha avuto accesso:
- nomi, indirizzi email, indirizzi di fatturazione e storico degli ordini
- password degli account, salvate solo in forma cifrata (hash)
- impostazioni dell’autenticazione a due fattori
- chiavi di connessione di UpdraftCentral, UpdraftVault e UpdraftClone
I dati delle carte di pagamento sono esclusi, perché li gestiscono Stripe e PayPal. Restano fuori anche i file del plugin, la versione di UpdraftCentral installata sui propri server e i backup salvati sugli spazi del cliente (Google Drive, Dropbox, Amazon S3 e simili).
Come vengono usate le chiavi rubate
UpdraftCentral serve a gestire molti siti WordPress da un unico pannello: aggiornamenti, backup, utenti. Chi ha la chiave di un sito può mandargli comandi come se fosse il legittimo gestore. È quello che sta succedendo: l’attaccante usa il canale di gestione remota con chiavi valide, crea account con pieni poteri di amministratore e installa plugin malevoli.
Patchstack ha contato almeno 99 plugin con nomi diversi, travestiti da strumenti di manutenzione e ottimizzazione, come “Site Health Cache”. Nelle prime versioni contenevano un errore di codice, poi corretto. La stessa TeamUpdraft scrive che la velocità degli attacchi, insieme a quei primi plugin difettosi, fa pensare che gli attaccanti abbiano usato l’intelligenza artificiale per accelerare il lavoro.
Chi è coinvolto
- Siti collegati a UpdraftCentral in cloud: sono il caso principale, e vanno controllati uno per uno.
- Utenti di UpdraftPlus Premium: TeamUpdraft raccomanda di verificare i siti anche a chi non ha mai usato UpdraftCentral.
- Utenti di UpdraftVault e UpdraftClone: le connessioni sono state staccate e le chiavi sostituite, quindi va rifatto il collegamento con le nuove credenziali.
- Versione gratuita senza account su teamupdraft.com: nessuna azione richiesta, a parte tenere il plugin aggiornato.
Secondo BleepingComputer circa il 10% dei siti con UpdraftPlus ha una chiave UpdraftCentral o Migrator, e i siti potenzialmente esposti sarebbero intorno ai 400.000. TeamUpdraft non ha comunicato numeri.
Cosa fare, sito per sito
Le versioni 1.26.13 (gratuita) e 2.26.13 (Premium) di UpdraftPlus scollegano in automatico tutte le connessioni a UpdraftCentral create prima del 18 ottobre, così le vecchie chiavi smettono di funzionare. Secondo l’analisi di Nethemba, citata da BleepingComputer, il primo aggiornamento rilasciato (1.26.12 e 2.26.12) non riusciva a rimuoverle per un errore. Aggiornare chiude la porta, ma quello che l’attaccante ha già lasciato nel sito resta lì. Per questo TeamUpdraft indica questi passaggi:
- Entrare nel pannello WordPress del sito direttamente, non passando da UpdraftCentral.
- Aggiornare UpdraftPlus alla versione 1.26.13 (gratuita) o 2.26.13 (Premium), o successive.
- Cancellare la chiave di connessione in Impostazioni > UpdraftPlus > Advanced Tools > UpdraftCentral.
- Aprire Utenti e cercare amministratori che non riconoscete, poi eliminarli.
- Aprire Plugin, compresa la scheda dei plugin obbligatori (Must-Use) se è visibile, e rimuovere tutto quello che non riconoscete.
- Cambiare la password di tutti gli amministratori del sito.
- Se trovate qualcosa di sospetto, valutare il ripristino da un backup precedente al 17 ottobre.
- Solo alla fine, ricollegare il sito a UpdraftCentral.
Chi ha un account su teamupdraft.com deve anche cambiarne la password, digitando l’indirizzo del sito a mano invece di seguire un link, e reimpostare l’autenticazione a due fattori. Se la stessa password è usata altrove, va cambiata anche lì. TeamUpdraft invita anche a diffidare delle email che dicono di arrivare da loro.
I segnali da cercare
Negli aggiornamenti del 22 ottobre TeamUpdraft indica tre indizi concreti:
- utenti inattesi, in particolare una serie di account con ruolo editor che nessuno ha creato
- plugin che non riconoscete, anche con nomi credibili da manutenzione o cache
- indirizzi IP sconosciuti nei log di accesso
Un sito compromesso spesso continua a funzionare come prima, senza segni visibili. Per questo il controllo va fatto anche se il sito sembra a posto.
Cosa insegna questo caso a chi ha un sito aziendale
Un sito WordPress aziendale accumula nel tempo collegamenti esterni: il plugin di backup, il pannello dell’agenzia che lo gestisce, il servizio di sicurezza, lo strumento per gli aggiornamenti. Ognuno ha una chiave che apre il sito, e se viene violato il fornitore, quella chiave passa di mano. È lo stesso meccanismo che abbiamo descritto parlando di sicurezza dei fornitori IT: il punto debole sta spesso fuori dall’azienda.
Tre abitudini riducono il rischio:
- sapere quali servizi esterni hanno accesso al sito, e scollegare quelli che non si usano più
- pochi amministratori, ciascuno con il proprio account e l’autenticazione a due fattori
- backup conservati fuori dal sito e provati con un ripristino vero, come spiegato in backup e disaster recovery: le domande da farsi
Il caso UpdraftCentral mostra quanto possa contare un backup pulito e datato: è l’unico modo per tornare con certezza a com’era il sito prima del 17 ottobre.
Il team di BitAgorà controlla con voi il sito WordPress: amministratori, plugin, chiavi di collegamento a servizi esterni e versione di UpdraftPlus. Contattaci per fissarlo.