Situs WordPress Disusupi Backdoor Menggunakan Kunci UpdraftCentral yang Dicuri

Pengembang plugin backup dan keamanan WordPress populer, TeamUpdraft, mengonfirmasi terjadinya insiden pembobolan situs web mereka. Penyerang berhasil mengakses basis data pelanggan dan mencuri berbagai informasi sensitif, termasuk kunci koneksi UpdraftCentral yang dapat dieksploitasi untuk mengirimkan perintah berbahaya ke situs-situs WordPress yang terhubung.

TeamUpdraft mendapati adanya akses tidak sah ke situs teamupdraft.com pada akhir pekan tanggal 17–18 Oktober 2026. Tim pengembang langsung bergerak cepat menutup celah akses tersebut, mengeluarkan seluruh akun (sign out), serta mengganti berbagai kunci dan kredensial yang berpotensi terdampak.

Sebagai informasi, TeamUpdraft mengembangkan sejumlah perangkat manajemen dan pencadangan WordPress yang banyak digunakan, di antaranya:

• UpdraftPlus: Plugin pencadangan dan pemulihan situs dengan lebih dari 4 juta unduhan.
• UpdraftCentral: Alat untuk mengelola banyak situs secara jarak jauh (remote management).
• UpdraftVault: Layanan penyimpanan cloud backup.
• UpdraftClone: Fitur untuk membuat situs tiruan (staging).

Dalam pengumuman resminya, TeamUpdraft menyatakan bahwa peretas kemungkinan besar berhasil mengakses basis data pelanggan yang memuat detail penagihan, riwayat pesanan, password hashes, pengaturan autentikasi dua faktor (2FA), serta kunci koneksi untuk layanan UpdraftCentral, UpdraftVault, dan UpdraftClone. Kendati demikian, pihak pengembang memastikan bahwa data pembayaran finansial tidak disimpan di server mereka, berkas instalasi plugin UpdraftPlus tidak terinfeksi, dan instalasi mandiri (self-hosted) UpdraftCentral tidak terdampak oleh insiden ini.

Eksploitasi Kunci UpdraftCentral dan Serangan Backdoor Massal

Berdasarkan estimasi, sekitar 10% dari total situs yang menggunakan plugin UpdraftPlus memiliki kunci UpdraftCentral atau Migrator yang aktif, sehingga diperkirakan ada sekitar 400.000 situs web yang berpotensi terekspos ke dalam gelombang serangan ini.

Peneliti utama dari Patchstack, Oliver Sild, melaporkan bahwa para penyerang telah mulai menggunakan kunci akses curian tersebut untuk menanamkan backdoor ke dalam situs-situs yang terhubung dengan UpdraftCentral. Kampanye serangan ini dinilai berpotensi jauh lebih berbahaya dibandingkan serangan “wp2shell” sebelumnya.

Aktivitas serangan tercatat mulai dilancarkan sejak 18 Oktober pukul 15:32 UTC. Pelaku memanfaatkan kunci yang sah untuk mengeksekusi kode arbitrer, menyusupkan plugin backdoor, serta membuat akun siluman dengan hak akses penuh sebagai administrator (full administrator privileges).

Patchstack mencatat setidaknya ada 99 varian plugin backdoor berbahaya dengan berbagai nama samaran yang mengecoh, seperti menyamar sebagai perangkat pemeliharaan sistem “Site Health Cache”. Laporan terpisah dari perusahaan keamanan aplikasi web Nethemba juga mendokumentasikan varian backdoor terbaru yang memungkinkan penyerang membuat akun istimewa atau langsung masuk (login) sebagai administrator yang sudah ada.

Nethemba mengungkapkan bahwa tiga situs WordPress milik mereka turut menjadi sasaran, di mana dua di antaranya berhasil disusupi plugin berbahaya. Menariknya, situs-situs tersebut berjalan di atas versi WordPress 7.1.3 dan UpdraftPlus 2.26.11 yang sebenarnya sudah aman dari kerentanan Juni lalu (CVE-2026-10795). Penyerang masuk bukan melalui kelemahan konfigurasi server, melainkan memanfaatkan jalur manajemen jarak jauh UpdraftCentral menggunakan kunci privat dashboard yang valid—di mana rilis perbaikan awal pengembang (versi 1.26.12/2.26.12) gagal menghapus kunci UpdraftCentral Cloud secara tuntas akibat adanya bug.

Langkah Mitigasi dan Pembaruan Keamanan

Untuk menanggulangi celah keamanan ini, TeamUpdraft dan para peneliti keamanan mendesak para pemilik situs dan administrator untuk segera mengambil langkah-langkah mitigasi berikut:

1. Perbarui Plugin: Segera lakukan pembaruan plugin UpdraftPlus ke versi 1.26.13 (untuk versi gratis) atau 2.26.13 (untuk versi Premium) dan versi di atasnya.
2. Hapus Kunci Lama: Setelah memperbarui, masuk ke setiap situs WordPress Anda, lalu hapus kunci koneksi UpdraftCentral melalui menu: Settings → UpdraftPlus Backups → Advanced Tools → UpdraftCentral → Manage existing keys.
3. Rotasi Kredensial Penyimpanan: Jika Anda menggunakan penyimpanan jarak jauh pihak ketiga, ganti kata sandi dan rotasi kredensial penyimpanan tersebut.
4. Audit Keamanan dan File Sistem: Periksa log server dan file direktori untuk mendeteksi indikasi keberadaan plugin backdoor asing.
5. Pulihkan dari Backup Bersih: Jika situs dipastikan telah dikompromikan, disarankan untuk memulihkan situs dari cadangan (backup) bersih yang dibuat sebelum tanggal 17 Oktober, mengganti kata sandi akun TeamUpdraft, mencabut semua sesi aktif, serta mengatur ulang metode 2FA.

Sumber: TeamUpdraft Advisory / Patchstack / Nethemba