Bezpečnostní incident UpdraftPlus: ukradené klíče otevřely útočníkům cestu do webů na WordPressu

UpdraftPlus je oblíbený plugin pro zálohování WordPressu. Podle Search Engine Journal ho používá přes 3 miliony webů a nedávno posloužil jako cesta k útoku. Útočníci získali klíče ke vzdálené správě UpdraftCentral. Díky nim mohli na připojené weby instalovat škodlivé pluginy a vytvářet neoprávněné účty s administrátorskými právy, a to bez přihlašovacího jména i hesla. Pokud váš firemní web běží na WordPressu a používá UpdraftPlus, doporučujeme ho zkontrolovat ještě dnes.

Co se stalo

Společnost TeamUpdraft potvrdila, že útočníci o víkendu 17.–18. října 2026 pronikli na její web. Podle firmy se pravděpodobně dostali i do zákaznické databáze, kde byly uložené také klíče pro propojení se službou UpdraftCentral. Ta slouží ke správě více webů z jednoho panelu. Pokyny podepsané těmito klíči proto weby přijímaly jako legitimní.

Bezpečnostní firma Patchstack upozornila, že nejde o chybu v kódu pluginu. Kontroly fungovaly tak, jak měly, jenže s pravými klíči se útočníci mohli vydávat za samotnou službu vzdálené správy. Na webech pak instalovali škodlivé pluginy se zadními vrátky. Ta umožňovala vytvořit účet s rolí Editor a přidělit mu navíc oprávnění, která běžně mají jen administrátoři. Takový účet by na první pohled vypadal jako obyčejný editor. Zadní vrátka také obcházela běžné přihlášení, takže by nepomohlo ani dvoufázové ověření, ani omezení počtu pokusů o přihlášení.

Podle analýzy Patchstacku měly škodlivé pluginy v kódu chybu. Kvůli ní zasažené weby vracely chyby serveru dřív, než se zadní vrátka stihla aktivovat. Riziko tím ale nezmizelo. Patchstack našel 99 různých názvů těchto pluginů, například „Site Health Cache“. Na první pohled tedy vypadají jako běžné nástroje pro údržbu nebo zrychlení webu.

Dne 19. října 2026 vyšly opravné verze UpdraftPlus 1.26.13 (bezplatná) a 2.26.13 (prémiová). Zneplatňují cloudové klíče UpdraftCentral a weby od služby automaticky odpojí. WordPress.org podle TeamUpdraft rozeslal aktualizaci automaticky. Firma uvádí, že zatím nemá důkazy o tom, že by útočníci měli do jejích systémů stále přístup. Vyšetřování ale ještě pokračuje.

Co to znamená pro firmy

Ohrožené jsou weby, které měly aktivní cloudové propojení s UpdraftCentral, nikoli všechny weby s pluginem UpdraftPlus. Týká se to bezplatné i placené verze. Vlastní (self-hosted) instalace UpdraftCentral zasaženy nebyly.

Háček je v tom, že propojení mohlo vzniknout i bez vašeho vědomí. Podle Patchstacku se při spojení webu s účtem TeamUpdraft volba vzdálené správy zapínala automaticky. Ohrožený tak může být i web, který plugin používá jen na zálohy.

Aktualizace zabrání dalšímu zneužití, ale už nainstalované škodlivé pluginy ani neoprávněné účty z webu neodstraní. Samotná aktualizace pluginu proto nestačí.

Co doporučujeme udělat

My v RBK Digital doporučujeme projít tyto kroky, ideálně s tím, kdo se o váš web stará:

1. Ověřte verzi pluginu. Musí jít o UpdraftPlus 1.26.13, 2.26.13 nebo novější.
2. Projděte nainstalované pluginy. Hledejte neznámé položky, i když mají nevinně znějící název.
3. Zkontrolujte uživatelské účty. Zaměřte se na neznámé administrátory a také na účty s rolí Editor, které mohou mít skrytá rozšířená oprávnění.
4. Odstraňte staré klíče UpdraftCentral. Najdete je v administraci v cestě Nastavení → UpdraftPlus → Advanced Tools → UpdraftCentral.
5. Změňte hesla. Týká se to administrátorských účtů na webu a také účtu u TeamUpdraft, pokud ho máte.
6. Při podezření na napadení obnovte web ze zálohy. TeamUpdraft doporučuje zálohu vytvořenou před 17. říjnem 2026.

Pokud si nejste jistí, zda je váš web v pořádku, můžete využít naši bezplatnou kontrolu webu včetně bezpečnosti. Dlouhodobě se vyplatí mít pod kontrolou i prostředí, ve kterém web běží, tedy pravidelné zálohy, aktualizace a přehled o přístupech. S tím pomáháme v rámci služby hosting a správa serveru.

Pokud je starý web napadený nebo neudržovatelný, může být rozumnější nový web postavený podle cílů vaší firmy.