Een beveiligingsincident bij TeamUpdraft, de ontwikkelaar van de populaire WordPress back-up plug-in UpdraftPlus, heeft geleid tot aanvallen op websites. Hackers wisten toegang te krijgen tot verbindingssleutels waarmee ze WordPress-websites op afstand konden beheren. Vervolgens gebruikten ze deze toegang om schadelijke plug-ins te installeren. Websitebeheerders moeten daarom niet alleen hun plug-ins bijwerken, maar ook controleren of hun website mogelijk is gehackt.
Wat is er gebeurd bij UpdraftPlus?
TeamUpdraft ontdekte in het weekend van 17 en 18 oktober 2026 ongeautoriseerde toegang tot de eigen website. Volgens het bedrijf heeft een aanvaller waarschijnlijk toegang gekregen tot de klantendatabase. Daarin stonden onder meer klantgegevens, wachtwoordhashes, instellingen voor tweestapsverificatie en verbindingssleutels voor verschillende diensten.
De betrokken producten zijn UpdraftPlus, UpdraftCentral, UpdraftVault en UpdraftClone. UpdraftPlus wordt gebruikt om WordPress-websites te back-uppen en te herstellen. Met UpdraftCentral kunnen beheerders meerdere websites op afstand beheren.
Vooral de gestolen sleutels van UpdraftCentral vormen een risico. Met deze sleutels kunnen opdrachten naar gekoppelde websites worden gestuurd. Aanvallers konden daardoor acties uitvoeren die normaal gesproken alleen voor bevoegde beheerders zijn toegestaan.
Hackers installeren schadelijke WordPress-plug-ins
Beveiligingsonderzoekers hebben aanvallen vastgesteld waarbij hackers kwaadaardige plug-ins op WordPress-websites probeerden te installeren. Deze plug-ins kunnen een achterdeur openen, waardoor aanvallers opnieuw toegang krijgen tot een website.
Onderzoekers van Patchstack zagen tientallen verschillende namen voor de verdachte plug-ins. Sommige namen lijken op reguliere hulpmiddelen voor websiteonderhoud en prestatieverbetering. Daardoor vallen ze niet altijd direct op tussen de andere geïnstalleerde plug-ins.
Een achterdeur kan ernstige gevolgen hebben. Aanvallers kunnen bijvoorbeeld beheerdersaccounts aanmaken, bestanden aanpassen of schadelijke code uitvoeren. Ook kunnen ze proberen gegevens te stelen of de website gebruiken voor verdere aanvallen.
Het risico geldt vooral voor websites die met UpdraftCentral Cloud waren verbonden. Alleen UpdraftPlus geïnstalleerd hebben, betekent dus niet automatisch dat een website via dit specifieke incident is getroffen.
Welke WordPress-websites lopen risico?
Het incident verschilt van een traditioneel beveiligingslek in de code van een plug-in. In dit geval konden aanvallers misbruik maken van geldige verbindingssleutels. Daardoor konden ook websites met een recente versie van UpdraftPlus kwetsbaar zijn voor aanvallen via de getroffen beheerverbinding.
TeamUpdraft heeft maatregelen genomen om de ongeautoriseerde toegang te stoppen. Op 19 oktober bracht het bedrijf updates uit voor UpdraftPlus Free en Premium. Deze versies trekken de betrokken UpdraftCentral Cloud-verbindingssleutels in.
De relevante versies zijn:
- UpdraftPlus Free: versie 1.26.13 of nieuwer.
- UpdraftPlus Premium: versie 2.26.13 of nieuwer.
Controleer altijd of je de nieuwste beschikbare versie gebruikt. Een update is belangrijk, maar biedt geen garantie dat een website die eerder is aangevallen automatisch weer schoon is.
Zo controleer je jouw WordPress-website
Gebruik je UpdraftPlus of UpdraftCentral? Neem dan de volgende maatregelen om het risico te beperken.
1. Werk UpdraftPlus bij
Controleer de geïnstalleerde versie in WordPress en installeer de beschikbare beveiligingsupdate. Controleer ook of de update daadwerkelijk is uitgevoerd.
2. Controleer de UpdraftCentral-verbinding
Bekijk de bestaande verbindingssleutels via de instellingen van UpdraftPlus. Verwijder oude of verdachte sleutels en controleer of de verbinding met UpdraftCentral Cloud opnieuw moet worden geautoriseerd.
3. Zoek naar onbekende plug-ins en beheerders
Bekijk de lijst met geïnstalleerde plug-ins en WordPress-gebruikers. Let op onbekende plug-ins, onverwachte beheerdersaccounts en wijzigingen die je niet zelf hebt uitgevoerd. Controleer indien mogelijk ook de server- en beveiligingslogs.
4. Wijzig wachtwoorden en controleer toegang
Wijzig het wachtwoord van je TeamUpdraft-account en controleer actieve sessies en tweestapsverificatie. Als je website via UpdraftCentral is benaderd, is het verstandig om ook gekoppelde opslagdiensten en hun toegangssleutels te controleren.
5. Herstel een getroffen website zorgvuldig
Vind je aanwijzingen voor een inbraak? Laat de website dan grondig onderzoeken. Verwijder niet alleen verdachte plug-ins, maar controleer ook op achtergebleven bestanden, gewijzigde accounts en andere vormen van ongeautoriseerde toegang. Herstel de website zo nodig vanaf een aantoonbaar schone back-up.
Wat betekent dit voor de beveiliging van WordPress?
Het incident laat zien dat de beveiliging van een website niet alleen afhangt van de software die je zelf installeert. Ook externe diensten, beheerverbindingen en toegangsgegevens kunnen een risico vormen.
Back-ups blijven belangrijk om een website na een incident te herstellen. Ze voorkomen echter niet dat een aanvaller toegang krijgt. Combineer daarom automatische back-ups met updates, sterke wachtwoorden, tweestapsverificatie en regelmatige controles op verdachte activiteiten.
Acties die je kunt ondernemen
Gebruik je UpdraftPlus, controleer dan direct of je website via UpdraftCentral was verbonden, installeer de beveiligingsupdate en onderzoek of er verdachte wijzigingen zijn aangebracht. Juist bij een incident met gestolen toegangssleutels is het belangrijk om niet alleen de software bij te werken, maar ook bestaande toegang en de website zelf te controleren.
Bron: https://www.searchenginejournal.com/updraftplus-wordpress-plugin-security-breach-enables-backdoor-attacks/593909/