Sintesi

TeamUpdraft ha recentemente rilevato un accesso non autorizzato al proprio portale, che potrebbe aver determinato l’accesso al database dei clienti e l’esposizione delle chiavi di connessione associate ai servizi cloud del vendor.

Descrizione

Durante il fine settimana del 17 e 18 ottobre 2026, TeamUpdraft ha rilevato un accesso non autorizzato al proprio portale teamupdraft.com. Secondo quanto riportato dal vendor, l’attività potrebbe aver consentito l’accesso al database dei clienti, contenente:

• nomi, indirizzi e-mail, indirizzi di fatturazione e cronologia degli ordini;
• password degli account, memorizzate esclusivamente in forma hash e mai in chiaro;
• impostazioni relative all’autenticazione a due fattori;
• chiavi di connessione per UpdraftCentral, UpdraftVault e UpdraftClone.

Le chiavi di connessione di UpdraftCentral Cloud possono essere utilizzate per impartire comandi ai siti WordPress collegati. La loro possibile esposizione potrebbe pertanto consentire a un soggetto non autorizzato di interagire con i sistemi interessati attraverso il canale di amministrazione remota. Per tale motivo, il vendor ha richiesto agli utenti del servizio cloud di accedere direttamente alla dashboard WordPress di ciascun sito, revocare le precedenti connessioni e verificare la presenza di account amministrativi o plugin non riconosciuti.

A seguito del rilevamento dell’incidente, TeamUpdraft ha dichiarato di aver sanato ogni percorso utilizzato per l’accesso non autorizzato, corretto la parte software sottostante, terminato le sessioni di tutti gli account e reimpostato i relativi meccanismi di sicurezza. Il vendor ha inoltre sostituito le chiavi e le credenziali potenzialmente coinvolte, disconnesso tutti i siti da UpdraftVault, sostituito le chiavi client di UpdraftClone e ruotato le proprie chiavi presso i fornitori di pagamento e gli altri servizi collegati.

Sono state inoltre pubblicate le versioni 1.26.13 Free e 2.26.13 P remium di UpdraftPlus, opportunamente predisposte per disconnettere automaticamente le connessioni a UpdraftCentral stabilite prima delle ore 23:00 del 18 ottobre 2026, rendendo inutilizzabili le precedenti chiavi.

I dati delle carte di pagamento non risultano coinvolti, poiché le transazioni sono gestite tramite Stripe e PayPal. Non risultano interessati neanche il plugin UpdraftPlus, i relativi pacchetti di installazione e i backup archiviati direttamente su servizi remoti. Per i siti eventualmente raggiunti tramite UpdraftCentral, il vendor raccomanda comunque di autorizzare nuovamente lo storage remoto e di sostituirne le chiavi di accesso.

TeamUpdraft, infine, riporta che gli aggressori potrebbero aver sfruttato le connessioni UpdraftCentral per:

• creare account amministrativi;
• installare plugin malevoli;
• svolgere ulteriori attività sui siti collegati.

Prodotti e/o versioni affette

UpdraftPlus

• 1.x.x (Free), versioni precedenti alla 1.26.13
• 2.x.x (Premium), versioni precedenti alla 2.26.13

Conclusioni

L’evento evidenzia i rischi connessi alla compromissione di piattaforme centralizzate utilizzate per la gestione remota di siti e infrastrutture web. La possibile esposizione delle chiavi di connessione potrebbe infatti consentire a un attaccante di sfruttare una relazione di fiducia già configurata per impartire comandi ai sistemi collegati.

Sebbene il plugin UpdraftPlus, i relativi download e i backup conservati direttamente presso fornitori esterni non risultino compromessi, l’incidente rende necessaria la revoca delle precedenti chiavi di connessione, la verifica degli account amministrativi e dei plugin presenti sui siti WordPress e la rotazione delle credenziali potenzialmente esposte. Particolare attenzione deve essere prestata alle installazioni collegate a UpdraftCentral Cloud, per le quali il vendor richiede l’applicazione immediata delle misure di contenimento.

Azioni di mitigazione

In linea con le dichiarazioni del vendor, per gli utenti e le organizzazioni interessati, si raccomanda l’adozione delle seguenti procedure di verifica e contenimento:

Utenti con un account teamupdraft.com

• modificare la password dell’account, accedendo al portale mediante digitazione diretta dell’indirizzo nel browser, senza utilizzare collegamenti ricevuti tramite e-mail;
• modificare la medesima password presso eventuali altri servizi sui quali sia stata riutilizzata;
• reimpostare l’autenticazione a due fattori dalla sezione “My Account”;
• prestare attenzione a comunicazioni inattese che richiedano password o chiavi di connessione, poiché il vendor ha dichiarato che tali informazioni non verranno richieste tramite e-mail.

Utenti di UpdraftCentral Cloud

• accedere direttamente alla dashboard WordPress di ciascun sito, senza utilizzare UpdraftCentral;
• verificare che sia installata la versione 1.26.13 o successiva di UpdraftPlus Free oppure la versione 2.26.13 o successiva di UpdraftPlus Premium. Qualora l’aggiornamento automatico distribuito tramite WordPress.org non sia stato applicato, procedere manualmente all’aggiornamento;
• accedere alla sezione Settings > UpdraftPlus > Advanced Tools > UpdraftCentral ed eliminare la precedente chiave di connessione;
• verificare la presenza di account amministrativi non riconosciuti e procedere alla loro rimozione;
• verificare la presenza di plugin non riconosciuti, includendo nel controllo anche i plugin Must-Use, e procedere alla loro rimozione;
• modificare le password di tutti gli account amministrativi presenti sul sito;
• qualora siano rilevati elementi sospetti, valutare il ripristino del sito da un backup effettuato prima del 17 ottobre 2026;
• autorizzare nuovamente lo storage remoto e sostituire le relative chiavi di accesso, come misura precauzionale;
• ricollegare il sito a UpdraftCentral esclusivamente dopo aver completato le attività di verifica e contenimento;
• aggiornare anche i siti non gestiti abitualmente, in modo da invalidare tutte le precedenti connessioni potenzialmente esposte.

Utenti di UpdraftVault

• accedere alla dashboard WordPress del sito e selezionare Settings > UpdraftPlus > Settings;
• selezionare UpdraftVault tra le opzioni di archiviazione remota e avviare una nuova connessione;
• inserire l’indirizzo e-mail associato all’account teamupdraft.com e la nuova password;
• salvare le modifiche ed eseguire un backup manuale per verificare il corretto funzionamento della nuova connessione.

Utenti di UpdraftClone

• utilizzare esclusivamente le nuove chiavi client generate dal vendor;
• accedere alla sezione My Account > UpdraftClone > UpdraftClone Key Management per recuperare le nuove chiavi;
• sostituire le chiavi precedentemente condivise con clienti o soggetti terzi, poiché quelle precedenti non risultano più valide;
• non sono richieste azioni qualora non sia mai stata generata una chiave client.