Cảnh báo: Tin tặc lợi dụng khóa UpdraftCentral để cài cắm backdoor trên hàng loạt website WordPress

TeamUpdraft, nhà phát triển của plugin sao lưu phổ biến UpdraftPlus, vừa xác nhận hệ thống của họ đã bị tấn công vào cuối tuần ngày 17-18/10/2026. Sự cố này khiến các khóa kết nối (connection keys) của dịch vụ UpdraftCentral, UpdraftVault và UpdraftClone có nguy cơ bị rò rỉ, tạo điều kiện cho tin tặc chiếm quyền điều khiển các website WordPress được kết nối.

Chi tiết vụ tấn công

Theo báo cáo từ các chuyên gia an ninh mạng tại Patchstack và Nethemba, kẻ tấn công đã sử dụng các khóa hợp lệ để gửi lệnh plugin.upload_plugin thông qua kênh RPC của plugin. Điều này cho phép chúng cài đặt và kích hoạt các plugin độc hại dưới dạng backdoor mà không cần sự can thiệp của quản trị viên.

Các backdoor này hoạt động bằng cách kiểm tra tham số URL đặc biệt. Nếu khớp với token định sẵn, chúng sẽ tự động tạo một tài khoản người dùng (ví dụ: data-ops43) với quyền Editor hoặc Administrator, từ đó cho phép tin tặc tải lên các mã PHP tùy ý hoặc thay đổi cấu hình website.

Các bước xử lý khẩn cấp cho quản trị viên

Nếu website của bạn đang sử dụng UpdraftPlus và kết nối với UpdraftCentral, hãy thực hiện ngay các bước sau:

• Cập nhật UpdraftPlus lên phiên bản mới nhất (1.26.13 hoặc 2.26.13 trở lên).
• Truy cập vào bảng điều khiển WordPress, vào Settings > UpdraftPlus > Advanced Tools > UpdraftCentral và xóa khóa kết nối cũ.
• Kiểm tra danh sách người dùng (Users) và xóa bất kỳ tài khoản quản trị viên lạ nào.
• Rà soát các plugin, đặc biệt là tab ‘Must-Use’, để loại bỏ các plugin lạ.
• Đổi mật khẩu cho toàn bộ tài khoản quản trị.
• Nếu phát hiện dấu hiệu bất thường, hãy khôi phục website từ bản sao lưu trước ngày 17/10.

Dấu hiệu nhận biết (IoC)

Các chuyên gia đã liệt kê một số tên plugin giả mạo thường gặp như: Site Health Cache, Asset Forge 2, Content Helper, Wp Forge, Query Shelf, Style Bridge 8F5, Media Kit 183, Post Dock 776, Nav Hub, Speed Desk, Speed Kit 300, Link Latch, Script Shelf, hoặc Feed Case. Ngoài ra, hãy cảnh giác với các tài khoản có tên như system_team850, web.tech988, cmseditor170.

Sự cố này xảy ra trong bối cảnh an ninh mạng WordPress đang đối mặt với nhiều thách thức, bao gồm vụ tấn công chuỗi cung ứng vào Rank Math PRO (CVE-2026-111862) và các lỗ hổng nghiêm trọng trong PHP (PHP2Shell). Người dùng được khuyến cáo luôn duy trì cảnh giác, cập nhật phần mềm thường xuyên và kích hoạt xác thực 2 yếu tố (2FA) cho mọi tài khoản quan trọng.

Nguồn tham khảo: The Hacker News