# UpdraftPlus: chaves roubadas à empresa do plugin serviram para instalar backdoors em sites WordPress

> Um ataque ao site da TeamUpdraft expôs as chaves que permitem controlar à distância os sites ligados ao UpdraftCentral. Em menos de um dia surgiram 99 plugins maliciosos diferentes. A atualização que corta essas ligações já chegou sozinha, mas não apaga o que lá ficou.

- Publicação: MEGAzine (https://megazine.pt/)
- Endereço: https://megazine.pt/seguranca/updraftplus-chaves-roubadas-a-empresa-do-plugin-serviram-para-instalar
- Categoria: Segurança
- Autoria: Redação
- Publicado: 23 de outubro de 2026
- Etiquetas: WordPress, UpdraftPlus, Backdoor, Sites

## Em resumo

- A TeamUpdraft, que faz o UpdraftPlus, detetou um acesso não autorizado ao seu site no fim de semana de 17 e 18 de outubro.
- Foram expostos dados de clientes, palavras-passe cifradas, definições de dupla autenticação e chaves dos serviços UpdraftCentral, UpdraftVault e UpdraftClone.
- Segundo a Patchstack, os ataques começaram a 18 de outubro e instalaram plugins com 99 nomes diferentes, como Site Health Cache.
- As versões 1.26.13 (gratuita) e 2.26.13 (Premium) desligam as ligações antigas e foram distribuídas automaticamente pelo WordPress.org.
- Quem usa o UpdraftCentral deve procurar administradores e plugins desconhecidos e, se os encontrar, repor uma cópia anterior a 17 de outubro.

O UpdraftPlus é o plugin de cópias de segurança mais usado no WordPress, com mais de quatro milhões de instalações ativas, segundo a empresa de segurança Patchstack. No fim de semana de 17 e 18 de outubro, a TeamUpdraft, que o desenvolve, detetou um acesso não autorizado ao seu site e admitiu que a base de dados de clientes foi consultada. Lá estavam nomes, emails, moradas de faturação, palavras-passe guardadas de forma cifrada, definições de dupla autenticação e as chaves de ligação dos serviços UpdraftCentral, UpdraftVault e UpdraftClone. A empresa garante que não guarda dados de cartões, porque os pagamentos passam pela Stripe e pelo PayPal.

## Como as chaves abriram a porta aos sites

O UpdraftCentral serve para gerir vários sites à distância. Um site ligado a este serviço executa qualquer ordem assinada com a chave do painel, sem pedir confirmação. Com as chaves na mão, o atacante passou a enviar ordens legítimas, do ponto de vista do site, para instalar plugins maliciosos e criar contas com permissões totais. A Patchstack registou instalações entre as 15h32 (hora UTC) de 18 de outubro e a manhã do dia seguinte, com 99 nomes diferentes, disfarçados de ferramentas de manutenção. O mais repetido é Site Health Cache.

Há um pormenor que alarga o problema. Segundo a Patchstack, ligar o plugin a uma conta da TeamUpdraft cria por defeito uma chave do UpdraftCentral, porque a opção vem marcada. Há, por isso, sites com chave ativa cujos donos só usavam o UpdraftPlus para cópias de segurança. O BleepingComputer estima que cerca de 400 mil sites estivessem expostos. A empresa diz que a rapidez dos ataques, e o facto de as primeiras versões dos plugins maliciosos terem erros, sugere que o atacante usou IA para acelerar o trabalho.

## O que fazer se tens um site WordPress

A TeamUpdraft publicou a 19 de outubro as versões 1.26.13 (gratuita) e 2.26.13 (Premium), que desligam todas as ligações ao UpdraftCentral criadas antes das 22h00 (hora de Londres) de 18 de outubro. O WordPress.org distribuiu-as automaticamente, mas convém confirmar no painel que o teu site já as tem. A atualização corta o acesso, mas não remove o que o atacante tenha deixado instalado.

Se usas o UpdraftCentral na versão alojada pela empresa, a recomendação é entrar diretamente no painel de cada site e fazer isto:

- Em Utilizadores, procurar administradores que não reconheces. A Patchstack avisa que a conta criada pelo atacante pode aparecer disfarçada de Editor.
- Em Plugins, incluindo o separador Must-Use, apagar tudo o que não reconheces.
- Mudar as palavras-passe de todos os administradores.
- Se encontrares algo suspeito, repor uma cópia de segurança feita antes de 17 de outubro.

Quem tem conta na TeamUpdraft deve mudar a palavra-passe, escrevendo o endereço do site à mão em vez de seguir ligações, e repor a dupla autenticação. Os utilizadores do UpdraftVault têm de voltar a ligar os sites, porque todas as ligações foram cortadas. Quem usa a versão gratuita sem conta na TeamUpdraft não precisa de fazer nada além de manter o plugin atualizado.