Ausgerechnet das Werkzeug, das im Notfall retten soll, wurde zum Einfallstor: Bei einem Einbruch bei TeamUpdraft, dem Unternehmen hinter dem populären Backup-Plugin UpdraftPlus, erbeuteten Angreifer Schlüssel, mit denen sie WordPress-Seiten ohne ein einziges Passwort fernsteuern konnten.
DER BRUCH BEI TEAMUPDRAFT
Laut Berichterstattung vom 21. Oktober brachen Angreifer in die Webseite von TeamUpdraft ein und erlangten unbefugten Zugriff auf Kundendatenbanken — konkret auf die Verbindungsschlüssel für UpdraftCentral, UpdraftVault und UpdraftClone. Diese Dienste erlauben es Admins normalerweise, mehrere WordPress-Seiten zentral zu steuern und zu sichern.
SIGNIERT HEISST NICHT SICHER
Das eigentlich Fatale an diesem Vorfall: Die gestohlenen Schlüssel sind echte private Schlüssel. Befehle, die mit ihnen signiert werden, bestehen auf der Zielseite alle internen Prüfungen — das WordPress-Plugin kann nicht unterscheiden, ob der Befehl vom echten Admin oder von einem Angreifer mit gestohlenem Schlüssel kommt. Genau darüber installierten die Angreifer Backdoor-Plugins.
99 NAMEN FÜR DIESELBE HINTERTÜR
Die Sicherheitsfirma Patchstack dokumentierte ein Angriffsfenster von 18 Stunden am 18. und 19. Oktober und zählte dabei 99 unterschiedliche Namen für die eingeschleusten Backdoor-Plugins — offenbar, um einfache Erkennung per Dateiname zu erschweren. Jede der untersuchten Varianten enthielt dieselbe Tarnzeile im Code: „Small maintenance toolkit: keeps option storage tidy“. Zwei konkrete Angreifer-IPs konnten identifiziert werden.
WAS UPDRAFTPLUS SCHON GETAN HAT
UpdraftPlus hat reagiert und die Versionen 1.26.13 (kostenlose Version) und 2.26.13 (Premium) veröffentlicht. Diese Updates widerrufen automatisch alle Verbindungen, die vor dem 18. Oktober eingerichtet wurden, und zwingen zur Neuausstellung der Schlüssel. Über das Ausmaß der tatsächlich kompromittierten Seiten macht der bisherige Bericht keine genaue Zahl — nur, dass über 4 Millionen Installationen grundsätzlich im Risiko standen.
SO PRÜFST DU DEINE SEITE — in 5 MINUTEN
- Update einspielen: UpdraftPlus auf 1.26.13 beziehungsweise 2.26.13 oder neuer heben.
- Plugin-Liste durchsehen: Nach unbekannten, aktiven Plugins suchen, insbesondere mit unauffälligen Namen wie „Maintenance“ oder „Toolkit“.
- Verbindungen neu einrichten: UpdraftCentral-, UpdraftVault- und UpdraftClone-Verbindungen nach dem Update neu autorisieren, nicht nur bestätigen.
- Admin-Konten prüfen: Auf neue, unerklärte Benutzerkonten mit Admin-Rechten achten — ein klassisches Zeichen für eine bereits installierte Hintertür.
FAZIT: Backup-Infrastruktur ist eine eigene Angriffsfläche
Dieser Vorfall zeigt ein Muster, das Backup-Software besonders anfällig macht: Sie braucht von Natur aus weitreichende Rechte, um ihren Job zu machen — und wird genau dadurch zum lohnenden Ziel. Wer zentrale Backup-Verwaltung nutzt, sollte Verbindungsschlüssel künftig genauso behandeln wie Passwörter: regelmäßig erneuern, nicht ewig gültig lassen.