O víkendu 17.–18. října 2026 se útočník dostal do systémů firmy TeamUpdraft, která stojí za zálohovacím pluginem UpdraftPlus a službou UpdraftCentral. Získané připojovací klíče hned použil k tomu, aby na připojené weby nainstaloval zadní vrátka. Pokud máte na webu UpdraftPlus, zkontrolujte ho ještě dnes – i když jste UpdraftCentral nikdy vědomě nezapínali.

Co se stalo

TeamUpdraft 19. října potvrdil, že se útočník dostal do systémů webu teamupdraft.com a nejspíš i do zákaznické databáze. V ní byly uložené i připojovací klíče ke službám UpdraftCentral, UpdraftVault a UpdraftClone. Klíče od UpdraftCentral útočník okamžitě zneužil.

UpdraftCentral slouží ke správě více WordPress webů z jednoho místa – jde přes něj zálohovat, aktualizovat i instalovat pluginy. Web příkaz provede, pokud je podepsaný správným klíčem. Útočník takové klíče měl, takže weby jeho příkazy považovaly za legitimní a samy si nainstalovaly plugin se zadními vrátky.

Nejde o chybu v kódu pluginu, kterou by šlo jednoduše opravit aktualizací. Unikly klíče, kterým weby důvěřují. Samotný plugin UpdraftPlus ani jeho instalační soubory podle výrobce pozměněné nebyly.

Časová osa (časy v našem letním čase):

17. 10. večer: Podle výrobce začíná neoprávněný přístup do systémů TeamUpdraft.
18. 10. odpoledne: Bezpečnostní firma Patchstack zaznamenává první instalaci škodlivého pluginu.
18. 10. večer: TeamUpdraft potvrzuje průnik do svých systémů.
19. 10.: Slovenská bezpečnostní firma Nethemba zveřejňuje analýzu útoku na vlastní weby. Patchstack kampaň potvrzuje a eviduje 99 různých názvů škodlivých pluginů. Útočník přes den dál posílá příkazy a na některých webech vyměňuje nefunkční zadní vrátka za funkční.
19. 10.: TeamUpdraft zveřejňuje oznámení o incidentu a vydává UpdraftPlus 1.26.12 / 2.26.12, která měla stará propojení odpojit.
19. 10. večer: Vychází UpdraftPlus 1.26.13 / 2.26.13. Opravuje předchozí verzi, která klíče ve skutečnosti nemazala.
20. 10.: Nethemba upozorňuje, že prémiová verze při propojení s účtem TeamUpdraft vytváří klíč UpdraftCentral automaticky – příslušné políčko je předem zaškrtnuté.

Proč je to problém

Kdo drží klíč k UpdraftCentral, má nad webem prakticky stejnou moc jako administrátor. Příkazy se provádějí s právy uživatele, který klíč kdysi vytvořil, a majitel webu je nijak nepotvrzuje.

Zadní vrátka obejdou přihlášení. Podstrčený plugin čeká na tajný parametr v adrese. Pak útočníka rovnou přihlásí jako administrátora nebo mu založí nový účet. Dvoufázové ověření ani omezení pokusů o přihlášení ho nezastaví.
Útočník se umí schovat. Některé varianty se v seznamu pluginů vůbec nezobrazují. Účet, který backdoor založí, zůstává na webu i po odstranění pluginu.
Klíče neexpirují. Zneužité byly i klíče staré několik let. Kdo UpdraftCentral kdysi vyzkoušel a zapomněl na něj, může být ohrožený také.
Klíč můžete mít, aniž byste o tom věděli. Prémiová verze ho podle zjištění Nethemby vytváří při propojení s účtem TeamUpdraft automaticky.
Aktualizace sama nestačí. Nová verze pluginu má staré klíče odpojit, ale už nainstalovaný backdoor ani podvodný účet neodstraní. První opravná verze navíc klíče nemazala vůbec.
Unikly i osobní údaje. Podle TeamUpdraft jde o jména, e-maily, fakturační adresy, historii objednávek, hesla v zahashované podobě a nastavení dvoufázového ověření. Platební karty firma neukládá. Hrozí hlavně cílené phishingové e-maily.

S administrátorským přístupem může útočník na webu cokoliv: vložit škodlivý kód nebo spamové odkazy, přesměrovat návštěvníky, ukrást data zákazníků. Následky pak často nesou majitelé – vyřazení z vyhledávání, varování v prohlížečích nebo povinnosti podle GDPR.

Týká se vás to?

Nejvíc ohrožené jsou weby připojené ke cloudové verzi UpdraftCentral. Zkontrolovat by se ale měl každý web s pluginem UpdraftPlus – trvá to pár minut.

Weby spravujete přes UpdraftCentral na teamupdraft.com (vysoké riziko): považujte web za možná napadený a projděte celý postup níže.
Máte UpdraftPlus Premium propojený s účtem TeamUpdraft (vysoké riziko): klíč můžete mít, i když jste UpdraftCentral nikdy nepoužili. Zkontrolujte ho.
Máte účet na teamupdraft.com, např. kvůli nákupu, UpdraftVault nebo UpdraftClone (střední riziko): změňte heslo, obnovte dvoufázové ověření a dávejte pozor na podezřelé e-maily.
Používáte jen bezplatný UpdraftPlus bez účtu (nízké riziko): podle výrobce nemusíte dělat nic. Bezpečnostní firmy přesto doporučují ověřit, že web nemá žádný klíč.
Provozujete UpdraftCentral na vlastním serveru: podle výrobce se vás incident netýká.

Zálohy uložené ve vlastním úložišti (Google Drive, Dropbox, Amazon S3 apod.) podle výrobce zasažené nejsou. Pokud váš web napadený byl, změňte pro jistotu i přístupové údaje k tomuto úložišti.

Co dělat hned

Postup platí pro každý web s UpdraftPlus. Přihlaste se přímo do administrace webu, ne přes UpdraftCentral.

Aktualizujte UpdraftPlus na verzi 1.26.13 (zdarma) nebo 2.26.13 (Premium) či novější. Na verzi 1.26.12 / 2.26.12 se nespoléhejte, klíče nemazala.
Ručně smažte všechny klíče UpdraftCentral. Najdete je v Nastavení → UpdraftPlus Backups → Advanced Tools → UpdraftCentral → Manage existing keys. Zálohování bude fungovat dál. Klíče vytvořené 18. 10. odpoledne a večer aktualizace podle Nethemby neodstraní, proto je mažte vždy ručně. Přes WP-CLI klíče ověříte příkazem wp option get updraft_central_localkeys (jakýkoli výstup znamená, že web klíč má) a smažete příkazem wp option delete updraft_central_localkeys.
Odeberte web i z účtu UpdraftCentral, pokud ho tam máte. Rozhodující je ale smazání klíče na samotném webu.
Projděte pluginy, včetně záložky Must-Use. Hledejte neznámé názvy jako „Site Health Cache“ nebo náhodné kombinace typu „Speed Kit“ či „Lazy Boost“. Silným znakem je popis pluginu „Small maintenance toolkit: keeps option storage tidy.“ Některé varianty se v administraci neukazují, projděte proto i složky wp-content/plugins a wp-content/mu-plugins přes FTP nebo správce souborů.
Zkontrolujte uživatele. Podezřelí jsou neznámí administrátoři i editoři, e-maily na doménách @example.org nebo @example.com a zobrazované jméno „Site Tools“.
Změňte heslo k účtu na teamupdraft.com. Adresu napište do prohlížeče ručně, neklikejte na odkazy z e-mailů. Obnovte dvoufázové ověření a změňte heslo všude, kde jste používali stejné.
Uživatelé UpdraftVault a UpdraftClone musí weby znovu připojit, resp. rozeslat klientům nové klíče. Stará připojení výrobce zrušil.
S novým připojením k UpdraftCentral počkejte, dokud výrobce nevysvětlí, jak k úniku došlo. Pokud vzdálenou správu nutně potřebujete, vytvořte klíč pod účtem, který nesmí instalovat pluginy.

Našli jste něco podezřelého? Pak web berte jako napadený:

Nejdřív smažte klíč UpdraftCentral, až potom řešte škodlivý plugin. Jinak ho útočník může nahrát znovu.
Obnovte web ze zálohy pořízené před 17. říjnem 2026.
Odstraňte cizí účty a změňte hesla všech administrátorů.
Odhlaste všechny aktivní relace a zapněte dvoufázové ověření.
Změňte přístupové údaje ke vzdálenému úložišti záloh.
Pokud si nejste jistí, obraťte se na odborníka nebo na svého poskytovatele hostingu.

Závěr

Incident ukazuje, že vstupní branou na web nemusí být jen zastaralý plugin nebo slabé heslo. Stačí, aby unikly klíče od služby, které web plně důvěřuje. Proto doporučujeme dávat vzdálený přístup jen službám, které opravdu používáte, a nepotřebná propojení rušit.

Pokud u nás hostujete web s pluginem UpdraftPlus a nevíte si s kontrolou rady, napište naší podpoře. Rádi vám pomůžeme web prověřit.

Situace se stále vyvíjí a výrobce ani bezpečnostní firmy zatím neznají všechny podrobnosti. Článek budeme průběžně aktualizovat. Stav k 20. říjnu 2026.

Zdroje

TeamUpdraft: oficiální oznámení o incidentu (anglicky)
Nethemba: technická analýza útoku (anglicky)
Patchstack: zneužití klíčů UpdraftCentral (anglicky)