Se o seu site WordPress usa o UpdraftPlus para backup, pare um minuto para este alerta. A fabricante do plugin, a TeamUpdraft, sofreu uma invasão no fim de semana de 17 e 18 de outubro de 2026, e as chaves de conexão do UpdraftCentral, o painel de gerenciamento remoto, foram roubadas. Com essas chaves, criminosos já estão instalando plugins maliciosos e criando contas escondidas em sites conectados.
O detalhe que pega muita gente: aqui não há falha no código do plugin. Site com o UpdraftPlus atualizado também pode ter sido atingido. E pode existir chave ativa mesmo em site que nunca usou o UpdraftCentral.
O que aconteceu
Segundo o aviso da TeamUpdraft, publicado em 19 de outubro e atualizado em 20 de outubro, alguém acessou sem autorização o site teamupdraft.com e o banco de dados de clientes. Foram expostos nomes, e-mails, endereços de cobrança, histórico de pedidos, senhas (só em formato de hash), configurações de verificação em duas etapas e as chaves de conexão do UpdraftCentral, do UpdraftVault e do UpdraftClone.
Segundo a empresa, ficaram de fora o próprio plugin e os downloads, os backups guardados no armazenamento do cliente (Google Drive, Dropbox, S3) e o UpdraftCentral instalado no servidor do próprio cliente. Dados de cartão não ficam com a TeamUpdraft: os pagamentos passam por Stripe e PayPal, e as chaves desses serviços foram trocadas.
A Patchstack, empresa de segurança especializada em WordPress, viu a primeira instalação de backdoor em 18 de outubro, às 15h32 UTC, e já contou 99 nomes diferentes de plugins maliciosos. Um nome que se repete é "Site Health Cache". Como o ataque usa chaves legítimas, não há CVE.
Qual o tamanho do problema
O BleepingComputer estima que cerca de 10% dos sites com UpdraftPlus têm uma chave do UpdraftCentral ou do Migrator, o que daria por volta de 400 mil sites potencialmente expostos. É uma estimativa de exposição, não o número de sites invadidos, que ninguém divulgou. A empresa de segurança Nethemba testou três sites próprios, todos com WordPress e UpdraftPlus atualizados, e dois receberam plugins maliciosos pelo canal do UpdraftCentral.
Também não se sabe como os invasores entraram no site da fabricante, nem quantos sites brasileiros foram afetados.
Como saber se o seu site foi atingido
A Patchstack listou sinais concretos:
- Plugin com a descrição "Small maintenance toolkit: keeps option storage tidy.", inclusive na pasta de plugins obrigatórios (Must-Use).
- Usuário com papel de Editor e permissões a mais, com nome no formato de duas palavras e dois números (por exemplo, data-ops43), e-mail terminado em @example.org e nome de exibição "Site Tools".
- Opção `_sync_token` no banco de dados.
- Log do UpdraftCentral com a linha "Command received: plugin.upload_plugin".
O que fazer agora
- Atualize o UpdraftPlus para a versão 1.26.13 (gratuita) ou 2.26.13 (Premium), ou mais nova. A versão 1.26.12/2.26.12 deveria remover as chaves, mas tinha um erro.
- Apague todas as chaves do UpdraftCentral, mesmo que você nunca tenha usado o recurso. Remover o site do painel não basta. Quem tem acesso por linha de comando pode conferir com `wp option get updraft_central_localkeys`.
- Procure administradores, editores e plugins que você não reconhece, inclusive Must-Use, com os sinais da lista acima.
- Troque a senha da conta no teamupdraft.com entrando direto pelo site, e não por link de e-mail, e refaça a verificação em duas etapas.
- Troque as senhas de administrador do WordPress e as credenciais do armazenamento remoto dos backups.
- Se encontrou sinal de invasão, restaure um backup anterior a 17 de outubro e só depois atualize tudo. Quem usa o UpdraftVault precisa reconectar os sites.
- Desconfie de e-mails "da TeamUpdraft" pedindo senha ou clique: os nomes e e-mails dos clientes vazaram e viram isca de golpe.
Onde a Oneck entra
Na Oneck Creative, a frente de Software & Sistemas cuida de sites e lojas virtuais, com atualização de plugins, revisão de usuários e limpeza quando aparece código malicioso. Se você não tem certeza de que o seu WordPress está limpo, fale com a gente pelo WhatsApp ou conheça a Software & Sistemas da Oneck Creative.
Fontes: TeamUpdraft: incidente de segurança de outubro de 2026; Patchstack: chaves do UpdraftCentral comprometidas e backdoors em WordPress; BleepingComputer: chaves roubadas do UpdraftCentral usadas para instalar backdoors.
