TeamUpdraft ถูกเจาะ คีย์ UpdraftCentral รั่ว — แฮ็กเกอร์ใช้คีย์จริงสั่งติดตั้งปลั๊กอินแบ็กดอร์บนเว็บ WordPress ต่อเนื่อง 18 ชั่วโมง

สรุปสั้น

บริษัท TeamUpdraft ผู้พัฒนา UpdraftPlus ปลั๊กอินแบ็กอัป WordPress ที่มีการติดตั้งใช้งานกว่า 4 ล้านเว็บไซต์ ยืนยันว่าเว็บไซต์ teamupdraft.com ถูกเข้าถึงโดยไม่ได้รับอนุญาตช่วงสุดสัปดาห์ 17–18 ตุลาคม 2569 ผู้โจมตีน่าจะเข้าถึงฐานข้อมูลลูกค้าได้ ซึ่งมีทั้งชื่อ อีเมล ที่อยู่ ประวัติคำสั่งซื้อ รหัสผ่านแบบแฮช การตั้งค่า 2FA และที่อันตรายที่สุดคือคีย์เชื่อมต่อของ UpdraftCentral, UpdraftVault และ UpdraftClone คีย์ UpdraftCentral ใช้ส่งคำสั่งไปยังเว็บที่เชื่อมไว้ได้โดยตรง การรั่วของคีย์จึงเท่ากับการเปิดทางสั่งงานเว็บของลูกค้าจากระยะไกล

บริษัท Patchstack พบผู้โจมตีที่ถือคีย์ UpdraftCentral ที่ถูกต้องส่งคำสั่งติดตั้งปลั๊กอินแบ็กดอร์บนเว็บ WordPress ที่เชื่อมต่อไว้ต่อเนื่องราว 18 ชั่วโมงในวันที่ 18–19 ตุลาคม พบชื่อปลั๊กอินแบ็กดอร์ต่างกันถึง 99 ชื่อ แบ็กดอร์สร้างบัญชีสิทธิ์สูงที่รู้รหัสผ่าน ซึ่งยังอยู่แม้ลบปลั๊กอินออกแล้ว TeamUpdraft ปิดช่องทางเข้า เปลี่ยนคีย์ทั้งหมด และออก UpdraftPlus 1.26.13 (ฟรี) และ 2.26.13 (Premium) ที่ตัดการเชื่อมต่อ UpdraftCentral เก่าทั้งหมดโดยอัตโนมัติ ตัวปลั๊กอิน UpdraftCentral แบบโฮสต์เอง และแบ็กอัปบนพื้นที่จัดเก็บของลูกค้าเองไม่ได้รับผลกระทบ

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 21 ตุลาคม 2569 ว่า TeamUpdraft ระบุในแถลงการณ์ว่าทีมตอบสนองทันทีและทำงานข้ามคืนเพื่อควบคุมเหตุ ปิดเส้นทางการเข้าถึง ออกจากระบบทุกบัญชี และเปลี่ยนคีย์กับข้อมูลรับรองที่อาจได้รับผลกระทบ ฐานข้อมูลไม่มีข้อมูลทางการเงิน เพราะการชำระเงินจัดการผ่าน Stripe และ PayPal บริษัทยังตัดการเชื่อมต่อทุกเว็บจาก UpdraftVault แล้วออกข้อมูลรับรองใหม่ เปลี่ยนคีย์ไคลเอนต์ของ UpdraftClone ทั้งหมด หมุนเวียนคีย์กับผู้ให้บริการชำระเงิน เพิ่มการเฝ้าระวัง และแจ้งเหตุต่อ Information Commissioner’s Office (ICO) ของสหราชอาณาจักร

UpdraftPlus 1.26.13 และ 2.26.13 จะตัดการเชื่อมต่อ UpdraftCentral ทุกรายการที่สร้างก่อน 22:00 น. ตามเวลา BST ของวันที่ 18 ตุลาคม 2569 เพื่อไม่ให้คีย์เก่าใช้งานได้อีก TeamUpdraft ขอให้ผู้ที่เคยถูกเข้าถึงผ่าน UpdraftCentral ยืนยันสิทธิ์พื้นที่จัดเก็บระยะไกลใหม่และเปลี่ยนคีย์เข้าถึงพื้นที่จัดเก็บเพื่อความปลอดภัย

บริษัท Nethemba บริษัททดสอบเจาะระบบจากสโลวาเกียเป็นผู้ตรวจพบการโจมตีจริงเป็นรายแรก ส่วน Wordfence ระบุว่าเว็บจะเข้าข่ายได้รับผลกระทบเมื่อติดตั้งและเปิดใช้ UpdraftPlus ไว้ขณะที่ยังมีคีย์ UpdraftCentral ที่ได้รับผลกระทบอยู่ และเชื่อมต่อกับ UpdraftCentral แบบคลาวด์ของ TeamUpdraft ในช่วงเกิดเหตุ Patchstack เตือนด้วยว่านี่เป็นเหตุครั้งที่สองในช่องทางนี้ภายใน 5 เดือน หลังจากเดือนมิถุนายน 2569 ผู้พัฒนาแก้ CVE-2026-10795 (CVSS 8.1) ซึ่งรูปแบบข้อความเก่าที่ไม่มีลายเซ็นทำให้ปลอมคำสั่ง UpdraftCentral ได้โดยไม่ต้องมีคีย์เลย เว็บที่ยังต่ำกว่า 1.26.5/2.26.5 จึงเจอทั้งสองปัญหาพร้อมกัน

เหตุนี้เกิดหลังจาก Rank Math PRO ปลั๊กอิน SEO ของ WordPress ถูกโจมตีห่วงโซ่อุปทานผ่านช่องทางอัปเดตเพียงไม่กี่วัน (CVE-2026-111862 CVSS 9.8 ดูโพสต์ 2026/10/183) และตรงกับช่วงที่ PHP เตรียมออกแพตช์ช่องโหว่ร้ายแรงสองรายการชื่อ PHP2Shell ที่ข้อมูลหลุดก่อนกำหนด ทำให้เจ้าของเว็บ WordPress ต้องรับมือหลายเรื่องพร้อมกัน

วิธีการโจมตี

ไคลเอนต์ของ UpdraftCentral ติดมากับ UpdraftPlus ทุกชุด และรับคำสั่งผ่านช่องทาง RPC ที่ฟังคำขอ POST ธรรมดาที่ root ของเว็บไซต์ นาย Dave Jong นักวิจัยของ Patchstack อธิบายว่าผู้โจมตีส่งคำสั่ง plugin.upload_plugin ที่ลงลายเซ็นด้วยคีย์ที่ถูกต้อง แล้ว WordPress ติดตั้งและเปิดใช้ปลั๊กอินที่ส่งมาผ่านตัวติดตั้งมาตรฐานของตัวเอง สำหรับเว็บแล้วคำสั่งนี้ดูเหมือนคำสั่งจากผู้ดูแลตัวจริงทุกประการ

Nethemba วิเคราะห์ว่าปลั๊กอินแบ็กดอร์ hook เข้ากับทุกคำขอที่เข้ามาที่เว็บ ตรวจว่า URL มีพารามิเตอร์ ?_9f5696= และเทียบกับโทเค็นยาว 32 ตัวอักษร ถ้าตรงจะสร้างผู้ใช้ data-ops43 ชื่อแสดง “Site Tools” สิทธิ์ Editor พร้อมสิทธิ์ manage_options และ install_plugins ทำให้อัปโหลดปลั๊กอิน PHP ใด ๆ และแก้การตั้งค่าเว็บได้ Nethemba ชี้ว่าเพียงเปิดการลงทะเบียนและตั้งบทบาทเริ่มต้นเป็นผู้ดูแลก็สร้างแอดมินเต็มตัวได้แล้ว และบน WordPress มาตรฐาน Editor มีสิทธิ์ unfiltered_html จึงฝัง JavaScript ลงโพสต์ให้ทำงานในเบราว์เซอร์ของผู้ดูแลทุกคนได้

แบ็กดอร์มีชั้นที่สองด้วย บัญชีที่สร้างขึ้นมีรหัสผ่านที่ผู้โจมตีรู้ และยังอยู่ใน WordPress แม้ลบปลั๊กอินออกแล้ว ผู้โจมตีล็อกอินผ่านหน้าล็อกอินปกติได้ เว้นแต่บัญชีนั้นเปิด 2FA ปลั๊กอินรุ่นแรกมีบั๊กที่ทำให้เว็บล่มด้วย error 500 ผู้โจมตีจึงส่งคำสั่ง plugin.delete_plugin ลบตัวที่พังทิ้ง แล้วอัปโหลดรุ่นที่ทำงานได้ ซึ่งสร้างบัญชีผู้ดูแลเต็มตัวหรือล็อกอินเป็นผู้ดูแลที่มีอยู่แล้ว ทุกตัวอย่างมีข้อความ “Small maintenance toolkit: keeps option storage tidy.” อยู่ในโค้ด

ผลกระทบ

กลุ่มที่เสี่ยงสูงสุดคือเอเจนซีรับทำเว็บ ผู้ให้บริการดูแลเว็บไซต์ และผู้ดูแลที่ใช้ UpdraftCentral แบบคลาวด์คุมเว็บ WordPress หลายเว็บพร้อมกัน เพราะคีย์ชุดเดียวที่รั่วเปิดทางให้ฝังแบ็กดอร์ได้ทุกเว็บที่เชื่อมไว้ในคราวเดียว ผลที่ตามมามีตั้งแต่การยึดเว็บ ฝังสคริปต์อันตรายให้ผู้เยี่ยมชม ไปจนถึงการขโมยข้อมูลลูกค้าบนเว็บไซต์อีคอมเมิร์ซ ส่วนลูกค้าทุกรายที่มีบัญชี teamupdraft.com เสี่ยงอีเมลฟิชชิงที่แอบอ้างเป็น TeamUpdraft โดยใช้ข้อมูลชื่อและประวัติการสั่งซื้อที่รั่ว

ความเสียหายที่ร้ายที่สุดคือแบ็กดอร์ที่คงอยู่ได้แม้แก้ต้นเหตุแล้ว การอัปเดตปลั๊กอินหรือการที่คีย์เก่าถูกตัดไม่ได้ลบบัญชีที่ผู้โจมตีสร้างไว้ หรือปลั๊กอินแปลกปลอมที่ติดตั้งไปแล้ว เจ้าของเว็บจึงต้องตรวจเองทุกเว็บ เหตุนี้รวมกับกรณี Rank Math PRO ยังสะท้อนว่าช่องทางบริหารจัดการและช่องทางอัปเดตของผู้ผลิตปลั๊กอินกลายเป็นเป้าหมายห่วงโซ่อุปทานที่คุ้มค่าสำหรับผู้โจมตี

คำแนะนำ

• ล็อกอินเข้าแดชบอร์ด WordPress ของแต่ละเว็บโดยตรง ไม่ผ่าน UpdraftCentral แล้วอัปเดต UpdraftPlus เป็น 1.26.13 (ฟรี) หรือ 2.26.13 (Premium) ขึ้นไป
• ลบคีย์เชื่อมต่อเดิมที่ Settings > UpdraftPlus > Advanced Tools > UpdraftCentral ก่อนเชื่อมต่อใหม่
• ตรวจหน้า Users หาบัญชีผู้ดูแลหรือ Editor ที่ไม่รู้จัก รวมถึงชื่อในตาราง IoCs ด้านล่าง แล้วลบออก และตรวจว่าการตั้งค่าการลงทะเบียนและบทบาทเริ่มต้นไม่ถูกแก้
• ตรวจหน้า Plugins รวมถึงแท็บ Must-Use หาปลั๊กอินที่ไม่รู้จัก และค้นไฟล์ที่มีข้อความ “Small maintenance toolkit: keeps option storage tidy.”
• เปลี่ยนรหัสผ่านบัญชีผู้ดูแลทุกบัญชี และเปิด 2FA ให้บัญชีที่มีสิทธิ์สูง
• ถ้าพบสิ่งน่าสงสัย พิจารณากู้คืนเว็บจากแบ็กอัปก่อนวันที่ 17 ตุลาคม 2569
• ผู้ใช้ UpdraftVault ให้เชื่อมต่อเว็บใหม่ ผู้ใช้ UpdraftClone ที่สร้างคีย์ไคลเอนต์ไว้ให้คัดลอกคีย์ใหม่ส่งให้ลูกค้า และผู้มีบัญชี teamupdraft.com ให้เปลี่ยนรหัสผ่าน (รวมที่อื่นที่ใช้รหัสซ้ำ) และรีเซ็ต 2FA
• เว็บที่ยังใช้ UpdraftPlus ต่ำกว่า 1.26.5/2.26.5 ต้องอัปเดตทันทีเพื่อปิด CVE-2026-10795 ด้วย

Indicators of Compromise (IoCs)

หมายเหตุ: IPv4 และโดเมนในตาราง defang แล้ว

แหล่งอ้างอิง

• Security Incident October 2026 — TeamUpdraft
• UpdraftCentral Key Compromise Used to Plant WordPress Backdoors — Patchstack
• UpdraftCentral Backdoor Analysis — Nethemba
• UpdraftCentral Connection Key Compromise — Wordfence
• Attackers Abuse UpdraftCentral Keys to Plant Backdoors on WordPress Sites — The Hacker News