Kunci Akses UpdraftCentral Dicuri, Ratusan Ribu Situs WordPress Terancam Backdoor

Pengenalan UpdraftCentral dan Ekosistem WordPress

UpdraftPlus merupakan salah satu plugin manajemen dan pencadangan (backup) yang paling populer di dunia WordPress, digunakan oleh jutaan situs web untuk mengamankan data mereka. Untuk mempermudah pengelolaan banyak situs sekaligus dari satu dasbor pusat, pengembang menyediakan layanan UpdraftCentral. Layanan ini mengandalkan kunci enkripsi khusus (connection keys) agar dasbor pusat dapat mengirimkan perintah langsung ke situs-situs WordPress klien secara jarak jauh.

Namun, keterpusatan akses ini juga membawa risiko keamanan yang besar. Ketika infrastruktur utama pengembang berhasil ditembus, kunci-kunci akses yang seharusnya melindungi komunikasi antar-situs dapat dimanfaatkan oleh pihak tak bertanggung jawab untuk mengambil alih kendali secara massal.

Kronologi Bobolnya Infrastruktur TeamUpdraft

Pada akhir pekan tanggal 17-18 Oktober, TeamUpdraft mendeteksi adanya akses ilegal ke server utama mereka di teamupdraft.com. Tim internal langsung merespons dengan menutup jalur peretasan, mengeluarkan seluruh sesi akun, dan mengganti kredensial yang berpotensi terdampak. Meskipun data pembayaran dipastikan aman karena tidak disimpan di server tersebut, peretas diperkirakan berhasil mengunduh basis data pelanggan.

Basis data yang diakses mencakup riwayat pesanan, informasi penagihan, dan yang paling krusial adalah kunci koneksi UpdraftCentral Cloud. Dari total pengguna, sekitar 10% atau setara 400.000 situs web diperkirakan memiliki kunci aktif yang berisiko disalahgunakan.

Eksploitasi Serangan dan Penanaman Backdoor

Peneliti keamanan dari Patchstack dan Nethemba mengonfirmasi bahwa penyerang mulai memanfaatkan kunci yang dicuri sejak 18 Oktober pukul 15:32 UTC. Karena menggunakan kunci privat yang sah, perintah peretas dianggap valid oleh situs korban tanpa perlu mengeksploitasi kerentanan pada server lokal.

Dalam aksinya, peretas mengeksekusi kode arbitrer untuk membuat akun administrator baru dan mengunggah plugin backdoor berbahaya. Sedikitnya 99 plugin palsu terdeteksi menyamar sebagai alat pemeliharaan seperti 'Site Health Cache'. Melalui backdoor ini, penyerang memperoleh hak akses penuh atas situs yang terdampak.

Langkah Mitigasi dan Pemulihan Situs

Pengembang telah merilis pembaruan darurat untuk mengatasi bug pencabutan kunci. Pengguna UpdraftPlus diimbau untuk segera memperbarui plugin ke versi 1.26.13 (gratis) atau 2.26.13 (Premium). Setelah memperbarui, admin wajib masuk ke dasbor WordPress dan menghapus kunci koneksi UpdraftCentral secara manual melalui menu Pengaturan.

Jika situs terindikasi telah dibobol, lakukan pemulihan (restore) menggunakan cadangan data yang bersih dari luar server. Selain itu, ubah kata sandi akun TeamUpdraft, cabut semua sesi login, dan atur ulang otentikasi dua faktor (2FA) demi mencegah akses kembali oleh peretas.