Kunci UpdraftCentral Dicuri, Puluhan Plugin Backdoor Disebar

Kalau situs WordPress-mu memakai UpdraftPlus dan pernah disambungkan ke akun TeamUpdraft untuk dikelola dari UpdraftCentral, periksa daftar plugin dan akun admin hari ini juga. Kunci koneksi UpdraftCentral yang bocor dari TeamUpdraft sudah dipakai penyerang untuk memasang plugin backdoor di situs yang terhubung.

Kenapa ini serius? Penyerang tidak menembus celah di plugin. Mereka memakai kunci yang sah, jadi perintah yang dikirim terlihat seperti perintah resmi dari dasbor pengelola. Update yang sudah dirilis memang memutus jalur itu, tetapi tidak menghapus plugin jahat atau akun yang sudah terlanjur dibuat.

Apa yang terjadi?

TeamUpdraft, pengembang UpdraftPlus, mendeteksi akses tidak sah ke situs teamupdraft.com pada akhir pekan 17 sampai 18 Oktober 2026. Perusahaan itu meyakini penyusup mengakses database pelanggan. Menurut BleepingComputer dan CSO Online, data yang terpapar mencakup nama, email, alamat penagihan, riwayat pesanan, hash password, pengaturan 2FA, dan kunci koneksi layanan, termasuk kunci UpdraftCentral. TeamUpdraft menyatakan tidak menyimpan data kartu pembayaran.

Patchstack mencatat serangan ke situs pelanggan mulai 18 Oktober pukul 15.32 UTC. Pemasangan plugin jahat berlangsung 18 sampai 19 Oktober. Penyerang mengirim perintah bertanda tangan lewat kanal manajemen jarak jauh UpdraftCentral, lalu memasang dan mengaktifkan plugin lewat proses instalasi WordPress yang normal.

Beberapa hal yang dipastikan sumber per 12 November 2026:

• File plugin UpdraftPlus dan unduhannya tidak disusupi. Ini berbeda dengan kasus Rank Math PRO 3.0.123 yang file pluginnya sendiri berisi backdoor.
• Backup pelanggan di penyimpanan jarak jauh seperti Google Drive, Dropbox, dan Amazon S3 dinyatakan tidak terdampak.
• UpdraftCentral versi self-hosted tidak terdampak. Yang berisiko adalah situs dengan koneksi UpdraftCentral Cloud yang aktif.
• TeamUpdraft belum merilis jumlah situs yang terdampak.

Seperti apa plugin backdoornya?

Patchstack mengidentifikasi setidaknya 99 varian plugin backdoor dengan nama berbeda-beda. Namanya dibuat mirip alat perawatan atau optimasi, salah satunya "Site Health Cache". Menurut Search Engine Journal, backdoor itu membuat pengguna ber-role Editor lalu memberinya hak setara administrator, dan bisa melewati perlindungan login seperti 2FA serta pembatasan percobaan login. Nethemba melaporkan varian yang lebih baru bisa membuat akun berhak tinggi atau masuk sebagai admin yang sudah ada.

Sebagian varian awal punya kesalahan kode sehingga situs malah menampilkan error server. Jangan anggap itu tanda aman, karena varian berikutnya sudah berfungsi. CSO Online juga menyebut ada varian yang dirancang agar tidak terlihat di layar admin WordPress biasa, jadi pemeriksaan sebaiknya dilakukan langsung di folder plugin.

Langkah yang perlu dilakukan sekarang

Update UpdraftPlus

Versi yang dirilis 19 Oktober 2026 mencabut koneksi UpdraftCentral Cloud lama. Menurut Search Engine Journal dan CSO Online, pakai minimal 1.26.13 (gratis) atau 2.26.13 (Premium). Nethemba melaporkan rilis sebelumnya (1.26.12) belum berhasil mencabut kunci karena bug, jadi pastikan versimu sudah 1.26.13 ke atas, dan cocokkan dengan advisori resmi TeamUpdraft.

Hapus kunci yang tersisa

Buka Settings > UpdraftPlus Backups > Advanced Tools > UpdraftCentral, lalu hapus kunci lama di bagian pengelolaan kunci yang ada. Sambungkan ulang ke UpdraftCentral hanya bila memang masih kamu butuhkan.

Periksa plugin dan akun

Kalau ada akses SSH dan WP-CLI, jalankan dari folder WordPress:

wp plugin list
wp user list --role=administrator
wp user list --role=editor
ls -lt wp-content/plugins | head -20

Perintah ls -lt mengurutkan folder plugin dari yang paling baru diubah, sehingga plugin yang muncul sekitar 18 sampai 19 Oktober mudah terlihat. Untuk pencarian file sisipan yang lebih menyeluruh, lihat backdoor PHP di hosting.

Kalau ternyata terinfeksi

Restore dari backup terverifikasi yang dibuat sebelum 17 Oktober 2026, lalu ganti semua password admin, cabut sesi yang aktif, dan atur ulang 2FA. Ganti juga password akun TeamUpdraft. Bila situsmu sempat diakses lewat UpdraftCentral, TeamUpdraft menyarankan mengotorisasi ulang penyimpanan jarak jauh dan mengganti kunci akses penyimpanan. Panduan lengkap pembersihan ada di cara membersihkan malware WordPress.

Apakah backup-ku masih bisa dipercaya?

Menurut TeamUpdraft, file backup di penyimpanan jarak jauh tidak disentuh dalam insiden ini. Tetapi backup yang dibuat setelah plugin jahat terpasang ikut membawa backdoor itu. Karena itu titik restore harus sebelum 17 Oktober, dan sebaiknya kamu menyimpan riwayat backup cukup panjang, bukan hanya beberapa hari terakhir.

Kasus ini juga pengingat bahwa alat manajemen jarak jauh adalah kunci serep untuk semua situs yang terhubung. Patchstack mencatat manajemen jarak jauh aktif secara default saat situs disambungkan ke akun TeamUpdraft, jadi ada pengguna yang hanya memakai fitur backup tanpa sadar koneksinya terbuka. Tinjau ulang koneksi pihak ketiga di setiap situs, dan putuskan yang tidak dipakai.