--- title: "Kunci UpdraftCentral Dicuri, Puluhan Plugin Backdoor Disebar" description: "Kunci UpdraftCentral yang dicuri dari TeamUpdraft dipakai memasang plugin backdoor di situs WordPress. Ini cara cek situsmu dan langkah membersihkannya." url: "https://nivelva.com/insight/kunci-updraftcentral-dicuri" category: "Keamanan/Cyber Security" tags: ["wordpress","updraftplus","updraftcentral","backdoor","keamanan website"] author: "Lucas Tan" published: "2026-11-12T15:23:00+07:00" updated: "2026-11-12T15:23:00+07:00" language: "id" publisher: "Nivelva (https://nivelva.com)" --- # Kunci UpdraftCentral Dicuri, Puluhan Plugin Backdoor Disebar > **Jawaban singkat:** Penyusup mengakses situs TeamUpdraft pada 17 sampai 18 Oktober 2026 dan kemungkinan database pelanggan berisi kunci UpdraftCentral. Kunci itu dipakai memasang setidaknya 99 varian plugin backdoor. Update UpdraftPlus ke 1.26.13 atau 2.26.13, hapus kunci lama, lalu periksa plugin dan akun admin. Kalau situs WordPress-mu memakai UpdraftPlus dan pernah disambungkan ke akun TeamUpdraft untuk dikelola dari UpdraftCentral, periksa daftar plugin dan akun admin hari ini juga. Kunci koneksi UpdraftCentral yang bocor dari TeamUpdraft sudah dipakai penyerang untuk memasang plugin backdoor di situs yang terhubung. Kenapa ini serius? Penyerang tidak menembus celah di plugin. Mereka memakai kunci yang sah, jadi perintah yang dikirim terlihat seperti perintah resmi dari dasbor pengelola. Update yang sudah dirilis memang memutus jalur itu, tetapi **tidak menghapus plugin jahat atau akun yang sudah terlanjur dibuat**. ## Apa yang terjadi? TeamUpdraft, pengembang UpdraftPlus, mendeteksi akses tidak sah ke situs teamupdraft.com pada akhir pekan **17 sampai 18 Oktober 2026**. Perusahaan itu meyakini penyusup mengakses database pelanggan. Menurut BleepingComputer dan CSO Online, data yang terpapar mencakup nama, email, alamat penagihan, riwayat pesanan, hash password, pengaturan 2FA, dan kunci koneksi layanan, termasuk kunci UpdraftCentral. TeamUpdraft menyatakan tidak menyimpan data kartu pembayaran. Patchstack mencatat serangan ke situs pelanggan mulai **18 Oktober pukul 15.32 UTC**. Pemasangan plugin jahat berlangsung 18 sampai 19 Oktober. Penyerang mengirim perintah bertanda tangan lewat kanal manajemen jarak jauh UpdraftCentral, lalu memasang dan mengaktifkan plugin lewat proses instalasi WordPress yang normal. Beberapa hal yang dipastikan sumber per 12 November 2026: - File plugin UpdraftPlus dan unduhannya **tidak** disusupi. Ini berbeda dengan kasus [Rank Math PRO 3.0.123](https://nivelva.com/insight/rank-math-pro-3-0-123-backdoor) yang file pluginnya sendiri berisi backdoor. - Backup pelanggan di penyimpanan jarak jauh seperti Google Drive, Dropbox, dan Amazon S3 dinyatakan tidak terdampak. - UpdraftCentral versi self-hosted tidak terdampak. Yang berisiko adalah situs dengan koneksi **UpdraftCentral Cloud** yang aktif. - TeamUpdraft belum merilis jumlah situs yang terdampak. ## Seperti apa plugin backdoornya? Patchstack mengidentifikasi **setidaknya 99 varian plugin backdoor** dengan nama berbeda-beda. Namanya dibuat mirip alat perawatan atau optimasi, salah satunya "Site Health Cache". Menurut Search Engine Journal, backdoor itu membuat pengguna ber-role Editor lalu memberinya hak setara administrator, dan bisa melewati perlindungan login seperti 2FA serta pembatasan percobaan login. Nethemba melaporkan varian yang lebih baru bisa membuat akun berhak tinggi atau masuk sebagai admin yang sudah ada. Sebagian varian awal punya kesalahan kode sehingga situs malah menampilkan error server. Jangan anggap itu tanda aman, karena varian berikutnya sudah berfungsi. CSO Online juga menyebut ada varian yang dirancang agar tidak terlihat di layar admin WordPress biasa, jadi pemeriksaan sebaiknya dilakukan langsung di folder plugin. | Tanda | Di mana mengecek | |:--|:--| | Plugin asing bernama mirip alat cache atau health check | Folder `wp-content/plugins` dan menu Plugins | | User Editor yang punya hak seperti admin | Menu Users, `wp user list` | | Admin baru yang tidak kamu kenal | `wp user list --role=administrator` | | Situs sempat error server sekitar 18 sampai 19 Oktober | Log error server | | Kunci UpdraftCentral lama masih tercantum | UpdraftPlus, Advanced Tools, UpdraftCentral | ## Langkah yang perlu dilakukan sekarang ### Update UpdraftPlus Versi yang dirilis 19 Oktober 2026 mencabut koneksi UpdraftCentral Cloud lama. Menurut Search Engine Journal dan CSO Online, pakai minimal **1.26.13 (gratis) atau 2.26.13 (Premium)**. Nethemba melaporkan rilis sebelumnya (1.26.12) belum berhasil mencabut kunci karena bug, jadi pastikan versimu sudah 1.26.13 ke atas, dan cocokkan dengan advisori resmi TeamUpdraft. ### Hapus kunci yang tersisa Buka **Settings > UpdraftPlus Backups > Advanced Tools > UpdraftCentral**, lalu hapus kunci lama di bagian pengelolaan kunci yang ada. Sambungkan ulang ke UpdraftCentral hanya bila memang masih kamu butuhkan. ### Periksa plugin dan akun Kalau ada akses SSH dan WP-CLI, jalankan dari folder WordPress: ```bash wp plugin list wp user list --role=administrator wp user list --role=editor ls -lt wp-content/plugins | head -20 ``` Perintah `ls -lt` mengurutkan folder plugin dari yang paling baru diubah, sehingga plugin yang muncul sekitar 18 sampai 19 Oktober mudah terlihat. Untuk pencarian file sisipan yang lebih menyeluruh, lihat [backdoor PHP di hosting](https://nivelva.com/insight/backdoor-php-hosting-cara-menemukan-menghapusnya). ### Kalau ternyata terinfeksi Restore dari backup terverifikasi yang dibuat **sebelum 17 Oktober 2026**, lalu ganti semua password admin, cabut sesi yang aktif, dan atur ulang 2FA. Ganti juga password akun TeamUpdraft. Bila situsmu sempat diakses lewat UpdraftCentral, TeamUpdraft menyarankan mengotorisasi ulang penyimpanan jarak jauh dan mengganti kunci akses penyimpanan. Panduan lengkap pembersihan ada di [cara membersihkan malware WordPress](https://nivelva.com/insight/cara-membersihkan-malware-wordpress-kehilangan-data). ## Apakah backup-ku masih bisa dipercaya? Menurut TeamUpdraft, file backup di penyimpanan jarak jauh tidak disentuh dalam insiden ini. Tetapi backup yang dibuat **setelah** plugin jahat terpasang ikut membawa backdoor itu. Karena itu titik restore harus sebelum 17 Oktober, dan sebaiknya kamu menyimpan riwayat backup cukup panjang, bukan hanya beberapa hari terakhir. Kasus ini juga pengingat bahwa alat manajemen jarak jauh adalah kunci serep untuk semua situs yang terhubung. Patchstack mencatat manajemen jarak jauh aktif secara default saat situs disambungkan ke akun TeamUpdraft, jadi ada pengguna yang hanya memakai fitur backup tanpa sadar koneksinya terbuka. Tinjau ulang koneksi pihak ketiga di setiap situs, dan putuskan yang tidak dipakai. ## Pertanyaan yang sering diajukan ### Saya memakai UpdraftPlus hanya untuk backup, apakah terdampak? Hanya bila situs punya koneksi UpdraftCentral Cloud yang aktif. Karena manajemen jarak jauh aktif secara default saat menyambungkan akun TeamUpdraft, cek menu UpdraftCentral di Advanced Tools untuk memastikan. ### Apakah update UpdraftPlus sudah cukup? Belum. Update memutus kunci lama, tetapi plugin jahat dan akun admin yang sudah dibuat tetap ada. Periksa plugin dan user secara manual setelah update. ### Berapa banyak situs yang terkena? Per 12 November 2026 TeamUpdraft belum merilis jumlahnya. Yang diketahui, Patchstack menemukan setidaknya 99 varian plugin backdoor. ## Sumber - - - --- Diterbitkan oleh Nivelva Insight (https://nivelva.com/insight/). Artikel ini: https://nivelva.com/insight/kunci-updraftcentral-dicuri Kontak Nivelva: WhatsApp https://wa.me/6285111245007, email hello@nivelva.com