TeamUpdraft, công ty đứng sau plugin sao lưu UpdraftPlus, xác nhận website teamupdraft.com bị truy cập trái phép trong cuối tuần 17–18/10/2026. Kẻ tấn công nhiều khả năng đã vào được cơ sở dữ liệu khách hàng. Trong đó có khóa kết nối UpdraftCentral, công cụ quản lý nhiều site WordPress từ một bảng điều khiển.

Với khóa này, kẻ tấn công gửi lệnh có chữ ký hợp lệ tới các site đang kết nối và cài plugin độc. Theo Search Engine Journal, UpdraftPlus có hơn 3 triệu lượt cài đặt. Chỉ những site có kết nối UpdraftCentral Cloud đang hoạt động mới nằm trong diện rủi ro.

Diễn biến chính

  • 17–18/10: TeamUpdraft phát hiện truy cập trái phép, đóng đường xâm nhập, đăng xuất mọi tài khoản và thay các khóa có thể bị ảnh hưởng.
  • 18/10, 13:07 giờ Anh: mốc thời gian dùng để xác định kết nối UpdraftCentral cần bị ngắt.
  • 19/10: phát hành UpdraftPlus 1.26.13 (miễn phí) và 2.26.13 (Premium). WordPress.org đẩy bản cập nhật tự động.
  • 21/10: công ty thuê đơn vị an ninh mạng bên ngoài và liên hệ cơ quan chức năng, gồm cả cảnh sát.

Trước đó đã có bản khẩn 1.26.12 và 2.26.12. Theo changelog được Search Engine Journal dẫn lại, bản 1.26.13 sửa cách áp dụng việc thu hồi khóa của bản trước. Vì vậy, mốc cần đạt là 1.26.13 hoặc 2.26.13 trở lên.

Dữ liệu nào bị lộ

TeamUpdraft viết rằng họ tin cơ sở dữ liệu khách hàng đã bị truy cập. Theo thông báo của công ty, dữ liệu này gồm:

  • Họ tên, email, địa chỉ thanh toán, lịch sử đơn hàng
  • Mật khẩu tài khoản, chỉ lưu dạng băm
  • Thiết lập xác thực hai lớp
  • Khóa kết nối UpdraftCentral, UpdraftVault và UpdraftClone

Công ty khẳng định không lưu thông tin thẻ. Thanh toán do Stripe và PayPal xử lý. Plugin UpdraftPlus, file tải về và các bản backup trên kho lưu trữ riêng của khách như Google Drive, Dropbox, Amazon S3 không bị ảnh hưởng. UpdraftCentral tự cài đặt cũng không nằm trong diện rủi ro.

Cách backdoor hoạt động

Patchstack, đơn vị bảo mật WordPress, nhận định đây không phải lỗ hổng trong mã UpdraftPlus. Lệnh được ký bằng khóa thật nên vượt qua bước kiểm tra của site. Kẻ tấn công dùng lệnh đó để cài plugin độc.

Theo Search Engine Journal, plugin độc tạo tài khoản vai trò Editor rồi cấp quyền tương đương quản trị viên. Nó vượt qua xác thực hai lớp và giới hạn số lần đăng nhập. Patchstack đã thống kê 99 tên plugin độc khác nhau, trong đó có một plugin tên "Site Health Cache". Một lỗi lập trình khiến một số site báo lỗi máy chủ trước khi backdoor kích hoạt, nhưng điều đó không làm giảm nguy cơ.

Một chi tiết đáng lưu ý từ Patchstack: khi kết nối site với tài khoản TeamUpdraft, kết nối UpdraftCentral có thể được tạo theo mặc định. Nghĩa là người chỉ dùng tính năng backup vẫn có thể đang giữ khóa đang hoạt động mà không biết.

Việc cần làm ngay

Với từng site WordPress dùng UpdraftCentral Cloud

  1. Đăng nhập trực tiếp vào bảng quản trị của site, không qua UpdraftCentral.
  2. Cập nhật UpdraftPlus lên 1.26.13, 2.26.13 hoặc mới hơn.
  3. Xóa khóa kết nối tại Settings > UpdraftPlus > Advanced Tools > UpdraftCentral.
  4. Gỡ tài khoản quản trị không nhận ra trong mục Users.
  5. Gỡ plugin lạ, kể cả Must-Use plugin trong thư mục wp-content/mu-plugins.
  6. Đổi mật khẩu mọi tài khoản quản trị.
  7. Nếu thấy dấu hiệu bất thường, cân nhắc khôi phục từ bản backup trước ngày 17/10.

Với tài khoản teamupdraft.com

Đổi mật khẩu bằng cách gõ trực tiếp địa chỉ trang, không bấm link trong email. Đổi cả mật khẩu trùng ở dịch vụ khác. Đặt lại xác thực hai lớp. Cảnh giác email giả danh TeamUpdraft.

Với người dùng UpdraftVault và UpdraftClone

Mọi site đã bị ngắt khỏi UpdraftVault. Backup sẽ không lên Vault cho tới khi kết nối lại bằng mật khẩu mới. Hãy chạy một bản backup thủ công để xác nhận. Khóa UpdraftClone cũ đã bị thay và không còn dùng được.

Kiểm tra nhanh trên VPS

Nếu có quyền SSH và WP-CLI, có thể rà nhanh plugin và tài khoản quản trị:

wp plugin list --status=active,must-use
wp user list --role=administrator --fields=ID,user_login,user_registered
wp user list --role=editor --fields=ID,user_login,user_registered

Chú ý tài khoản mới tạo từ ngày 18/10 và plugin có tên giống công cụ bảo trì nhưng bạn không cài.

Góc nhìn của Canh Deal

Agency và freelancer ở Việt Nam thường quản lý hàng chục site khách hàng qua một bảng điều khiển tập trung. Tiện, nhưng cũng là một điểm chết. Sự cố này cho thấy rủi ro không chỉ nằm ở lỗ hổng phần mềm, mà ở chính nhà cung cấp dịch vụ bạn tin tưởng. Hãy rà lại mọi công cụ quản lý từ xa đang cắm vào site, gỡ những kết nối không dùng. Và nên giữ một bản backup độc lập trên kho lưu trữ riêng hoặc snapshot của nhà cung cấp hosting, VPS.

Nguồn tham khảo