اخترقت جهات تهديد مجهولة موقع شركة TeamUpdraft، المطوّرة لإضافة النسخ الاحتياطي UpdraftPlus، ويُحتمل أنها وصلت إلى مفاتيح الاتصال الخاصة بالعملاء في خدمات UpdraftCentral وUpdraftVault وUpdraftClone، ثم استخدمتها لزرع أبواب خلفية في مواقع ووردبريس. وتملك الإضافة أكثر من أربعة ملايين تثبيت نشط، وتقدم الشركة كذلك خدمة UpdraftCentral للإدارة عن بُعد لعدة مواقع، ويأتي مكوّن العميل الخاص بها مضمّناً في كل نسخة من UpdraftPlus. وقالت الشركة إنها رصدت الوصول غير المصرح به إلى موقع teamupdraft.com خلال عطلة نهاية الأسبوع من السابع عشر إلى الثامن عشر من أكتوبر 2026، وإنها أغلقت مسار الدخول وأنهت جلسات جميع الحسابات وبدّلت المفاتيح وبيانات الاعتماد التي ربما تأثرت.
البيانات التي ربما وصل إليها المهاجمون
يُعتقد أن المهاجمين وصلوا إلى قاعدة بيانات العملاء التي تحوي الأسماء وعناوين البريد الإلكتروني وعناوين الفواتير وسجل الطلبات، وكلمات مرور الحسابات مخزنة بصيغة مجزّأة فقط ولا تُحفظ نصاً صريحاً، وإعدادات المصادقة الثنائية، ومفاتيح الاتصال الخاصة بالخدمات الثلاث. وأكدت الشركة أن القاعدة لا تحوي أي معلومات مالية لأنها تُعالج عبر Stripe وPayPal، وأن إضافة UpdraftPlus نفسها، والنسخ المستضافة ذاتياً من UpdraftCentral، والنسخ الاحتياطية المرسلة إلى وحدات التخزين البعيدة الخاصة بالعملاء، لا تتأثر. ومع ذلك نصحت من وصل إلى موقعه عبر UpdraftCentral بإعادة تفويض وحدة التخزين البعيدة وتغيير مفاتيح الوصول إليها احتياطاً.
إجراءات الاحتواء
نشرت الشركة إصلاحاً للمشكلة الأساسية، وأنهت جلسات جميع حسابات teamupdraft.com، وأعادت ضبط أمان تسجيل الدخول في الموقع. وأصدرت الإصدارين UpdraftPlus 1.26.13 (المجاني) و2.26.13 (المدفوع) اللذين يفصلان تلقائياً كل اتصال بـ UpdraftCentral أُنشئ قبل العاشرة مساءً بتوقيت بريطانيا الصيفي في الثامن عشر من أكتوبر، لمنع عمل المفاتيح القديمة. وشملت الخطوات الأخرى فصل كل المواقع عن UpdraftVault وإصدار بيانات اعتماد جديدة، واستبدال مفاتيح عملاء UpdraftClone، وتدوير المفاتيح لدى مزودي الدفع والخدمات المرتبطة، وتفعيل مراقبة إضافية، وإبلاغ مكتب مفوض المعلومات البريطاني ICO وجهات أخرى. وينبغي لأصحاب حسابات teamupdraft.com تغيير كلمات مرورهم فوراً، وفي أي مكان آخر أُعيد استخدامها فيه، وإعادة ضبط المصادقة الثنائية، والحذر من الرسائل غير المتوقعة التي تدّعي أنها من الشركة.
وتوصي الشركة عملاء UpdraftCentral السحابي بالمبادرة إلى الخطوات التالية، لأن مفاتيح الاتصال تستطيع إرسال أوامر إلى المواقع المرتبطة: الدخول إلى لوحة ووردبريس الخاصة بالموقع مباشرة وليس عبر UpdraftCentral، وتحديث UpdraftPlus إلى 1.26.12 المجاني أو 2.26.12 المدفوع أو أحدث، وفصل الموقع عن UpdraftCentral بحذف مفتاح الاتصال من الإعدادات، ومراجعة المستخدمين وحذف أي حسابات إدارية غير معروفة، ومراجعة الإضافات بما فيها علامة التبويب Must-Use وحذف ما لا يُعرف، وتغيير كلمات مرور كل حسابات المسؤولين، واستعادة الموقع من نسخة احتياطية سابقة للسابع عشر من أكتوبر إذا وُجد ما يريب، ثم إعادة ربط الموقع. ويُطلب من مستخدمي UpdraftVault إعادة ربط مواقعهم بالخدمة، ومن مستخدمي UpdraftClone الذين أنشأوا مفتاح عميل نسخ المفاتيح الجديدة من إدارة مفاتيح UpdraftClone في حساباتهم ومشاركتها مع عملائهم.
كيف استُخدمت المفاتيح في زرع الأبواب الخلفية؟
قالت شركة Patchstack لأمن ووردبريس إنها رصدت مهاجماً يملك مفاتيح صالحة للوحة UpdraftCentral يصدر أوامر لتثبيت إضافات خلفية على المواقع المرتبطة، وإن الحملة استمرت بلا انقطاع خلال نافذة من 18 ساعة في الثامن عشر والتاسع عشر من أكتوبر 2026. وقال الباحث ديف يونغ إن المهاجم يرسل أمراً موقّعاً باسم plugin.upload_plugin عبر قناة استدعاء الإجراءات عن بُعد في الإضافة، التي تستمع لطلبات POST العادية على جذر الموقع، ثم يثبّت ووردبريس الإضافة المرفوعة ويفعّلها عبر المثبّت القياسي.
ووصفت شركة Nethemba السلوفاكية للاختبار الاختراقي، وهي أول من رصد الهجوم فعلياً، الإضافة الخبيثة بأنها باب خلفي يتصل بكل طلب إلى الموقع ويتحقق مما إذا كان العنوان يحوي المعامل ?_9f5696= ويقارنه برمز من 32 خانة. وعند تطابق الرمز تُنشئ مستخدماً باسم data-ops43 وباسم العرض Site Tools، وتمنحه دور المحرر وصلاحيتي manage_options وinstall_plugins، ما يتيح للمشغّل رفع إضافات PHP عشوائية وفتح إعدادات الموقع. وقالت الشركة إن تفعيل التسجيل وضبط الدور الافتراضي على مسؤول يكفي لتمكين المهاجم من إنشاء مسؤول كامل، وإن المحرر في موقع ووردبريس القياسي يملك صلاحية unfiltered_html فيستطيع وضع شيفرة JavaScript في المقالات تعمل في متصفح كل مسؤول.
وللباب الخلفي طبقة ثانية، إذ يبقى الحساب المُنشأ بكلمة مرور معروفة في ووردبريس حتى بعد حذف الإضافة، ويستطيع المهاجم الدخول به عبر نموذج تسجيل الدخول العادي ما لم تكن المصادقة الثنائية مفعّلة لذلك الحساب. وعانت نسخة مبكرة من الإضافة من خطأ برمجي يتسبب في ظهور الخطأ 500 على المواقع المتأثرة، فحذف المهاجم الباب الخلفي المعطوب بالأمر plugin.delete_plugin ثم رفع نسخة عاملة تنشئ حساب مسؤول كاملاً أو تسجل الدخول بحساب مسؤول موجود.
مؤشرات الاختراق
ينبغي لأصحاب المواقع البحث عن أسماء إضافات مثل Site Health Cache وSite Health 364F وAsset Forge 2 وContent Helper وWp Forge وQuery Shelf وStyle Bridge 8F5 وMedia Kit 183 وPost Dock 776 وNav Hub وSpeed Desk وSpeed Kit 300 وLink Latch وScript Shelf وFeed Case. وعن حسابات بأسماء system_team850 وweb.tech988 وcmseditor170 وcms.tech644 وweb_mgr684 ببريد من نطاق example.com وأسماء عرض مثل System Team وWeb Tech وSystem Staff وSystem Ops وCms Tech. وعن العنوانين 43.250.53.42 و2a09:bac5:4e21:2e3c::49b:9. وأحصت Patchstack 99 اسماً مختلفاً للإضافات الخلفية، تحمل كل عينة منها السطر “Small maintenance toolkit: keeps option storage tidy”.
وقالت Wordfence في تحليلها إن الموقع قد يكون متأثراً إذا كانت UpdraftPlus المجانية أو المدفوعة مثبتة ومفعّلة أثناء وجود مفتاح الاتصال المتأثر، أو إذا كان للموقع مفتاح اتصال فعال بخدمة UpdraftCentral السحابية أثناء الحادثة. وحذرت Patchstack من أن هذه ثاني حادثة في هذه القناة خلال خمسة أشهر، ففي يونيو 2026 أصلحت الشركة الثغرة CVE-2026-10795 بدرجة 8.1 التي كانت تتيح تزوير أوامر UpdraftCentral دون أي مفاتيح بسبب صيغة رسائل قديمة غير موقّعة. وأُصلحت في الإصدارين 1.26.5 و2.26.5، لكن محاولات الاستغلال مستمرة، ولذلك تواجه المواقع الأقدم من هذين الإصدارين المشكلتين معاً.
هجمات أخرى على منظومة ووردبريس وPHP
جاء ذلك بعد أيام من هجوم على سلسلة التوريد طال موقع إضافة Rank Math PRO، إذ تلقى المستخدمون الذين نزّلوا الإصدار 3.0.123 بين الساعة 20:02 بالتوقيت العالمي في الخامس عشر من أكتوبر و07:12 في السادس عشر منه نسخاً مخترقة زرعت أبواباً خلفية مخفية. وحصلت الحادثة على المعرّف CVE-2026-111862 بدرجة 9.8، وأُصلحت في الإصدار 3.0.124. وقالت Wordfence إن البرمجية الخبيثة قد تؤسس وصولاً دائماً وتتصل بالنطاق rank1cdn[.]com وتعيد إنشاء الأبواب الخلفية عند زيارة الصفحات وتكشف بيانات اعتماد ووردبريس وقاعدة البيانات ومفاتيح API وأسراراً أخرى يصل إليها خادم الويب.
ويتزامن ذلك مع تنبيه من PHP بأنها تعتزم إصدار تحديث أمني يعالج ثغرتين حرجتين هما CVE-2026-109618 وCVE-2026-109619 بدرجة 9.2 لكل منهما، لأن معلومات عنهما تسربت قبل موعد الإفصاح المقرر، وسُميت الثغرتان PHP2Shell. وبحسب بنيامين هاريس، الرئيس التنفيذي لشركة watchTowr، تؤثر الثغرتان في إصدارات PHP 5 و6 و7 و8، وكان موعد إصدارهما الأصلي الثاني والعشرين من أكتوبر عند الحادية عشرة صباحاً بتوقيت الساحل الشرقي. وقالت Huntress إن PHP موجودة في كل مكان وتشغّل بهدوء ووردبريس وDrupal وJoomla وMagento ومنصات الاستضافة المشتركة ولوحات التحكم وكثيراً من البرمجيات التي لا تعلن أنها تعمل بـ PHP، وإن ظهور ثغرة حرجة في PHP نفسها لا في تطبيق مبني عليها يجعل عدد الأماكن التي يجب البحث فيها عن الإصدارات المعرضة كبيراً بسرعة.
