אירוע אבטחה נרחב מטלטל את קהילת WordPress: פריצה לתשתיות של חברת TeamUpdraft, המפתחת תוספי גיבוי וניהול פופולריים, הובילה לדליפה של מפתחות התקשרות מרחוק ולהשתלטות זדונית על אתרי אינטרנט ברחבי העולם.
במהלך סוף השבוע של 17-18 באוקטובר 2026, זיהתה החברה גישה לא מורשת לאתר האינטרנט שלה, והתברר כי התוקפים הצליחו לחדור לבסיס נתוני הלקוחות. כעת מתברר כי גורמי סייבר כבר מנצלים את מפתחות הגישה שנגנבו כדי להחדיר דלתות אחוריות (Backdoors) ולהתקין תוספים זדוניים במאות אלפי אתרים.
מדובר במתקפה בעלת פוטנציאל נזק כבד במיוחד, שכן התוקפים לא נדרשו להערים על מנגנוני הגנה או לנצל חולשת אבטחה בקוד של האתרים עצמם, אלא השתמשו באישור הגישה התקף שנגנב ישירות מהחברה כדי לשלוח פקודות מורשות מרחוק.
פריצה לבסיס הנתונים: מה בדיוק נחשף?
חברת TeamUpdraft מפתחת שורה של כלים פופולריים לניהול, גיבוי ואחסון של אתרי WordPress, ובהם התוסף UpdraftPlus הנחשב לאחד הנפוצים בתחום עם יותר מ-4 מיליון הורדות. נוסף עליו מציעה החברה את UpdraftCentral לניהול מרחוק של מספר אתרים במקביל, את שירות אחסון הגיבוי בענן UpdraftVault ואת כלי השיבוט UpdraftClone.
בעקבות האירוע, סגרו צוותי החברה את נתיב הגישה של התוקפים, ניתקו את החיבור של כל החשבונות והחליפו את המפתחות והאישורים שהיו בסכנה. עם זאת, בדיקה העלתה כי בסיס הנתונים שנפרץ הכיל מידע רגיש על לקוחות:
פרטי לקוחות וחשבוניות: היסטוריית הזמנות ופרטי התקשרות.
נתוני אבטחה: גיבובי סיסמאות (Password hashes) והגדרות אימות דו-שלבי (2FA).
מפתחות התקשרות: מפתחות גישה עבור השירותים UpdraftCentral, UpdraftVault ו-UpdraftClone.
בחברה הדגישו כי פרטי תשלום אינם שמורים במערכותיה ולא נחשפו. כמו כן, קובצי התוסף UpdraftPlus וההורדות שלו לא נפגעו, והתקנות של UpdraftCentral המאוחסנות באופן עצמאי (Self-hosted) לא הושפעו מהאירוע.
הדרך להשתלטות: 99 תוספים זדוניים שנחשפו
על פי נתוני מעקב של חברות אבטחה, גורמי התקיפה החלו לנצל את מפתחות הגישה שנגנבו החל מ-18 באוקטובר 2026 בשעה 15:32 (UTC). התוקפים השתמשו בערוץ הניהול המרוחק של UpdraftCentral כשהם חותמים על הפקודות באמצעות מפתחות תקפים, ובכך השיגו יכולת לבצע הרצת קוד שרירותית (Arbitrary code execution) וליצור בחופשיות חשבונות מנהל בעלי הרשאות מלאות.
במהלך המתקפה זיהו חוקרי אבטחה לפחות 99 תוספי דלת אחורית שונים שנוצרו על ידי התוקפים. כדי לחמוק מזיהוי, תוספים אלה הוסוו בתור כלי תחזוקה ואופטימיזציה לגיטימיים, כדוגמת תוסף בשם "Site Health Cache". לאחר התקנת הדלת האחורית, התוקפים יכלו להוסיף מנהלים חדשים למערכת או להתחבר באופן ישיר באמצעות חשבונות מנהל קיימים.
במסגרת חקירת האירוע, דיווחה חברת אבטחת אפליקציות אינטרנט בשם Nethemba כי שלושה מאתרי ה-WordPress שבבעלותה הותקפו באמצעות ערוץ הניהול המרוחק של UpdraftCentral, ושניים מהם נפגעו. האתרים היו מעודכנים בגרסת WordPress 7.1.3 ובגרסה העדכנית ביותר של התוסף (UpdraftPlus 2.26.11, שכללה תיקון לחולשת אבטחה מיוני 2026), אך התוקפים נכנסו דרך הערוץ המורשה מבלי לפרוץ לשרתים או לנצל כשל בהגדרות.
היקף הפגיעה והנחיות חירום למנהלי אתרים
הערכות בתעשייה מצביעות על כך שכ-10% מכלל האתרים שמשתמשים ב-UpdraftPlus עושים שימוש במפתחות UpdraftCentral או Migrator. משמעות הדבר היא כי היקף החשיפה למתקפה עומד על כ-400,000 אתרי אינטרנט ברחבי העולם.
| פרמטר | נתונים |
|---|---|
| מספר אתרים בסכנה | כ-400,000 אתרים (כ-10% מכלל משתמשי התוסף) |
| מועד תחילת הניצול הזדוני | 18 באוקטובר 2026 (15:32 UTC) |
| תוספים זדוניים שזוהו | לפחות 99 גרסאות שונות |
| גרסאות מתוקנות | UpdraftPlus 1.26.13 (חינם) / 2.26.13 (פרימיום) |
החברה שחררה בתחילה עדכון חירום (גרסאות 1.26.12 ו-2.26.12), אך התגלה בו באג שמנע את הסרת המפתחות החשופים מהענן. בעקבות זאת שוחררה גרסה מעודכנת נוספת - 1.26.13 לגרסה החינמית ו-2.26.13 לגרסת הפרימיום.
למנהלי אתרים ולמפתחים מומלץ לבצע את הצעדים הבאים באופן מיידי:
עדכון תוכנה: לעדכן את התוסף UpdraftPlus לגרסה 1.26.13 או 2.26.13 ומעלה.
מחיקת מפתחות חיבור: להיכנס לכל אתר WordPress, לעבור להגדרות התוסף ולהסיר את המפתחות הקיימים.
רענון אישורים: להחליף סיסמה בחשבון TeamUpdraft, לבטל את כל החיבורים הפעילים (Revoke sessions) ולאפס את מנגנון האימות הדו-שלבי.
אבטחת אחסון מרוחק: לרענן את אישורי הגישה לאמצעי האחסון המרוחקים ולאשר מחדש את החיבורים.
בדיקת לוגים: לסקור את יומני הרישום והקבצים באתר לאיתור חשד להחדרת דלתות אחוריות, ובמקרה של זיהוי פגיעה - לשחזר את האתר מגיבוי נקי ומוקדם.
למה זה חשוב לך
WordPress מריץ נתח ניכר מהאתרים בישראל, כולל חנויות אונליין, אתרי עסקים קטנים ובינוניים ואתרי תדמית - ורבים מהם משתמשים בתוספי UpdraftPlus לגיבוי. אם אתה מנהל אתר כזה, כדאי לבדוק מיד האם הותקנו מפתחות UpdraftCentral או Migrator ולפעול לפי ההנחיות שפורטו. מתקפה מסוג זה עלולה להוביל להשתלטות מלאה על האתר, לגניבת מידע או להטמעת קוד זדוני שיפגע במבקרים ובמוניטין העסקי. טיפול מהיר בעדכון התוספים ובניקוי המפתחות החשופים הוא הדרך היחידה להבטיח שהאתר שלכם לא ייפול קורבן למתקפה הגלובלית הזו.
התוכן בכתבה זו נועד לספק סקירה כללית בלבד ואינו מהווה תחליף לייעוץ מקצועי פרטני. המערכת אינה אחראית לכל נזק או הפסד שייגרם כתוצאה מהסתמכות על המידע המוצג.
קראו גם: סוף הדרך העצמאית של אר-גו רובוטיקס: מכרה רישיונות בכ-25 מיליון דולר · רשות המסים מקדמת מתווה חדש: רף רווחיות של 13% למרכזי הפיתוח הזרים
