Изработка на веб страна и бекдор преку UpdraftPlus: што да проверите

Според Search Engine Journal, компанијата TeamUpdraft, зад познатиот WordPress додаток за резервни копии UpdraftPlus, била нападната на 17 и 18 октомври 2026. Нападнувачите дошле до клучеви за поврзување со услугата UpdraftCentral и со нив презеле контрола врз WordPress страници, без да им требаат корисничко име и лозинка. Додатокот е инсталиран на над три милиони страници, па ова е тема и за фирмите во Македонија кои имаат WordPress страница.

Што точно се случило

UpdraftPlus е додаток што прави резервни копии на страницата и ја враќа кога нешто ќе тргне наопаку. Во него постои и дел наречен UpdraftCentral, кој овозможува да се управува со повеќе страници од едно место. За да знае страницата дека наредбата навистина доаѓа од таа услуга, се користат тајни клучеви.

Кога нападнувачите дошле до базата со клучевите, можеле да праќаат наредби што страниците ги сметале за легитимни. Страниците потоа сами инсталирале и вклучувале малициозни додатоци. Безбедносната компанија Patchstack објасни дека тоа не е грешка во кодот на додатокот: проверките работеле како што треба, но клучевите биле украдени.

Зошто е тешко да се забележи

Малициозните додатоци создавале корисник со улога Editor (уредник) и тивко му давале дозволи на администратор. На прв поглед тоа е обична сметка, но таа може да менува важни поставки. Заобиколувала и најава со две чекори и ограничувања на обиди за најава.

По наводите на Patchstack, користени се 99 различни имиња за лажните додатоци, а многу личат на алатки за одржување и брзина, на пример Site Health Cache. Затоа е лесно да се помине покрај нив при брз преглед на листата.

Можеби имате врска без да знаете

Најнеугодниот детаљ е што опцијата за далечинско управување била вклучена по основно. Страница што го користи UpdraftPlus само за резервни копии можеби има активна врска, а сопственикот не знае за неа. Засегнати се страниците со активна врска со UpdraftCentral Cloud, не сите што го имаат додатокот.

TeamUpdraft објави дека е затворен патот на упадот и дека се заменети можно компромитираните податоци. На 19 октомври излегоа верзиите 1.26.13 (бесплатна) и 2.26.13 (платена), кои ги поништуваат старите врски и автоматски ги исклучуваат засегнатите страници од UpdraftCentral.

Листа за проверка

Овие чекори може да ги направи некој од Вашиот тим или надворешен соработник:

1. Проверете дали на страницата е инсталиран UpdraftPlus и која верзија е. Ако е постара од 1.26.13 или 2.26.13, ажурирајте го веднаш.
2. Прегледајте ја листата на додатоци и побарајте такви што не сте ги инсталирале Вие, особено со имиња што звучат како одржување или брзина.
3. Во списокот на корисници побарајте непознати сметки, пред сè со улога Editor, и проверете каква дозвола имаат.
4. Сменете ги лозинките на администраторите и проверете дали сè уште работат само луѓето што треба да имаат пристап.
5. Ако се сомневате дека има упад, не бришете сè на слепо. Прво направете копија на сегашната состојба за анализа, па побарајте помош.
6. Проверете каде се чуваат резервните копии и дали може да се вратат. Копија што никој не ја тестирал не е сигурна.

Што значи ова за фирма во Македонија

Мала фирма најчесто нема свој ИТ оддел. Страницата ја направил некој пред неколку години, а оттогаш речиси никој не ја отворил контролната табла. Токму такви страници се најранливи: додатоците се собираат, некои се заборавени, а никој не знае што е вклучено по основно.

Практичното правило е едноставно. Секој додаток е дополнителна врата кон страницата, па држете само оние што навистина Ви требаат. Договорете се кој е одговорен за ажурирањата и колку често се проверуваат, и барем еднаш годишно прегледајте кои услуги се поврзани со страницата. Ова не бара голем буџет, туку редовност.

Што да побарате при изработка и одржување

Кога размислувате за веб дизајн во Скопје или за цената за изработка на веб страна, не гледајте само изглед и почетна сума. Прашајте и кои додатоци ќе се користат, кој ги ажурира и како се чуваат резервните копии. Страница што изгледа одлично, но никој не ја одржува, може да Ве чини многу повеќе од почетната цена.

Барајте и јасен договор за одржување: кој реагира кога ќе излезе итно ажурирање и за колку време. Тоа важи за секоја WordPress страница, без разлика колку е мала. Дополнително, за подлабока проверка може да погледнете и што нуди сајбер безбедноста.

Како може да помогне VAMAS

Ако не сте сигурни што има на Вашата WordPress страница или сакате нова, нашиот тим може да помогне со изработка на веб страници, вклучително и со преглед на додатоците и редовно одржување. Поддршката ни е на македонски јазик, 24 часа дневно. Ние не можеме да ветиме дека нема да има никаков ризик, но можеме да Ви помогнеме да знаете што е на Вашата страница и кој се грижи за неа.