ما الذي حدث في UpdraftPlus في أكتوبر 2026
حددت الشركة الناشرة TeamUpdraft وصولًا غير مصرح به إلى موقعها في 17 و18 أكتوبر 2026. وتشمل البيانات المعنية مفاتيح اتصال UpdraftCentral، وهي خدمة الإدارة عن بُعد. بمثل هذا المفتاح يوقّع المهاجم أوامر يقبلها الموقع على أنها صادرة من لوحة تحكمه، ومنها تثبيت إضافة. وقد رصدت Patchstack أول تثبيت لباب خلفي في 18 أكتوبر عند الساعة 15:32 بالتوقيت العالمي، وأحصت 99 إضافة خبيثة على الأقل بأسماء مختلفة، متنكرة في هيئة أدوات صيانة. لكن النقطة الجوهرية في مكان آخر: ليست هذه ثغرة في إضافة النسخ الاحتياطي. فالناشر يذكر أن الإضافة وملفات تنزيلها غير متأثرة، وكذلك النسخ المحفوظة في مساحة التخزين البعيدة الخاصة بك. الخطر يأتي من مفتاح إدارة عن بُعد مسروق، لا من النسخ الاحتياطية في ووردبريس عمومًا.
الإصدارات والحالات: أين يقف كل موقع
مرّر الجدول أفقيًا
| الحالة | الوضع | الإجراء |
|---|---|---|
| UpdraftPlus 1.26.13 (مجاني) أو 2.26.13 (Premium) أو أحدث | اتصالات UpdraftCentral القائمة مُلغاة بحسب الناشر | افحص المفاتيح والإضافات والحسابات مع ذلك |
| UpdraftPlus 1.26.12 | بحسب Nethemba، منع خلل حذف المفاتيح | انتقل إلى 1.26.13 أو أحدث ثم احذف المفاتيح |
| إصدار أقدم | قد يبقى مفتاح صالحًا | حدّث ثم احذف المفاتيح |
| الإضافة محدّثة والإضافة المزيفة مثبّتة أصلًا | التحديث لا يزيل الإضافة المزيفة | راجع الإضافات والحسابات، انظر أدناه |
| موقع لم يُربط قط بـ UpdraftCentral | لا يُتوقع وجود مفتاح | اقرأ خيار المفاتيح للتأكد |
| UpdraftCentral مستضاف ذاتيًا | غير متأثر بحسب الناشر | لا إجراء خاص بهذا الحادث |
| نسخ في مساحة التخزين البعيدة الخاصة بك | غير متأثرة بحسب الناشر | أعد تفويض التخزين وغيّر مفاتيحه |
لماذا لا يعني "محدّث" أنه "سليم"
عبارة "إضافتي محدّثة وأنا في أمان" خاطئة لسببين. أولًا، كان الإصدار 1.26.12 يُفترض أن يحذف المفاتيح، لكن بحسب Nethemba كما نقلت BleepingComputer منعه خلل من ذلك: ولم يعالج هذه النقطة إلا الإصداران 1.26.13 و2.26.13. ثانيًا، يغيّر التحديث شيفرة إضافة النسخ الاحتياطي، لكنه لا يزيل إضافة مزيفة مثبّتة أصلًا ولا حساب مدير أُنشئ بالفعل. وقد أشار الناشر أيضًا، في تحديث لإشعاره، إلى مواقع نجت فيها إضافة زرعها المهاجم من الحادث الأول ثم أنشأت مديرًا جديدًا، حتى بعد فصل الاتصال. لذلك لا يُعلن الموقع سليمًا إلا بعد فحص المفاتيح والإضافات والحسابات، لا بالاعتماد على رقم إصدار.
المؤشرات التي يجب البحث عنها في كل موقع
- إضافة مجهولة — يتكرر اسم Site Health Cache بحسب Patchstack، لكن القائمة ليست شاملة: يذكر الناشر أيضًا Asset Forge 2 وCore Smith وImage Forge وWP Forge.
- وصف مميز — العبارة "Small maintenance toolkit: keeps option storage tidy." هي أوثق مؤشر على مستوى الملفات بحسب Patchstack؛ وعدم العثور عليها لا يثبت شيئًا.
- حساب مخفي — أسماء مستخدمين مثل data-ops43 أو media-staff96، وعنوان بريد على example.org، والاسم المعروض Site Tools؛ وبعض الإضافات تخفي هذه الحسابات من شاشة المستخدمين.
- خيار ينتهي بـ
_sync_token— إدخال ينتهي اسمه هكذا في جدول الخيارات يرافق الباب الخلفي. - تثبيت بلا فاعل — إضافة ظهرت دون أي إجراء من مدير، أو رسالة خطأ من ووردبريس تذكر إضافة لا يعرفها أحد.
- مفتاح ما زال موجودًا — الخيار
updraft_central_localkeysغير فارغ: يبقى الموقع معرّضًا ما دام هذا المفتاح قائمًا. - سطر في السجل — في سجل UpdraftCentral،
probe.central.updraftplus.comمتبوعًا بـCommand received: plugin.upload_plugin.
مراجعة كل موقع بالترتيب
اعمل من الموقع نفسه
افتح لوحة تحكم ووردبريس الخاصة بالموقع، أو جلسة SSH، ولا تستخدم UpdraftCentral: يطلب الناشر تسجيل الدخول إلى كل موقع مباشرة.
اقرأ المفاتيح القائمة
wp option get updraft_central_localkeys
مخرجات غير فارغة تعني أن الموقع معرّض بحسب Patchstack، حتى لو لم تستخدم UpdraftCentral قط. وخطأ "الخيار غير موجود" يعني عدم وجود مفتاح.حدّث ثم احذف المفاتيح
wp plugin update updraftpluswp option delete updraft_central_localkeys
المسار الرسومي هو الإعدادات > UpdraftPlus Backups > الأدوات المتقدمة > UpdraftCentral ثم "Manage existing keys"؛ وتختلف التسمية الدقيقة بحسب الإصدار، لذا فالأمر هو المرجع. لا يكفي حذف الموقع من لوحة UpdraftCentral. وتستمر النسخ الاحتياطية في العمل.اسرد الإضافات وقارن
wp plugin list --fields=name,status,versionls wp-content/mu-plugins/
قارن بالقائمة المتوقعة للمحفظة: كل إضافة لم يعتمدها أحد مشبوهة، بما فيها المجلد Must-Use الذي لا تعرضه شاشة الإضافات دائمًا.ابحث عن بصمة الإضافة المزيفة
grep -r "Small maintenance toolkit: keeps option storage tidy." wp-content/plugins/ wp-content/mu-plugins/
أي نتيجة تعني إنذارًا. أما البحث الفارغ فلا يثبت أن الموقع نظيف.اسرد الحسابات ذات الصلاحيات
wp user list --role=administrator --skip-pluginswp user list --role=editor --skip-plugins
الخيار--skip-pluginsمهم: فهو يتجنب تحميل الإضافات التي تخفي الحسابات على الشاشة. قارن بالقائمة المتوقعة للأشخاص الذين يديرون الموقع فعلًا.ابحث عن خيار الباب الخلفي
wp option list --search="*_sync_token"
أي إدخال تجده يستدعي معاملة "موقع مخترق" في القسم التالي.دوّن النتيجة
سطر لكل موقع: إصدار UpdraftPlus، وجود المفاتيح أو عدمه، فرق الإضافات، فرق الحسابات، تاريخ المراجعة، القرار. يصلح هذا السجل دليلًا للعميل ونقطة انطلاق للحادث القادم.
الفحوص نفسها بحسب البيئة
مرّر الجدول أفقيًا
| البيئة | الأمر المعتاد | ملاحظة |
|---|---|---|
| Debian أو Ubuntu | `sudo -u www-data wp --path=/var/www/html plugin list` | كيّف المسار والمستخدم مع تثبيتك |
| RHEL أو AlmaLinux أو Rocky | `sudo -u apache wp --path=/var/www/html plugin list` | المستخدم `nginx` إن كان خادم الويب nginx |
| Docker Compose | `docker compose exec -u www-data wordpress wp plugin list` | اسم الخدمة يتبع ملفك؛ وكثيرًا ما تخلو صورة ووردبريس من WP-CLI، فتحقق |
| استضافة مشتركة مع SSH | `wp plugin list` من مجلد الموقع | بدون SSH استعمل مدير الملفات أو SFTP |
| بدون WP-CLI | افحص `wp-content/plugins/` و`wp-content/mu-plugins/` عبر SFTP | قارن كل مجلد بالقائمة المتوقعة |
| كل البيئات | `wp config shuffle-salts` | يغيّر مفاتيح الأمان في ووردبريس ويغلق الجلسات المفتوحة |
عند أدنى مؤشر، عامل الموقع على أنه مخترق
إذا وُجد حساب باب خلفي أو ظهر المُشغِّل في السجلات، توصي Patchstack باعتبار الموقع مخترقًا بالكامل. والترتيب مهم. احذف مفتاح UpdraftCentral أولًا، وإلا بقي للمهاجم طريق دخوله. ثم عطّل الإضافة المزيفة واحذف مجلدها مباشرة على الخادم: يحذّر الناشر من أن بعض الإضافات مصممة لمحو آثارها حين تُحذف من لوحة التحكم. ولا تصلح خطأ برمجيًا في تلك الإضافة بغرض "إصلاحها": تحذّر Patchstack من أن ذلك يفعّل الباب الخلفي. أزل الحساب والخيار _sync_token، ثم فضّل الاستعادة على التنظيف اليدوي، فلا شيء يثبت أن التنظيف اليدوي وجد كل شيء.
استعادة نظيفة
اختر نقطة الاستعادة
خذ نسخة سابقة لتاريخ 17 أكتوبر 2026 وتحقق من أنها تسبق الاختراق فعلًا: تواريخ الملفات، وآخر تثبيت إضافة معروف، وسجلات الخادم.
استعد خارج الإنتاج
ركّب النسخة على موقع اختبار أو خادم مؤقت، وليس مباشرة في الإنتاج. أعد هناك فحوص قسم المراجعة: المفاتيح والإضافات والحسابات والبصمة.
قارن بتثبيت نظيف
wp core verify-checksumswp plugin verify-checksums --all
تقارن هاتان الأمران ملفات النواة والإضافات بمجاميع التحقق في الدليل الرسمي؛ ويُبلَّغ عن أي ملف معدّل.حدّث قبل إعادة النشر
انقل UpdraftPlus إلى 1.26.13 أو 2.26.13 على الأقل، وحدّث الباقي، ثم احذف المفاتيح مرة أخرى: فقد تحتويها نسخة سابقة للحادث.
عُد إلى الإنتاج وراقب
فعّل الموقع المستعاد، ثم أعد قراءة الإضافات والحسابات خلال الأيام التالية. إضافة أو حساب يعود إلى الظهور يدل على باب ما زال مفتوحًا في مكان آخر.
قرر إعادة الربط
تسمح TeamUpdraft بإعادة الربط مع UpdraftCentral بعد فحص الموقع وتأمينه. وفي تاريخ مقالها، كانت Patchstack تنصح بانتظار تفسير السبب. وإن لم تكن بحاجة إلى الإدارة عن بُعد، فاتركها مفصولة.
الاستعادة لا تغني عن الإلغاء
استعادة نسخة سليمة لا تعفيك من حذف المفاتيح أو تغيير بيانات الدخول: يذكر الناشر ذلك بنفسه. اتبع دائمًا هذا الترتيب: حذف المفاتيح، تغيير كلمات المرور، إغلاق الجلسات، ثم العودة إلى الخدمة.
التخزين البعيد والجلسات وكلمات المرور
النسخ المحفوظة في تخزينك البعيد (Google Drive وDropbox وAmazon S3) غير متأثرة بحسب الناشر، لكن المواقع التي كانت متاحة عبر UpdraftCentral يجب أن تعيد تفويض هذا التخزين وتغيّر مفاتيح الوصول إليه. بدّل مفاتيح S3، وجدّد تفويض حسابات Drive أو Dropbox، ثم غيّر مفاتيح الأمان في ووردبريس بالأمر wp config shuffle-salts وكلمات مرور جميع حسابات المدير والمحرر المشروعة. أما من جهة الناشر فغيّر كلمة المرور بكتابة العنوان يدويًا في المتصفح، وأعد ضبط المصادقة الثنائية، وإن كنت تستخدم UpdraftVault فأعد ربط التخزين وشغّل نسخة يدوية: فقد فُصلت المواقع. وتشمل البيانات المكشوفة لدى الناشر الأسماء وعناوين البريد وعناوين الفوترة وسجل الطلبات؛ أما كلمات المرور فمحفوظة هناك مجزّأة فقط.
لوكالة: جرد واحد لا عشرة جداول
حين تدير عشرات المواقع، لا يضيع الوقت في الأمر نفسه بل في سؤال "من يملك ماذا". احتفظ بسجل حي لكل موقع: إصدار UpdraftPlus، وجود المفاتيح، قائمة الإضافات المتوقعة، قائمة المديرين المتوقعة، تاريخ آخر مراجعة، وتاريخ آخر نسخة احتياطية. وبلا قائمة مرجعية لا تكون الإضافة "مجهولة" أبدًا، بل "لم تُرَ بعد". انظر في نقاط الاستعادة قبل أن تحتاج إليها: لدى ServOrbit.com تكون النسخ الاحتياطية أسبوعية في الباقات الأساسية ويومية في باقة Pro وفي جميع باقات Agency، ويجب التحقق من أن نسخة سابقة لتاريخ 17 أكتوبر 2026 ما زالت موجودة. ويصف دليلنا حول اختبار استعادة نسخة VPS لعميل الإجراء الذي ينبغي التمرن عليه مسبقًا، وتبقى روتين تحديث المحفظة هو نفسه الذي اتُّبع مع تنبيهي ووردبريس الأخيرين.
الوثائق الرسمية
إشعار TeamUpdraft حول حادث أكتوبر 2026: https://teamupdraft.com/blog/security-incident-october-2026/
تحليل Patchstack: https://patchstack.com/articles/updraftcentral-key-compromise-wordpress-backdoors/
مقال BleepingComputer: https://www.bleepingcomputer.com/news/security/stolen-updraftcentral-keys-used-to-backdoor-wordpress-sites/
WP-CLI، قائمة المستخدمين: https://developer.wordpress.org/cli/commands/user/list/
WP-CLI، التحقق من مجاميع الإضافات: https://developer.wordpress.org/cli/commands/plugin/verify-checksums/
WP-CLI، تدوير مفاتيح الأمان: https://developer.wordpress.org/cli/commands/config/shuffle-salts/
