اختراق UpdraftPlus عبر UpdraftCentral: افحص موقعك الآن

لو عندك UpdraftPlus على موقعك أو على مواقع عملائك، فالموضوع ده يخصك حتى لو عمرك ما فتحت UpdraftCentral. مفاتيح اتسرقت، والمهاجم دخل بيها مواقع كتير كأنه صاحبها. الخبر الحلو إن الفحص كله ياخد ربع ساعة لو مشيت بالترتيب.

ماذا حدث بالضبط؟

أكّد فريق TeamUpdraft أن موقعه تعرّض للاختراق في عطلة 17 و18 أكتوبر 2026، ويُرجّح أن المهاجمين وصلوا إلى قاعدة بيانات العملاء ومعها مفاتيح الاتصال الخاصة بخدمة UpdraftCentral. هذه المفاتيح هي ما تستخدمه اللوحة لإرسال أوامر إدارية إلى المواقع المتصلة بها دون تسجيل دخول.

بحسب تحليل Patchstack، استمرت الحملة نحو 18 ساعة بين 18 و19 أكتوبر. أرسل المهاجم أوامر موقّعة بمفاتيح حقيقية، فقبلتها المواقع على أنها صادرة من صاحبها، وثبّتت إضافات خبيثة عبر آلية التثبيت العادية في ووردبريس.

بصراحة: هذه ليست ثغرة برمجية في الإضافة نفسها، بل مفاتيح مسروقة. كل فحوص الأمان داخل UpdraftPlus عملت كما صُمّمت، والمشكلة أن الأمر كان «شرعياً» من وجهة نظر الموقع. لذلك لا يكفي التحديث وحده كما سنرى.

هل موقعك متأثر؟

الإضافة مثبتة على أكثر من 3 ملايين موقع، لكن الخطر لا يشمل كل هذه المواقع. المتأثر هو الموقع الذي يحمل مفتاح UpdraftCentral Cloud نشطاً، سواء كان يستخدم النسخة المجانية أو المدفوعة. أما من يستضيف UpdraftCentral بنفسه (self-hosted) فقد أكدت الشركة أنه غير متأثر.

النقطة التي يغفل عنها كثيرون: ربط الموقع بحساب TeamUpdraft كان يُنشئ مفتاح UpdraftCentral تلقائياً، لأن خيار الإدارة عن بُعد كان مفعّلاً افتراضياً في شاشة الربط. أي أن موقعاً يستخدم الإضافة للنسخ الاحتياطي فقط قد يحمل مفتاحاً نشطاً دون علم صاحبه، والمفاتيح لا تنتهي صلاحيتها.

أسرع طريقة للتأكد عبر سطر أوامر ووردبريس (WP-CLI). أي مخرجات لهذا الأمر تعني أن الموقع يحمل مفتاحاً:

wp option get updraft_central_localkeys

ملاحظة: كثير من الاستضافات المشتركة تتيح SSH و WP-CLI من لوحة التحكم، فتأكد من خطتك. لو استضافتك لا تتيحهما، اتبع المسار من لوحة التحكم في الخطوة الأولى بالأسفل، واستخدم phpMyAdmin للفحص كما في الخطوة الرابعة.

ماذا فعلت الشركة، ولماذا لا يكفي التحديث؟

أعلنت TeamUpdraft أنها أغلقت مسار الوصول، واستبدلت بيانات الاعتماد المكشوفة، وأصدرت يوم 19 أكتوبر الإصدار 1.26.13 من النسخة المجانية و 2.26.13 من المدفوعة. يلغي التحديث مفاتيح UpdraftCentral Cloud القديمة ويفصل المواقع المتأثرة عن اللوحة تلقائياً، وقد دفعه WordPress.org للمواقع تلقائياً.

لكن التحديث يغلق الباب للمستقبل فقط. أي إضافة خبيثة أو حساب غير مصرّح به زُرع قبل التحديث يبقى في مكانه، ولهذا تطلب الشركة نفسها من كل المستخدمين فحص مواقعهم.

تنبيه: قبل أي خطوة، خذ نسخة احتياطية (Backup) كاملة من الموقع بحالته الحالية واحفظها خارج السيرفر. لو احتجت لاحقاً لتتبّع ما حدث، ستكون هذه النسخة دليلك.

كيف يعمل الباب الخلفي المزروع؟

فهم طريقة عمله يحدد أين تبحث. هذه أبرز العلامات التي رصدتها Patchstack:

• اسم الإضافة: رُصد نحو 99 اسماً مختلفاً تشبه أدوات الصيانة والأداء. الاسم الأكثر تكراراً هو Site Health Cache، والباقي أسماء عشوائية من كلمتين أو ثلاث مثل Lazy Boost و Asset Forge 2.
• وصف الإضافة: العبارة Small maintenance toolkit: keeps option storage tidy. هي أوثق علامة على مستوى الملفات.
• الحساب المزروع: يظهر بدور «محرر» (Editor)، لكنه يحمل صلاحيات (Capabilities) إضافية هي manage_options و install_plugins، فيستطيع فعل ما يفعله المدير. أسماء الحسابات من كلمتين ورقمين مثل data-ops43 و media-staff96، والبريد على النطاق @example.org، والاسم الظاهر Site Tools.
• خيار في قاعدة البيانات: اسمه ينتهي بـ _sync_token.
• طريقة الدخول: رابط سري يحمل رمزاً من 32 حرفاً يسجّل دخول الزائر مباشرة بكوكي دائمة، متجاوزاً صفحة الدخول. معنى ذلك أن المصادقة الثنائية (Two-Factor Authentication) وإضافات تحديد محاولات الدخول لا تحميك منه.

لاحظت Patchstack أيضاً أن بعض النسخ الخبيثة تحتوي خطأً برمجياً يجعل الموقع يعيد خطأ 500 في بعض الطلبات قبل أن يعمل الباب الخلفي. لو رأيت أخطاء 500 مفاجئة منذ 18 أكتوبر، أو رسائل خطأ تذكر إضافة لا تعرفها، فاعتبرها إشارة.

UpdraftPlus

افحص موقعك في 5 خطوات

بالترتيب، ولو لم تستخدم UpdraftCentral عن قصد

1. احذف مفاتيح UpdraftCentral

   من Advanced Tools ثم UpdraftCentral، أو عبر WP-CLI. حذف المفتاح لا يوقف النسخ الاحتياطي.

2. تأكد من الإصدار

   1.26.13 للمجاني أو 2.26.13 للمدفوع أو أحدث.

3. راجع الإضافات

   أي إضافة لا تعرفها، وخاصة Site Health Cache أو وصف Small maintenance toolkit.

4. راجع حسابات المحرر

   محرر يملك install_plugins أو manage_options علامة اختراق.

5. قرّر: تنظيف أم استعادة

   إن وجدت الحساب أو الباب الخلفي، استعد نسخة سابقة لـ 17 أكتوبر وغيّر كل كلمات المرور.

ابن موقعك قطعة قطعةarabcms.com

خطوات الفحص والتنظيف بالترتيب

1. احذف مفاتيح UpdraftCentral

من لوحة التحكم افتح: Settings ثم UpdraftPlus Backups ثم Advanced Tools ثم UpdraftCentral، واضغط Manage existing keys واحذف كل مفتاح. أو نفّذ:

wp option delete updraft_central_localkeys

حذف الموقع من لوحة UpdraftCentral لا يكفي، لأن المفتاح محفوظ داخل موقعك أنت. والنسخ الاحتياطي المجدول يستمر في العمل بعد الحذف.

2. تأكد من رقم الإصدار

افتح صفحة الإضافات وتأكد أنك على 1.26.13 (المجانية) أو 2.26.13 (المدفوعة) أو أحدث:

wp plugin list --name=updraftplus --fields=name,status,version

3. ابحث عن الإضافة الخبيثة

راجع قائمة الإضافات بعين ناقدة: أي إضافة لا تتذكر أنك ثبّتها مشبوهة حتى يثبت العكس. وابحث عن عبارة الوصف داخل مجلد الإضافات:

wp plugin list --fields=name,status,version
grep -rl "Small maintenance toolkit" wp-content/plugins/

4. راجع حسابات المحررين والخيار المشبوه

اعرض حسابات المحررين، ثم افحص صلاحيات أي حساب لا تعرفه:

wp user list --role=editor --fields=ID,user_login,user_email,display_name
wp user list-caps data-ops43
wp option list --search="*_sync_token" --fields=option_name

محرر يظهر في صلاحياته install_plugins أو manage_options ليس محرراً عادياً.

في ووردبريس: لو لا تملك SSH، افتح phpMyAdmin من لوحة الاستضافة وابحث في جدول wp_options عن أي option_name ينتهي بـ _sync_token، وفي جدول wp_users عن بريد ينتهي بـ @example.org. غيّر بادئة الجداول إن كانت غير wp_.

5. إن وجدت شيئاً: لا تصلح، أزل

توصي Patchstack بترتيب محدد لأن الخطأ فيه يُفسد الأدلة أو يشغّل الباب الخلفي:

1. احذف مفتاح UpdraftCentral أولاً إن لم تفعل.
2. عطّل الإضافة الخبيثة وانقل مجلدها خارج مجلد الموقع العام، ولا تحذفها من لوحة التحكم، لأن روتين الحذف فيها يمسح آثارها.
3. لا تحاول إصلاح الخطأ البرمجي داخلها؛ إصلاحه يُشغّل الباب الخلفي.
4. احذف خيار _sync_token والحساب المزروع.

تنبيه: لو وجدت الحساب المزروع، أو ظهر الرابط السري في سجلات الوصول (Access Logs)، فاعتبر الموقع مخترقاً بالكامل. استعد نسخة احتياطية سابقة لـ 17 أكتوبر، وقارن الملفات بنسخة ووردبريس نظيفة، وغيّر كلمات مرور المديرين وحساب TeamUpdraft، وأنهِ كل الجلسات المفتوحة.

هل تعيد ربط UpdraftCentral؟

ليس الآن. نصيحة Patchstack ألا تعيد الربط حتى تشرح الشركة سبب التسريب بالكامل، والتحقيق لدى TeamUpdraft ما زال جارياً حتى وقت كتابة هذا المقال. وإن كنت تحتاج الإدارة عن بُعد فعلاً، فأنشئ المفتاح تحت حساب لا يملك صلاحية install_plugins.

لو كنت مستقلاً تدير مواقع عملاء عبر لوحة مركزية، فهذه فرصة لمراجعة كل أداة لديها صلاحية تثبيت إضافات على مواقعهم: كل مفتاح من هذا النوع نقطة دخول كاملة إذا تسرّب.

الأسئلة الشائعة

س: هل يجب أن أحذف إضافة UpdraftPlus من موقعي؟
ج: لا يلزم ذلك. المشكلة في مفاتيح UpdraftCentral المسروقة، لا في وظيفة النسخ الاحتياطي. حدّث الإضافة واحذف المفاتيح وافحص الموقع، والنسخ الاحتياطي يستمر كما هو.

س: لم أستخدم UpdraftCentral أبداً، فهل أنا آمن؟
ج: ليس بالضرورة. ربط الموقع بحساب TeamUpdraft كان ينشئ مفتاحاً تلقائياً لأن الخيار مفعّل افتراضياً. نفّذ أمر الفحص أو افتح صفحة المفاتيح وتأكد بنفسك.

س: هل المصادقة الثنائية تحميني من هذا الاختراق؟
ج: لا. الباب الخلفي يسجّل الدخول عبر رابط سري متجاوزاً صفحة الدخول تماماً، فلا تمر عليه المصادقة الثنائية أصلاً. تبقى مهمة لحماية الدخول العادي.

س: هل يكفي حظر عناوين IP التي استخدمها المهاجم؟
ج: لا. رصدت Patchstack أن المهاجم غيّر بنيته التحتية خلال يوم واحد، فالحظر بالعنوان لا يُعتمد عليه. الحل هو حذف المفاتيح وفحص الموقع.

الخلاصة

الاختراق جاء من مفاتيح مسروقة لا من ثغرة، لذلك التحديث يمنع الهجمات الجديدة لكنه لا ينظّف ما زُرع قبله. احذف مفاتيح UpdraftCentral، وتأكد من الإصدار، وافحص الإضافات وحسابات المحررين، واستعد نسخة نظيفة إن وجدت أثراً.

اعمل الفحص ده النهارده على كل موقع عندك عليه UpdraftPlus، ولو لقيت حاجة غريبة ابدأ بخطوة 5 بالترتيب من غير ما تستعجل.

مراجع إضافية: Stolen UpdraftCentral Keys Are Backdooring WordPress Sites — Patchstack

مرجع المقال (بالإنجليزية): UpdraftPlus WordPress Plugin Security Breach Enables Backdoor Attacks
المقال ده مش ترجمة حرفية: متكيّف للقارئ العربي ومضاف عليه سياق ووردبريس وElementor وJetEngine.