مفاتيح UpdraftCentral المسروقة: هل في باب خلفي بموقع WordPress تبعك؟

بين 18 و19 تشرين الأول 2026 انزرعت بمواقع <span dir="ltr">WordPress</span> إضافات فيها باب خلفي (<span dir="ltr">backdoor</span>)، يعني كود مخفي بيفتح للمهاجم طريق يدخل فيه على الموقع بلا كلمة السر. أصحاب المواقع ما نزّلوها، بس الأوامر يلي نزّلتها كانت موقّعة بمفاتيح حقيقية، فالموقع نفّذها متل أي أمر عادي. المعني كل موقع عليه <span dir="ltr">UpdraftPlus</span> ومربوط بـ <span dir="ltr">UpdraftCentral</span>، حتى لو صاحبه ما استعمل الخدمة ولا مرة.

شو صار بـ <span dir="ltr">UpdraftCentral</span> بالضبط؟

شركة <span dir="ltr">TeamUpdraft</span> اكتشفت يومي 17 و18 تشرين الأول 2026 إنو مهاجم وصل لموقعها، وغالباً أخد مفاتيح <span dir="ltr">UpdraftCentral</span> تبع عملائها. بهالمفاتيح بعت أوامر موقّعة لمواقع العملاء، فنزّلت عليها إضافات فيها باب خلفي.

<span dir="ltr">UpdraftCentral</span> هي خدمة من نفس الشركة بتخليك تدير كذا موقع <span dir="ltr">WordPress</span> من مكان واحد. الجزء يلي بيستقبل أوامرها موجود جوّا كل نسخة من <span dir="ltr">UpdraftPlus</span>، المجانية والمدفوعة، وبيضل نايم لحد ما الموقع ياخد مفتاح. بعدها الموقع بينفّذ أي أمر موقّع بالمفتاح الخاص تبع لوحة <span dir="ltr">UpdraftCentral</span>، يلي محفوظ عند الشركة مش على موقعك، بصلاحيات المستخدم يلي عمل الربط وبلا ما حدا يأكّد الأمر (<span dir="ltr">Patchstack</span>، 19 تشرين الأول).

<span dir="ltr">Patchstack</span> بتقول إنو الأوامر مشفّرة وموقّعة بمفاتيح حقيقية، فكل فحص جوّا الإضافة بيمرق، وما إلها رقم <span dir="ltr">CVE</span> لأنو المشكلة بالمفتاح مش بكود الإضافة.

حسب إشعار <span dir="ltr">TeamUpdraft</span> (آخر تحديث 21 تشرين الأول)، الشركة بتعتقد إنو المهاجم وصل لقاعدة بيانات العملاء، وفيها:

• الأسماء والإيميلات وعناوين الفواتير وسجل الطلبات.

• كلمات سر الحسابات، مخزّنة كـ <span dir="ltr">hash</span> مش كنص عادي.

• إعدادات التحقق بخطوتين.

• مفاتيح الربط لـ <span dir="ltr">UpdraftCentral</span> و<span dir="ltr">UpdraftVault</span> و<span dir="ltr">UpdraftClone</span>.

الشركة ما بتخزّن بيانات البطاقات، لأنو الدفع بيمرق على <span dir="ltr">Stripe</span> و<span dir="ltr">PayPal</span>. وبتقول إنو الإضافة نفسها وملفات تنزيلها ما تأثروا، ولا النسخ الاحتياطية يلي على تخزينك الخاص، ولا <span dir="ltr">UpdraftCentral</span> يلي بتستضيفه على سيرفرك.

صفحة الإضافة على <span dir="ltr">WordPress.org</span> بتعرض أكتر من 3 ملايين تثبيت نشط، والشركة نفسها كتبت 4 ملايين يوم 2 تشرين الأول. أما قديش موقع انضرب، فالشركة بتقول إنو حجم الضرر لسا مش معروف، و<span dir="ltr">Nethemba</span>، شركة فحص الاختراق يلي اكتشفت الهجوم على مواقعها، كتبت إنها ما بتعرف قديش موقع وصله المهاجم. <span dir="ltr">Patchstack</span> رصدت 99 اسم مختلف للإضافة الخبيثة خلال 18 ساعة بين 18 و19 تشرين الأول.

والشركة كتبت يوم 21 إنو سرعة الهجوم، والإضافات يلي كانت معطوبة بالبداية، بيوحوا إنو المهاجمين استعملوا الـ <span dir="ltr">AI</span> لحتى يسرّعوا شغلهم. هاد استنتاجها، وما نشرت تفاصيل بتثبته.

هل موقعي متأثر حتى لو ما استعملت <span dir="ltr">UpdraftCentral</span>؟

ممكن. الخطر إنو يكون على موقعك مفتاح <span dir="ltr">UpdraftCentral</span> مربوط بالخدمة السحابية تبع الشركة، وهالمفتاح ممكن يكون انعمل بلا ما تنتبه لما ربطت حساب <span dir="ltr">teamupdraft.com</span> بالإضافة. الموقع يلي ما عليه مفتاح ما بيقبل هالأوامر.

شاشة ربط الحساب جوّا الإضافة فيها خانة «<span dir="ltr">Add this website to UpdraftCentral</span>» معلّمة من الأساس، وإذا تركتها، تسجيل الدخول بيعمل مفتاح لحاله. <span dir="ltr">Patchstack</span> لقت إنو الخانة معلّمة بكود الإضافة نفسه، و<span dir="ltr">Nethemba</span> أكّدتها بكود 2.26.11 و1.26.13. وأكتر مواقع بيصير فيها هيك هي مواقع النسخة المدفوعة، لأنو صاحبها بيسجّل دخول للترخيص والتحديثات. والمفاتيح ما إلها تاريخ انتهاء: مفاتيح من تشرين الثاني 2025 ضلّت شغّالة بتشرين الأول 2026.

أسرع طريقة تعرف فيها إذا في مفتاح هي <span dir="ltr">WP-CLI</span>، أداة سطر أوامر لإدارة <span dir="ltr">WordPress</span>. شغّل هالأمر بمجلد الموقع:

wp option get updraft_central_localkeys --format=json --skip-plugins --skip-themes

إذا طلع Error: Could not get 'updraft_central_localkeys' option. Does it exist? أو []، ما في مفتاح. وإذا طلع أي شي غيرهن، يعني قائمة فيها مدخلات، الموقع مربوط. الخيارين --skip-plugins --skip-themes بيخلّوا الأمر يشتغل حتى لو في إضافة خبيثة معطوبة عم توقّع الموقع.

وإذا مواقعك على نفس السيرفر، فيك تمرق عليها كلها بمرة (عدّل المسار). سطر == مع المسار بيطلع لكل موقع، فاقرا شو تحته:

for d in /var/www/*/; do echo "== $d"; wp --path="$d" option get updraft_central_localkeys --format=json --skip-plugins --skip-themes; done

ليش الباب الخلفي هاد خطير؟

الباب الخلفي بيدخّل المهاجم بكوكي مباشرة، فصفحة تسجيل الدخول والتحقق بخطوتين ما بيشتغلوا أصلاً. والأشكال يلي اشتغلت منه يا بتدخّله كأول مدير موجود على الموقع، بلا حساب جديد وبلا أثر بقاعدة البيانات، يا بتعمل مدير كامل.

<span dir="ltr">Nethemba</span> وثّقت لحد 21 تشرين الأول تلات أشكال، من مواقعها ومن عينات بعتولها مدراء مواقع تانيين:

الشكل الأول كان معمول يستنى باراميتر سري بالرابط معه رمز من 32 حرف، ويعمل حساب بكلمة سر مكتوبة جوّا الكود. الحساب دوره <span dir="ltr">Editor</span>، وفوقه صلاحيتين: manage_options يلي بتفتح كل الإعدادات، وinstall_plugins يلي بتسمح بتنزيل أي إضافة، يعني تشغيل أي كود على السيرفر. لو اشتغل، كان الحساب بيطلع <span dir="ltr">Editor</span> بقائمة المستخدمين فمراجعة قائمة المدراء ما بتلقطه، وكان المهاجم بيرجع بكلمة سره حتى بعد ما تشيل الإضافة (<span dir="ltr">Nethemba</span>).

إذا لقيت إضافة غريبة عم توقّع الموقع، لا تصلّح غلطتها: الغلطة هي يلي موقّفة الباب الخلفي، وتصليحها بيشغّله. شيلها بالخطوات تحت. والموقع يلي وقع ممكن يكون المهاجم دخل عليه قبل ما يوقع: على موقعين لمدير واحد، أبواب خلفية شغّالة ضلّت مفتوحة أكتر من 3 ساعات قبل ما الشكل المعطوب يوقّع الموقع.

والمهاجم لسا عم يبعت أوامر. <span dir="ltr">Nethemba</span> شافته صبح 21 تشرين الأول عم يبعت أوامر جديدة لموقعين من مواقعها، بعد ما طلع التحديث، وانوقفت عندها لأنها كانت حاذفة المفاتيح وحاطة ملف بيسكّر القناة. الشركة كتبت يوم 20 إنو التحديث 1.26.13 و2.26.13 ألغى مفاتيح الربط وسكّر هالطريق، ويوم 21 إنو ما في دليل إنو المهاجم لسا عنده وصول لموقعها. بس <span dir="ltr">Nethemba</span> لقت إنو 1.26.13 بتترك المفاتيح يلي انعملت يوم 18 تشرين الأول بين 12:07 و21:00 <span dir="ltr">UTC</span>، والمواقع يلي ما تحدّثت لسا بتستقبل أوامر المهاجم.

قائمة الفحص لكل موقع

على كل موقع عليه <span dir="ltr">UpdraftPlus</span>، بهالترتيب: حدّث، احذف المفتاح، دوّر على الإضافات والحسابات والخيارات الغريبة، اقرا السجلات، وبعدين غيّر كلمات السر. ادخل على لوحة التحكم تبع الموقع نفسه، مش من <span dir="ltr">UpdraftCentral</span>. وإذا أي أمر <span dir="ltr">WP-CLI</span> تحت وقع بخطأ <span dir="ltr">PHP</span>، زيد عليه --skip-plugins --skip-themes.

1. حدّث <span dir="ltr">UpdraftPlus</span> لـ 1.26.13 أو أحدث

ثبّت 1.26.13 للنسخة المجانية أو 2.26.13 للمدفوعة، أو أحدث. إشعار الشركة لسا كاتب «1.26.12 أو أحدث»، بس سجل التغييرات بيقول إنو 1.26.13 طلعت بنفس اليوم لحتى «<span dir="ltr">Properly apply the revocation in 1.26.12</span>». و<span dir="ltr">Nethemba</span> فحصت كود 1.26.12 ولقت إنو ما بيحذف ولا مفتاح بسبب غلطة.

الشركة كتبت إنو <span dir="ltr">WordPress.org</span> بعت التحديث لكل المستخدمين. بس صفحة <span dir="ltr">WordPress.org</span> هي للنسخة المجانية، وآخر نسخة فيها 1.26.13. المدفوعة بتتحدّث عن طريق الترخيص من الشركة، ومواقع <span dir="ltr">Nethemba</span> المدفوعة وصلها 2.26.13 تلقائياً يوم 20 تشرين الأول. فتأكد من رقم النسخة على كل موقع بعينك. وإذا موقعك على نسخة أقدم من 1.26.5، فعليه كمان الثغرة <span dir="ltr">CVE-2026-10795</span> بنفس القناة، يلي انصلحت بحزيران 2026 ولسا في محاولات لاستغلالها حسب <span dir="ltr">Patchstack</span>.

2. احذف مفتاح <span dir="ltr">UpdraftCentral</span> بإيدك

حتى 1.26.13 بتترك مفاتيح على الموقع: حسب <span dir="ltr">Nethemba</span>، المفاتيح يلي انعملت يوم 18 تشرين الأول بين 12:07 و21:00 <span dir="ltr">UTC</span> بتضل. من لوحة التحكم افتح Settings > UpdraftPlus > Advanced Tools > UpdraftCentral، اضغط «<span dir="ltr">Manage existing keys</span>» واحذف كل مفتاح. أو بـ <span dir="ltr">WP-CLI</span>:

wp option delete updraft_central_localkeys

المفتاح يلي بيستقبل الأوامر موجود على الموقع نفسه، فحذف الموقع من لوحة <span dir="ltr">UpdraftCentral</span> بيتركه متل ما هو. النسخ الاحتياطية بتضل شغّالة بعد الحذف، ويلي بيوقف بس الإدارة عن بعد. وإذا ما عم تنقل موقع هلق، احذف مفاتيح <span dir="ltr">Migrator</span> كمان (wp option delete updraft_migrator_localkeys)، لأنها على نفس القناة.

3. دوّر على الإضافات الغريبة، ومعها <span dir="ltr">Must-Use</span>

افتح صفحة الإضافات، ومعها تبويب <span dir="ltr">Must-Use</span> إذا ظاهر عندك. إضافات الـ <span dir="ltr">Must-Use</span> هي ملفات بمجلد wp-content/mu-plugins/ بتشتغل لحالها دايماً، وما فيك توقفها من لوحة التحكم (توثيق <span dir="ltr">WordPress</span>). الشكل الأول من الباب الخلفي إلو نفس الوصف بكل العينات، فدوّر عليه من مجلد الموقع:

grep -rl "Small maintenance toolkit: keeps option storage tidy\." wp-content/plugins/ wp-content/mu-plugins/

الأشكال التانية إلها وصف جديد كل مرة فهالبحث ما بيلقطها، و«<span dir="ltr">Site Health Cache</span>» كمان ما بتطلع بقائمة الإضافات. <span dir="ltr">Nethemba</span> نشرت سكربت فحص بيقرا بس وما بيغيّر شي، بيدوّر على الملفات والخيارات والحسابات وسجل <span dir="ltr">UpdraftCentral</span>. نزّله لمجلد الموقع باسم check-updraftcentral.php، وقبل ما تشغّله قارن الـ <span dir="ltr">SHA-256</span> تبعه مع الرقم المنشور بصفحتهم، لأنو السكربت بيتحدّث:

curl -o check-updraftcentral.php https://nethemba.com/wp-content/uploads/2026/10/check-updraftcentral.txt
sha256sum check-updraftcentral.php
wp eval-file check-updraftcentral.php --skip-plugins --skip-themes

الأسطر يلي عليها [ALERT] آثار هجوم، ويلي عليها [WARN] شي لازم تتأكد منه. ولما تخلص، شيل الملف من مجلد الموقع.

4. دوّر على الحسابات الغريبة

بصفحة المستخدمين دوّر على أي حساب ما بتعرفه، مش بس بين المدراء. الشكل التاني بيعمل مدير كامل باسم متل system_team850 أو web.tech988 وإيميل على @example.com، وهالحساب بيطلع عادي بالقائمة. وبعينات الشكل الأول أسماء متل data-ops43 وmedia-staff96، مع الاسم الظاهر «<span dir="ltr">Site Tools</span>» وإيميل على @example.org. الأسماء بتتغير، فـ <span dir="ltr">Patchstack</span> بتنصح تدوّر على الصلاحية: حساب <span dir="ltr">Editor</span> معه manage_options. بدّل wp_ ببادئة جداولك إذا مختلفة:

wp db query "SELECT u.user_login,u.user_email FROM wp_users u
 JOIN wp_usermeta m ON m.user_id=u.ID
 WHERE m.meta_key='wp_capabilities'
 AND m.meta_value LIKE '%editor%' AND m.meta_value LIKE '%manage_options%'"

وشوف كمان أي مدير انعمل من بعد 17 تشرين الأول. والأشكال يلي بتدخّل المهاجم كمدير موجود ما بتعمل حساب، فما بيفضحها غير ملف الإضافة وسجل السيرفر (الخطوة 6).

5. دوّر على خيار <span dir="ltr">_sync_token</span> بقاعدة البيانات

الشكل الأول بيحفظ بقاعدة البيانات خيار اسمه بيبلّش باسم الإضافة وبيخلص بـ _sync_token:

wp option list --search="*_sync_token" --fields=option_name

خيارات الأشكال التانية (_uid و_installed و_ver بآخر الاسم) بتشبه خيارات إضافات عادية، فخليها لسكربت <span dir="ltr">Nethemba</span>.

6. اقرا سجل <span dir="ltr">UpdraftCentral</span> وسجل السيرفر

بنفس شاشة <span dir="ltr">UpdraftCentral</span> بالإعدادات، افتح سجل الأحداث ودوّر على probe.central.updraftplus.com وبعده Command received: plugin.upload_plugin. هالسجل بيحفظ آخر 50 حدث بس، فممكن الأثر يكون راح منه.

إذا عندك وصول لسجلات السيرفر، دوّر على الرابط السري يلي بيشغّل الباب الخلفي (عدّل المسار، لـ <span dir="ltr">nginx</span> غالباً /var/log/nginx/):

zgrep -E '[?&](_[0-9a-f]{6}|[0-9a-f]{12})=[^&" ]{32}[& ]' /var/log/apache2/*access*

حسب <span dir="ltr">Nethemba</span>، الرد 302 يعني غالباً إنو المهاجم دخل، و500 يعني الشكل المعطوب لسا موجود، و200 بحجم صفحتك العادي يعني الباب الخلفي مش هون. وأوامر المهاجم إلها <span dir="ltr">User-Agent</span> ناقص (WordPress/6.4; class-udrpc.php) بلا رقم المكتبة ورابطها يلي بتبعتهن الخدمة الحقيقية:

grep 'class-udrpc\.php"' /var/log/apache2/*access*

العناوين يلي انشافت بالهجوم 43.250.53.42 و2a09:bac5:4e21:2e3c::49b:9 حسب <span dir="ltr">Patchstack</span>. ومحاولات تشغيل الباب الخلفي يوم 20 تشرين الأول إجت من 178.83.37.220 و178.83.37.243 و178.94.218.31 ومن النطاقين 69.33.133.x و69.33.134.x حسب <span dir="ltr">Nethemba</span>. استعملهن للبحث بالسجلات بس، لأنو المهاجم بدّل عناوينه بنفس اليوم.

7. غيّر كلمات السر وانتبه للإيميلات

غيّر كلمات سر كل المدراء على الموقع، وكلمة سر حساب <span dir="ltr">teamupdraft.com</span>: اكتب العنوان بإيدك بالمتصفح، مش من رابط بإيميل. إذا نفس كلمة السر مستعملة بمكان تاني، غيّرها هونيك كمان، ورجّع ضبط التحقق بخطوتين من <span dir="ltr">My Account</span>. أسماء العملاء وإيميلاتهن غالباً صارت عند المهاجم، والشركة نفسها بتحذّر من إيميلات باسمها ما كنت ناطرها، وبتقول إنها ما رح تطلب منك كلمة سر أو مفتاح.

الشركة فصلت كل المواقع عن <span dir="ltr">UpdraftVault</span>، فالنسخ ما رح توصله لحد ما ترجع تربط كل موقع بكلمة السر الجديدة وتجرّب نسخة يدوية. ومفاتيح <span dir="ltr">UpdraftClone</span> القديمة بطّلت تشتغل، فإذا عطيت منها لعملائك، ابعتلهن الجديدة.

شو بتعمل إذا لقيت أثر للباب الخلفي؟

احذف المفتاح أول شي، بعدين شيل الإضافة والحساب. وإذا الحساب موجود، أو الرابط السري ظاهر بالسجل، اعتبر الموقع مخترق بالكامل وارجع لنسخة احتياطية من قبل 17 تشرين الأول.

1. احذف مفتاح <span dir="ltr">UpdraftCentral</span> قبل أي شي. طالما المفتاح موجود، المهاجم بيقدر يبعت نسخة مصلّحة من الباب الخلفي.

2. وقّف الإضافة وانقل مجلدها لبرّا مجلد الموقع، وما تحذفها من لوحة التحكم: ملف uninstall.php تبعها بيمسح آثارها، وإنت بدك ياها دليل.

3. احذف الخيارات يلي عملتها الإضافة، والحساب يلي عمله الباب الخلفي.

4. ارجع لنسخة احتياطية من قبل 17 تشرين الأول إذا الباب الخلفي اشتغل، وقارن ملفات الموقع مع تنصيبة نضيفة، وراجع كل مستخدم عنده صلاحيات زيادة.

5. غيّر كلمات سر المدراء وحساب <span dir="ltr">UpdraftCentral</span>، سكّر كل الجلسات المفتوحة، وشغّل التحقق بخطوتين.

المهاجم كان عنده صلاحية ينزّل إضافات، فممكن يكون ترك وراه إضافة تانية أو <span dir="ltr">webshell</span> أو تعديل بالملفات أو بقاعدة البيانات. و<span dir="ltr">Nethemba</span> بتنبّه إنو <span dir="ltr">UpdraftPlus Premium</span> ممكن يخزّن كلمة سر حساب <span dir="ltr">teamupdraft.com</span> متل ما كتبتها بالخيار updraftplus-addons_options، فإذا المهاجم وصل للوحة التحكم أو لقاعدة البيانات، اعتبرها مسرّبة.

إذا بعد التنضيف لسا ما بتعرف لوين وصل المهاجم، أو الموقع فيه بيانات عملاء أو دفع، بدك فحص أعمق من هالقائمة. مُحَصَّن فحص اختراق وتحصين بيلاقي الثغرات بمنصتك قبل ما يلاقيها غيرك، وبيسلّمك خطة إصلاح واضحة.

إمتى بترجع تربط مواقعك بـ <span dir="ltr">UpdraftCentral</span>؟

الشركة بتقول ارجع اربطه بعد ما تحذف المفتاح وتفحص الموقع وتغيّر كلمات السر. <span dir="ltr">Patchstack</span> نصحت يوم 19 تشرين الأول تستنى لحد ما الشركة تشرح السبب، ولحد 21 تشرين الأول الشركة قالت بس إنو المهاجم دخل على موقعها بمفتاح مسرّب.

إذا ما بتحتاج الإدارة عن بعد، الأسلم تخليها مفصولة. وإذا بتحتاجها، اعمل المفتاح من حساب ما عنده صلاحية install_plugins. على واحد من مواقع <span dir="ltr">Nethemba</span> التلاتة، المفتاح كان لمستخدم ما عنده هالصلاحية، وهالتفصيل لحاله وقّف الهجوم.

وإذا إنت مطوّر بتبني إضافة أو منصة فيها تحكم عن بعد، فالخانة المعلّمة من الأساس هي يلي ربطت مواقع بلا علم أصحابها، والمفتاح بلا تاريخ انتهاء والأمر بلا تأكيد هني يلي خلّوا المفتاح المسروق يشتغل على أي موقع مربوط، مهما كان عمره. فقبل ما تعطي أي مفتاح صلاحية ينفّذ أوامر، اسأل: شو بيقدر يعمل هالمفتاح، ولإيمتى بيضل صالح؟

لمراجعة الصلاحيات بكودك قبل النشر، حزمة المهارات الأمنية لسا عم تتجهّز: مهارات بتراجع كود مشروعك وبتنبّهك لثغرات الصلاحيات، وإنت يلي بتشغّلها.

الحزمة معروضة بقسم مهارات <span dir="ltr">AI</span>، يعني مهارات بتضيفها لـ <span dir="ltr">Claude Code</span> أو لأدوات الذكاء الاصطناعي التانية.

من وين تبلّش هلق؟

شغّل أمر wp option get updraft_central_localkeys يلي فوق اليوم على كل موقع عليه <span dir="ltr">UpdraftPlus</span>، حتى المواقع يلي ما بتفتحها كل يوم. أي موقع بيطلع فيه شي غير [] أو رسالة Could not get، عليه مفتاح: بلّش فيه القائمة من أول خطوة. وإنت، قديش موقع من مواقعك طلع فيه مفتاح ما كنت بتعرف إنو موجود؟