10 月 19 日，备份插件 UpdraftPlus 的母公司披露客户数据库被访问，泄露内容包含 UpdraftCentral 的连接密钥。攻击者拿着这些密钥，直接在连接的站点上创建管理员账号、安装恶意插件。18 小时内出现了 99 个不同的后门插件名。
这次不是你的站有漏洞，是你信任的那家公司的服务器出了问题。这类攻击有个共同点：攻破一个点，打开成千上万个站。
发生了什么
UpdraftPlus 是装机量超过 300 万的备份插件，同一家公司还运营 UpdraftCentral——一个用来集中管理多个站点的控制台。10 月 19 日，TeamUpdraft 公告客户数据库被访问，涉及哈希后的密码、两步验证设置，以及 UpdraftCentral、UpdraftVault、UpdraftClone 的连接密钥。
连接密钥是什么？它是证明「这条指令来自控制台」的凭证。拿到密钥，攻击者就能伪装成控制台，向连接的站点下发指令——创建管理员、装插件、改文件。
安全厂商 Patchstack 追踪了这波活动：10 月 18 日到 19 日的大约 18 小时内，出现了 99 个不同的后门插件名。TeamUpdraft 自己判断，攻击者可能借助了 AI 才跑得这么快。
补丁修了什么
UpdraftPlus1.26.13 和 2.26.13 的作用是：撤销所有 UpdraftCentral 连接。也就是说，升级之后你的站会和控制台断开，需要重新建立连接。
注意一点：光升级插件不够。如果站点已经被装过后门，升级不会把它清掉。
如果你在用 UpdraftPlus，现在做这几件事
先升级到 1.26.13 或 2.26.13，然后改密——TeamUpdraft 账号密码要改，站点上的管理员密码也要改。
接着查用户列表。找那种名字很规律、你没印象的账号，报道里提到的样例是 data-ops43、media-staff96 这种风格——不像人起的名，像批量生成的。
再查插件列表。看有没有你没装过的插件，尤其是名字陌生、描述空洞、作者信息缺失的。99 个后门插件名意味着它不会用同一个名字，别只按一个关键词搜。
最后看计划任务和文件。WordPress 的定时任务（cron）里如果有不认识的钩子，文件目录里有近期被修改的 PHP，都要当成可疑处理。
如果确认被装了后门，最稳的做法是：认定站点已完全失陷，从干净备份恢复，然后把站点能接触到的所有凭证全部换掉——数据库密码、FTP、SSH、各类 API Key。
这件事的普遍意义
大多数 WordPress 站点都把钥匙交给了别人：备份服务、集中管理面板、AI 连接器。每一个都很方便，合起来就是下一个大目标。
SolarWinds 和 Kaseya 的案件已经演示过这个逻辑：攻破一个供应商，等于同时攻破它所有客户。WordPress 生态里也有先例：2021 年 AccessPress 的供应商站被入侵，93 个主题和插件被植入后门；2024 年五个 WordPress.org 插件因为开发者复用密码被投毒。
所以真正的问题不是「这家公司靠不靠谱」，而是「钥匙存在谁的服务器上」。存在对方云端的，一旦对方被攻破，你就跟着暴露；存在你自己服务器上的，风险面小得多。
实操建议就一句：用完就撤权。需要集中管理时连上，任务做完把连接断掉；需要备份服务时开起来，不需要时别长期挂着。方便是有代价的，代价就是这条连接本身。
顺带一提：这周的 PHP 补丁
同一周还有一件更底层的事：PHP 官方修了两个高危漏洞（PHP2Shell，CVE-2026-109618 /109619，CVSS9.2），能无需认证触发远程代码执行。修复版本是 PHP 8.2.35、8.3.36、8.4.27、8.5.12。
WordPress 官方明确说不需要、也不计划为此发版本——因为漏洞在 PHP 解释器里，不在 WordPress 代码里。这意味着修复责任落在主机商身上。去问一句「你们 PHP 补丁打了吗」，比等任何插件更新都管用。
本文根据公开报道整理，主要参考：WPWithin周报 Issue24、Patchstack追踪报告、Meow Apps分析（2026-10-24）。厂商与项目的后续动作可能继续变化，涉及版本号和漏洞编号请以官方公告为准。
