如果你的 WordPress 網站有裝 UpdraftPlus，而且曾經把網站連到 UpdraftCentral 雲端版，或在外掛裡連結過 TeamUpdraft 帳號，請先把網站當成可能被動過，照下面的步驟檢查。UpdraftPlus 的開發商 TeamUpdraft 公告，10 月 17 到 18 日那個週末發現官網 teamupdraft.com 遭到未授權存取，客戶資料庫裡的 UpdraftCentral、UpdraftVault、UpdraftClone 連線金鑰可能外流；資安公司 Patchstack 隨後發現，攻擊者拿真的金鑰對網站送出指令，裝上偽裝成維護工具的後門外掛。這不是 UpdraftPlus 程式本身的漏洞，自己架的 UpdraftCentral 也不受影響。
處理的順序很重要：先更新 UpdraftPlus、刪掉 UpdraftCentral 的連線金鑰，再找可疑的外掛與帳號，最後決定要逐項清除還是還原備份。主機、更新、備份都自己來的人，這次要花不少時間；如果不想每次都自己追，可以把這些維運交給 WordPress 主機代管，最後一節會說明差別。
本文依 TeamUpdraft 官方公告、Patchstack、BleepingComputer 與 The Hacker News 的報導整理，資料截至 2026 年 10 月 30 日；各家報導說法不一致的時間點與後門帳號名稱沒有寫進來，細節以官方公告為準。
發生了什麼事
UpdraftPlus 是很多 WordPress 網站用來排程備份的外掛，UpdraftCentral 則是同一家公司的遠端管理服務，可以在一個控制台裡同時更新、備份很多個網站。網站連上 UpdraftCentral 時會產生一組連線金鑰，有了它就能對網站下指令，包括安裝外掛。
TeamUpdraft 說，官網遭未授權存取後，可能被讀取的客戶資料庫包含姓名、Email、帳單地址、訂單紀錄、雜湊過的密碼、雙重驗證設定，以及上面提到的連線金鑰。根據資安業者的觀察，攻擊在 10 月 18 到 19 日連續跑了大約 18 個小時；因為指令是用真的金鑰簽章送出的，網站看起來就像收到主人自己的操作。資安業者估計約一成的 UpdraftPlus 網站有 UpdraftCentral 或 Migrator 金鑰，可能涉及約 40 萬個網站。
還有一個細節，讓不少人不知道自己在範圍內：在 UpdraftPlus 裡連結 TeamUpdraft 帳號時，「Add this website to UpdraftCentral」這個選項預設就是勾選的，所以就算從來沒有打開過 UpdraftCentral，網站也可能已經有一組金鑰。
後門會做什麼
資安業者分析的後門外掛會掛在網站的每一個請求上，等待一個帶有 32 個字元權杖的秘密網址參數；收到之後，它會用寫死在程式裡的密碼建立一個帳號，給它編輯者角色，再額外加上管理網站設定與安裝外掛的權限。它是直接寫入登入用的 cookie 讓攻擊者進來，完全不經過登入表單，所以雙重驗證、登入次數限制和各種登入保護外掛都擋不到。
Patchstack 目前看過 99 種不同的外掛名稱，最常出現的是「Site Health Cache」，而且每個樣本的外掛說明都是同一句 Small maintenance toolkit: keeps option storage tidy.。報導中列出的攻擊來源位址是 43.250.53.42 與 2a09:bac5:4e21:2e3c::49b:9，主機看得到存取紀錄的人可以拿來比對。
先確認你的網站有沒有連過金鑰
登入 WordPress 後台，打開「設定」底下的 UpdraftPlus 頁面，切到 Advanced Tools（進階工具）分頁，再點 UpdraftCentral，看有沒有列出連線金鑰。沒有任何金鑰、也從來沒有在外掛裡連結過 TeamUpdraft 帳號的網站，不在這次金鑰外流的範圍，把外掛更新到最新版就好；有金鑰，或不確定以前有沒有連過的，照下一節處理。只用 UpdraftPlus 把備份存到自己雲端硬碟的人，也花一分鐘看一下最安心。
照這個順序處理
- 先把 UpdraftPlus 更新到官方公告的修正版：免費版 1.26.13、Premium 2.26.13 以上。官方說這個版本會自動斷開事件前建立的所有 UpdraftCentral 連線。
- 到 UpdraftCentral 分頁刪除連線金鑰。Patchstack 特別提醒，處理後門之前要先刪金鑰，否則攻擊者還能再推一個新的後門進來。
- 檢查使用者清單，找不認得的管理員或編輯者帳號，特別是 10 月 17 日之後才出現的。刪除前先記下帳號名稱與建立時間，方便之後比對。
- 檢查外掛清單，「Must-Use」分頁也要看。看到不認得的外掛，尤其是叫「Site Health Cache」或說明是上面那句英文的，先不要在後台按刪除：Patchstack 說它的解除安裝程序會把自己的痕跡清掉，比較好的做法是用 FTP 或主機的檔案管理，把外掛資料夾移到網站根目錄以外，留著給之後追查。
- 換掉密碼。WordPress 管理員的密碼換一組，找到後門的話，資料庫密碼與 wp-config.php 裡的安全金鑰也一起換；TeamUpdraft 帳號的雜湊密碼可能外流，在別的地方用同一組密碼的也要換。
- 官方建議考慮還原 10 月 17 日之前的備份。清不乾淨、或找到後門卻不確定還被動了什麼，還原事件前的備份通常比一個個找更可靠；還原前先把 10 月 17 日之後的新訂單、表單資料另外匯出，免得一起被蓋掉。
如果網站已經打不開、後台進不去，先照〈網站白畫面、後台進不去的救援流程〉把網站救回來，再回頭處理上面幾步。
清完之後，值得調整的兩個習慣
第一，不用的遠端管理連線就關掉。UpdraftCentral 和各種「一個控制台管很多網站」的服務都很方便，但每一組連線金鑰都等於一把能裝外掛的鑰匙；沒在用就刪掉，有在用的定期看一下還有哪些網站連著。
第二，備份不要只放在同一個地方。這次被盜的是 TeamUpdraft 那一端的資料，如果網站的備份也只存在同一家的雲端空間，事情發生時會比較難判斷哪一份能信。重要的網站最好有一份跟外掛、跟主機都分開保存的備份；更新與備份的日常做法，可以看〈不敢更新外掛？先備份、分批更新〉。
不想自己顧主機、更新與備份的話
這次事件跟 10 月中 Rank Math PRO 被植入後門（整理在〈Rank Math PRO 被植入後門〉）是同一類問題：網站本身沒做錯什麼，是外掛那一端出了事。自己顧網站的人，每遇到一次就要自己追公告、自己清、自己決定要不要還原。
RoamerHost 的 WP × Roamer AI 是一站一個獨立容器的 WordPress，兩個方案都含自動備份，由平台這端替整個網站留備份，你不用自己設定；網站發生嚴重問題、後台進不去時，聯繫客服協助還原。WordPress 的安全性更新自動套用，外掛也能在控制台直接啟用、停用、更新，不用進後台。WP × Roamer AI 進階版還可以直接請 Roamer AI 讀錯誤日誌、停用問題外掛或退回快照，停用外掛、還原備份這類風險較高的操作會先發確認碼，你按下確認才執行。外掛照樣可以自由安裝，想多留一份自己的備份，一樣可以裝 UpdraftPlus 這類外掛，只是記得照上面的方式檢查連線金鑰。
WordPress 基本版年繳 NT$3,588（年繳平均每月 NT$299），WP × Roamer AI 進階版年繳 NT$11,988（年繳平均每月 NT$999），兩個方案都含主機、SSL、自動備份與自動更新，方案比較在 WordPress 主機代管方案與價格。外掛本身出事時，清除與更新仍要照外掛官方的指示，平台的備份與客服讓還原這一步不用自己來。
怎麼選
如果你沒有工程師、不想每次外掛出事都自己追公告和還原網站，選 WP × Roamer AI 進階版，主機、更新、備份由台灣團隊代管，出狀況時還能直接請 Roamer AI 進站處理；如果你會自己用 WordPress 後台管外掛，只需要主機與自動備份，選 WordPress 基本版。要自己完全掌控伺服器與備份位置的，再考慮自己架。
常見問題
Q：我只用免費版 UpdraftPlus 把備份存到雲端硬碟，也要處理嗎？
先看 UpdraftCentral 分頁有沒有連線金鑰。沒有金鑰、也沒在外掛裡連結過 TeamUpdraft 帳號，就不在這次金鑰外流的範圍，把外掛更新到最新版即可；有金鑰就照上面的順序處理。
Q：網站有開雙重驗證，還會被登入嗎？
會。這個後門是直接寫入登入用的 cookie，不經過登入表單，雙重驗證與登入保護外掛都擋不到，所以要從外掛清單和帳號清單去找，不能只看登入紀錄。
Q：更新到 1.26.13 就沒事了嗎？
不一定。更新會斷開事件前的連線，但官方的處理步驟在更新之後，還要檢查不認得的管理員帳號與外掛（含 Must-Use），因為已經裝進網站的東西要另外清；不確定清乾淨了，就還原 10 月 17 日之前的備份。
Q：自己架的 UpdraftCentral 也會受影響嗎？
官方說自己架的 UpdraftCentral 不受影響，這次外流的是 teamupdraft.com 雲端那一端的資料。
Q：在 RoamerHost 的網站也要檢查嗎？
平台這端替整個網站留的自動備份，跟你自己裝的備份外掛是分開的；但如果你在網站裡另外裝了 UpdraftPlus 並連結過 TeamUpdraft 帳號，一樣要照上面的步驟檢查。不確定怎麼看，可以來信客服詢問。
資料來源
- TeamUpdraft：TeamUpdraft security incident: What customers need to know
- Patchstack：Stolen UpdraftCentral Keys Are Backdooring WordPress Sites
- BleepingComputer：Stolen UpdraftCentral keys used to backdoor WordPress sites
- The Hacker News：Attackers Abuse UpdraftCentral Keys to Plant Backdoors on WordPress Sites
- RoamerHost：WP × Roamer AI 方案與常見問題
WordPress
