L'exploitation vise l'extension WordPress UpdraftPlus via la CVE-2026-10795, une faille de contournement d'authentification dans le protocole d'administration à distance udrpc. Pour la communauté PHP qui maintient des parcs WordPress en production, le signal est net: la chaîne aboutit à l'installation d'un plugin contenant un webshell PHP de 3 686 octets, exécuté avec les privilèges du dispatcher UpdraftCentral.
Mécanisme cryptographique et payload
Ce n'est pas une injection classique, c'est un échec de validation cryptographique. Le format 1 du message — chemin legacy — sélectionne une branche où le résultat du déchiffrement RSA alimente directement AES-128-CBC sans rejet sur échec. Un RSA invalide renvoie false, qui devient une clé AES entièrement à zéro et un IV à zéro: état déterministe, exploitable.
Conséquence pratique: un attaquant forge un message sans détenir la clé privée de la victime. Le POST de 4 087 octets observé par OffSeq frappe l'endpoint format=1 avec key_name=0.central.updraftplus.com et udrpc_message. Le contenu déchiffré transporte un ZIP (wp_zmfjlow.zip), [activé à true. Une fois installé, le fichier wp_zmfjlow](/articles/securiser-wordpress-10-reflexes/).php expose exécution de commandes OS, gestion de fichiers, téléversement, et un marqueur de reachability non authentifié. Webshell autonome, aucun second stage téléchargé.
Sur la cohorte retenue, dix-huit livraisons ont été suivies de 76 GETs sur les chemins PHP randomisés correspondants.
Surface d'exposition et remédiation
La faille n'est pas exploitable partout. Deux prérequis cumulatifs, d'après les release notes du vendor: une version d'UpdraftPlus affectée, et la présence d'une clé UpdraftCentral active (free ou Premium) ou d'une clé Premium Migrator. Les clés déjà générées restent valides après arrêt de l'usage du management à distance — c'est la zone à risque étroite mais réelle: les instances historiquement connectées à UpdraftCentral, y compris après migration.
Le vendor a publié un hotfix le 5 juin 2026 pour les clients incapables d'upgrader, licences Premium expirées incluses, avec procédure de transition vers une release corrigée. UpdraftCentral Premium ne nécessite pas la mise à jour correspondante.
Côté détection, marqueurs immédiatement vérifiables sur les logs:
format=1sur des endpointsudrpcnon sollicités.- Clé AES 16 octets à zéro couplée à un IV à zéro après déchiffrement.
- Répertoires au nom aléatoire apparus sous
/wp-content/plugins/sans intervention admin. - Séquences POST → activation → GETs répétés sur le même chemin PHP randomisé.
Le listener RPC tourne pendant le chargement WordPress: l'URL AJAX observée n'est qu'un point d'entrée parmi d'autres. Inspecter les champs RPC sur les autres routes lorsqu'un body suspect est présent. Verdict: à patcher en prod sans délai sur toute instance avec clé active; hors scope si aucune clé n'a jamais été configurée.
Contexte Magento: StyleSmuggler
La même semaine, Sansec a documenté StyleSmuggler, zero-day RCE non corrigé sur Magento et Adobe Commerce (2.4.7, 2.4.8, 2.4.9), exploitation observée depuis le 4 septembre. L'attaque injecte du PHP via le système de templates et contourne les garde-fous existants en exploitant la propriété styles; déplacer les sessions vers Redis ou en base ne stoppe pas la chaîne, un commerçant a vu une tentative échouer contre le stockage de session puis une seconde réussir huit secondes plus tard via les custom options. Opérateur adaptatif, pas un PoC statique. Le backdoor Rust observé se fait discret sous des noms de processus plausibles ([kworker/u:8:0], puis fc-cache, puis chronyd).
Deux écosystèmes distincts, même classe de risque: exécution PHP arbitraire non authentifiée sur CMS à forte empreinte entreprise. Pour les devs PHP en mission d'audit cette semaine, les deux surfaces méritent le même niveau d'attention — et le même réflexe: vérifier les clés persistantes avant de patcher.