UpdraftCentral 连接密钥泄露，被用于在 WordPress 站点安装恶意插件

TeamUpdraft 已披露，在 2026 年 10 月 17 日至 18 日周末期间，其 teamupdraft.com 网站遭到未经授权的访问。该公司认为其客户数据库已被访问，并称该数据库包含 UpdraftCentral、UpdraftVault 和 UpdraftClone 的连接密钥，以及客户账户信息。

Nethemba 的公开分析以及直接提交给 Wordfence 的报告记录了攻击者使用有效的 UpdraftCentral 连接密钥，向已连接的 WordPress 网站发送远程命令的情况。这些命令被用于上传、启用和删除恶意插件。由于这些请求使用受信任的密钥正确签名，因此，即使 UpdraftPlus 安装中包含了此前针对 CVE-2026-10795 的安全修复，仍可能将其视为合法的 UpdraftCentral 指令并予以接受。

这并不意味着每个运行 UpdraftPlus 的网站都受到影响。UpdraftCentral 远程管理客户端同时包含在 UpdraftPlus Free 和 UpdraftPlus Premium 中，但只有在网站上存在连接密钥时，它才会接受 UpdraftCentral 命令。面临直接风险最高的用户，是其网站曾连接到 TeamUpdraft 云托管的 UpdraftCentral 服务的用户。

鉴于此次事件的严重性及其针对 WordPress 生态系统中一家主要供应商的影响，我们决定提前向 Wordfence Free 客户发布紧急防火墙规则。该规则在发布给 Wordfence Premium、Wordfence Care 和 Wordfence Response 客户仅数小时后便已推出，旨在帮助减轻此次攻击造成的全球影响。该规则会阻止受影响 UpdraftPlus 版本接收传入的 UpdraftCentral UDRPC 请求。

为确保你的网站拥有最新规则，请进入 WordPress 仪表板中的 Wordfence > 防火墙 > 所有防火墙选项，展开 高级防火墙选项，然后滚动到规则部分。点击 手动刷新规则，立即下载最新规则，其中包括此规则。我们的帮助文档介绍了在哪里可以找到此选项。

在停用较旧的连接密钥期间，该规则会阻止恶意和合法的 UpdraftCentral 命令到达插件。该规则不会影响普通的 UpdraftPlus 备份，也不会影响发送到第三方存储提供商的备份。

TeamUpdraft 已发布 UpdraftPlus 1.26.12（Free）和 UpdraftPlus 2.26.12（Premium），这些版本会自动断开在事件截止时间之前创建的 UpdraftCentral 连接。我们建议将每个 UpdraftPlus 网站更新至上述版本或更高版本。

防火墙保护无法撤销在规则部署之前已经发生的入侵。UpdraftCentral 用户仍应检查每个已连接的网站，并遵循 TeamUpdraft 的官方事件处置指南。TeamUpdraft 表示，随着调查继续，该页面可能会更新，因此它应始终是获取产品专属说明的权威来源。

事件摘要

UpdraftCentral 是一项远程管理服务，可通过中央仪表板管理备份、插件、主题、用户和其他 WordPress 功能。网站连接后，网站与仪表板会建立加密密钥。随后，UpdraftPlus 会接受由受信任仪表板密钥签名的命令，并以创建该连接的 WordPress 用户的权限执行这些命令。

公开分析的攻击利用了 plugin.upload_plugin 命令安装提供的插件归档。当所连接的 WordPress 用户拥有安装和启用插件的权限时，该命令为攻击者提供了在该站点上执行恶意 PHP 的途径。

这起事件的核心问题在于合法 UpdraftCentral 连接密钥遭到攻破并被滥用。使用暴露密钥签名的请求能够通过插件的正常身份验证检查，并被连接的站点视为可信的远程管理指令。

提交给 Wordfence 的报告描述了在 UpdraftPlus Premium 2.26.11.x 上成功进行恶意插件安装的情况，以及在另一个已知于活动发生时运行 UpdraftPlus Free 1.26.10 或 1.26.11 的站点上的成功安装。这些报告进一步表明，即使站点运行的是较新版本的插件，只要其云端 UpdraftCentral 连接已暴露，仍可能受到影响。

TeamUpdraft 表示，UpdraftPlus 插件及其可下载程序包未受影响。它还表示，发送至用户自己的 Google Drive、Dropbox、Amazon S3 或其他第三方远程存储的备份未受影响，自托管的 UpdraftCentral 安装也未受 teamupdraft.com 入侵事件影响。然而，如果某个站点曾通过 UpdraftCentral 被访问，TeamUpdraft 建议重新授权其远程存储，并更改所有存储访问密钥以作预防。

据 TeamUpdraft 表示，客户数据库包含姓名、电子邮件地址、账单地址、订单历史、密码哈希和双因素身份验证设置。该公司表示，密码并非以明文形式存储，并且由于付款由 Stripe 和 PayPal 处理，因此不会存储支付卡详细信息。尽管如此，TeamUpdraft 仍建议每位 teamupdraft.com 账户持有人更改其密码，在任何重复使用该密码的地方也进行更改，并重置其 TeamUpdraft 双因素身份验证设置。

哪些人可能受到影响？

如果网站同时满足以下所有条件，则可能受到影响：

在受影响的 UpdraftCentral 连接密钥仍然存在期间，该站点安装并启用了 UpdraftPlus Free 或 UpdraftPlus Premium。
该站点拥有或在此事件期间曾拥有 TeamUpdraft 云托管 UpdraftCentral 服务的活动连接密钥。

除非有效的防火墙规则阻止该通信渠道，或 UpdraftPlus 1.26.12（Free）或 2.26.12（Premium）已将其移除，否则拥有仍保存在本地的旧密钥的站点可能会继续接受使用该密钥正确签名的命令。删除密钥会阻止未来的 UpdraftCentral 命令，但无法消除可能已经发生的活动。

仅安装免费的 UpdraftPlus 插件本身不会自动将站点连接到 UpdraftCentral。然而，当用户连接 TeamUpdraft 账户时，UpdraftPlus 1.26.11 会显示一个将网站添加到 UpdraftCentral 的选项，并且该选项默认选中。因此，即使站点所有者未曾单独访问 UpdraftCentral 控制面板，或不记得曾有意启用远程管理，该站点也可能拥有 UpdraftCentral 连接。

免费版和 Premium 用户都应检查自己是否曾将该插件连接到 TeamUpdraft 账户。TeamUpdraft 的官方指南指出，没有 teamupdraft.com 账户的免费 UpdraftPlus 用户无需针对这起事件采取任何措施。

如何检查站点是否拥有 UpdraftCentral 密钥

直接登录到该站点自己的 WordPress 管理面板。不要通过 UpdraftCentral 进行此项检查。

导航至 设置 > UpdraftPlus > 高级工具 > UpdraftCentral。如果页面显示 管理现有密钥 (N) 且存在一个或多个密钥，则该网站当前或过去曾被配置为接受 UpdraftCentral 命令，应视为可能已暴露。

在数据库层面，这些连接存储在名为 updraft_central_localkeys 的 WordPress 选项中。WordPress 反序列化该选项值后，如果数组中包含一个或多个密钥条目，则表示至少存在一个本地 UpdraftCentral 连接；如果为空数组，则不存在。请勿公开发布或发送包含已填充数据的选项内容，因为其中含有敏感密钥材料。

当前没有密钥并不能证明此前未曾收到恶意命令。如果某个密钥近期被删除，请继续进行下文针对日志、插件、用户和文件的检查。

Wordfence 正在采取的措施

Wordfence Premium、Wordfence Care 和 Wordfence Response 客户已收到一条实时防火墙规则，该规则可作为受影响的 UpdraftCentral 命令通道的临时终止开关。鉴于此次事件的严重性，我们也在数小时后的较短时间内提前向 Wordfence 免费版用户提供了该规则。此规则会阻止针对 UpdraftPlus 免费版 1.26.11 及更早版本，以及早于 2.26.12 的 UpdraftPlus 高级版，传入的 UpdraftCentral UDRPC 请求。

Wordfence 用户现在应按照本文顶部所述手动刷新防火墙规则。如果您的网站使用 UpdraftCentral，您仍应删除其连接密钥并完成下文检查，因为防火墙规则无法撤销部署之前已经发生的活动。

此规则严格限定于受影响的云端 UpdraftCentral 命令通道。它不会干扰常规备份、恢复，也不会干扰发送至第三方远程存储提供商的备份。在受影响的版本上，它会暂时阻止合法的云端 UpdraftCentral 管理命令，因此在网站运行 UpdraftPlus 1.26.12（免费版）或 2.26.12（高级版）或更高版本之前，受保护的网站可能会在 UpdraftCentral 中显示为不可用。

TeamUpdraft 已发布 UpdraftPlus 紧急版本，即 UpdraftPlus 1.26.12（免费版）和 2.26.12（高级版），这些版本会自动断开在 2026 年 10 月 18 日 21:00 UTC（22:00 BST）之前创建的 UpdraftCentral 连接。TeamUpdraft 表示，此后按照其手动重新连接步骤建立的连接不会被断开。请立即更新至 UpdraftPlus 1.26.12、2.26.12 或更高版本，方法是登录每个网站自己的 WordPress 管理面板，而不是通过 UpdraftCentral 更新；并且不要将此次更新视为检查和保护已连接网站的替代措施。

此防火墙规则可阻止受支持版本上未来传入的命令，但无法移除可能已经存在的恶意插件、账户、计划任务或其他持久化机制。

UpdraftCentral 用户现在应采取的措施

TeamUpdraft 发布的指导提供了最低限度的遏制措施。下述额外检查同样重要，因为一旦恶意 PHP 执行完毕，WordPress 管理面板就不再是独立可信的信息来源。恶意软件可以过滤“用户”和“插件”界面、隐藏必须使用插件，或向可见角色看似无害的账户授予高权限。请在每个已连接的网站上分别完成以下步骤：

请直接登录网站的 WordPress 管理面板，而不是通过 UpdraftCentral 登录。
进入 Settings > UpdraftPlus > Advanced Tools > UpdraftCentral，删除所有现有的连接密钥。
在一台确定无问题的设备上，通过直接在浏览器中输入地址来更改 teamupdraft.com 密码。如果该密码在其他地方被重复使用，也应更改这些位置的密码；如果 TeamUpdraft 启用了双重身份验证，请在 My Account 中重置。请警惕声称来自 TeamUpdraft 的意外消息；该公司表示绝不会索要你的密码或连接密钥。
在删除可疑文件或账户之前，应保存 UpdraftCentral 日志、Web 服务器访问日志、PHP 错误日志，并在可行的情况下保留可疑文件的副本。记录最近修改过的文件，以及当前的插件和用户列表。确定攻击者做了哪些更改时，可能需要这些证据。
将 UpdraftPlus 更新至 1.26.12（Free）或 2.26.12（Premium）或更高版本。该更新会断开旧的 UpdraftCentral 连接，但不会移除攻击者可能已经安装的任何内容，因此也要完成其余检查。
运行 Wordfence 扫描。如果怀疑网站已被入侵，请使用 High Sensitivity 扫描类型，并检查每个涉及恶意软件、未知或被修改文件、跳过路径、可疑选项，或通过常规 WordPress 界面之外的管理员界面创建的账户的结果。High Sensitivity 扫描可能产生误报，因此请先调查结果，再删除或修复文件。扫描结果干净是有用的证据，但其本身并不能证明网站没有问题。
通过托管控制面板、SFTP 或 SSH 独立检查文件系统。不要只依赖 WordPress 插件页面。检查 wp-content/plugins、wp-content/mu-plugins、wp-content/upgrade、主题、包含可执行文件的上传文件、WordPress 根目录文件，以及 wp-admin 和 wp-includes 中的 PHP 文件。如果存在，还应检查 WordPress drop-in 文件，例如 advanced-cache.php、db.php、object-cache.php 和 sunrise.php。将 WordPress、插件和主题文件与来自可信来源的确定无问题的副本进行比较，并调查在事件发生前后创建或修改的文件。
不要仅依赖 WordPress 用户页面，而应独立检查账户。通过可信的数据库或托管工具检查网站的用户和用户元数据记录，包括实际权限、有效会话和应用密码。对于多站点安装，还应检查网络用户和超级管理员。一种公开分析过的恶意软件家族可能向标记为编辑者的账户授予类似管理员的权限。第二种可正常运行的变体可以从常规仪表盘查询中隐藏完整管理员，或以现有管理员身份对攻击者进行身份验证，而不创建新账户。
检查 UpdraftCentral、Web 服务器和安全日志中是否出现下列命令和网络指标。确定是否收到过上传或删除命令，是否有插件被写入或激活，以及之后发生了哪些请求。
如果发现可疑活动，或无法独立确认网站的完整性，不要将删除可见的插件或用户视为充分的处理措施。恢复网站和数据库时，应使用在 October 17, 2026 之前创建并经确认无问题的备份；根据需要从可信来源重新安装 WordPress 核心、插件和主题；并完成全面的事件调查。
在站点完成检查以及所有必要的清理或恢复之后，更改每个 WordPress 管理员密码并终止现有会话。如果站点遭到入侵，还应轮换该受损站点能够访问的托管、文件传输、数据库和应用程序凭据。
只有在检查及所有必要的清理完成后，才能使用新的 UpdraftCentral 密钥重新连接站点。受 Wordfence 临时防火墙规则保护的站点，可能无法接受 UpdraftCentral 命令，直至安装 UpdraftPlus 1.26.12（免费版）或 2.26.12（高级版）或更高版本。TeamUpdraft 表示，此次更新不会移除新创建的连接。

如果发现任何入侵迹象，或者无法独立完成上述文件系统和数据库检查，我们建议联系 Wordfence 以获取专业调查和清理服务。 Wordfence Care 和 Wordfence Response 客户可以向我们的安全团队申请人工事件响应和恶意软件清除服务。

仅从云端 UpdraftCentral 仪表板删除站点，不能取代在 WordPress 站点本身上删除密钥。本地密钥决定站点是否会接受已签名的命令。

对于已连接的站点，既需要更改密码，也需要移除 UpdraftCentral 连接密钥。

UpdraftVault 和 UpdraftClone 用户指南

TeamUpdraft 表示，已将所有站点与 UpdraftVault 断开连接并签发了新凭据。在重新连接服务之前，UpdraftVault 备份不会恢复。在站点的 WordPress 仪表板中，进入 设置 > UpdraftPlus > 设置，在远程存储下选择 UpdraftVault，使用 已有空间？> 连接，输入 TeamUpdraft 账户电子邮件和新密码，保存设置，然后运行一次手动备份以确认存储正常运行。

TeamUpdraft 还表示，所有 UpdraftClone 客户端密钥均已替换。从未创建过客户端密钥的用户无需采取任何操作。曾与客户端共享密钥的用户应从 我的账户 > UpdraftClone > UpdraftClone 密钥管理 获取替换密钥，并分发新密钥。使用旧密钥的克隆将失败。

UpdraftCentral、UpdraftVault 和 UpdraftClone 使用不同的凭据，TeamUpdraft 已针对每项服务发布具体的响应步骤。Wordfence 的紧急防火墙规则用于处理公开观察到的攻击所利用的受影响云端 UpdraftCentral 命令通道。

入侵迹象

以下迹象来自 Nethemba 的公开分析、WordPress.org UpdraftPlus 支持论坛中的报告（报告一、报告二）以及直接提交给 Wordfence 的事件报告。攻击者更改了插件名称和其他细节，因此应结合使用这些迹象。未发现这些迹象并不能证明已连接的网站是安全的。

UpdraftCentral 日志

在 设置 > UpdraftPlus > 高级工具 > UpdraftCentral 中，查看最近的 UpdraftCentral 日志事件。调查包含以下内容的条目：

probe.central.updraftplus.com
Command received: plugin.upload_plugin
Command received: plugin.delete_plugin

收到上传命令并不一定意味着激活成功，但确实意味着站点通过 UpdraftCentral 通道接收到了尝试。UpdraftPlus 仅保留有限数量的近期 Central 日志事件，因此更早的活动可能已不再显示。

网络迹象

公开报告以及提交给 Wordfence 的事件报告将此次攻击活动与以下源地址关联起来：

43.250.53.42
2a09:bac5:4e21:2e3c::49b:9

观察到的恶意请求使用了完全一致的 User-Agent WordPress/6.4; class-udrpc.php。Nethemba 公开分析的合法 TeamUpdraft 流量中，User-Agent 包含 UDRPC 库版本和 teamupdraft.com URL。攻击者可以更改 IP 地址和标头，因此仅阻止或搜索这些值并不足以应对。

可正常运行的恶意软件变体通过向站点根路径发送请求来触发，该请求包含一个查询字符串参数，其名称由 12 个十六进制字符组成，值为一个 32 字符的令牌。在某些情况下，成功请求之后可能会跟随一次重定向，并出现已认证的管理员活动。应将其视为日志搜寻模式，而非单独的证据，并将其与意外的插件安装、文件创建或管理员活动进行关联分析。

恶意插件

对于首个公开分析的恶意软件家族，一个高置信度指标是以下描述：

Small maintenance toolkit: keeps option storage tidy.

经分析的插件使用了看起来随机的名称。公开示例包括 Load Stack 35C、Text Gantry Eb0 和 style-bridge-8f5。另有直接向 Wordfence 报告的名称，包括 speed-press-23b、hero-bridge-6c9、site-health-6a20、db-works-7dba、cache-frame 和 site-engine。防御方不应仅依赖名称。应调查任何在没有相应授权管理员操作的情况下出现的插件，尤其是 2026 年 10 月 18 日至 19 日前后出现的插件。

一些经分析的样本包含一个编码错误，导致 HTTP 500 响应和 WordPress“严重错误”消息，并指出一个不熟悉的插件。站点仍能正常运行并不能排除已经遭到入侵；并非每次安装或激活都会产生相同的可见故障。

Nethemba 此后确认了第二个可正常运行的变体，其名称和描述在不同样本之间会发生变化。该变体可以在 WordPress“用户”界面中隐藏管理员，也可以将攻击者认证为第一个现有管理员，而不创建新账户；此时，插件文件和 Web 服务器访问日志可能是仅存的证据。经分析样本中的稳定代码级指标包括：在 hash_equals() 验证查询字符串值之后调用 wp_set_auth_cookie()，以及用于隐藏所创建账户的 pre_user_query 和 pre_count_users 钩子。因此，仅基于描述的恶意软件特征签名和仅检查管理面板都不足以发现此类威胁。

选定的恶意软件文件哈希

以下新确认的 SHA-256 哈希标识了此次攻击活动中观察到的确切文件。它们无法检测被重命名或新生成的样本，而且此列表并不完整：

opt4fix 2.9.2: 54ca7b2da87852a5d1fd7bde644027f84557db4d45fbb25cb2d135a3497d8d5c
js-fix-757a 2.8.3: 2cdf3f2a3f10f0e12f00f2267907d44796107ab4aececdac520bba13e012b47a
lazy-tool-3055 1.3.8: 1821a58e2a851acd1a608a77ce2f77817a0b7b6ef344b9889c8f8728e62969ec
cache-smith 1.3.1: 43dc88fd18501be3dbd6d7f1755e77386d081dd41cef82bc514d39991ae69c49
style-bridge-8f5 2.6.6: 0290c2baa363eac72ef2b6891bef1c9c8b4774d5b95d14f4871bde6094fdacde
style-bridge-8f5/uninstall.php: 99a7fb44d1502938a40b3f663f4e5771b5cf741bcbaec58d7dda0b5066b5a0a5

用户和数据库选项

公开分析的样本试图创建一个看似具有 Editor 角色的用户，同时单独授予 manage_options 和 install_plugins 等权限。已报告的辅助指标包括：

显示名称 Site Tools
用户名，例如 data-ops43、media-staff96、site_editor784、site.crew51 或 web_desk9
使用 @example.org 的电子邮件地址
名称以 _sync_token 结尾的 WordPress 选项
名称以 _uid 或 _installed 结尾的不熟悉的插件关联选项

恶意软件可能会改变这些值，可正常运行的变体账户还使用过以 @example.com 结尾的地址。应审查每个不熟悉用户的实际权限，而不应仅查看 WordPress“用户”界面中显示的角色标签。可正常运行的变体也可能会隐藏完整管理员账户，或复用第一个现有管理员，而不创建新账户，因此，数据库中没有不熟悉的用户并不能排除已成功利用漏洞。

如果发现入侵证据，该怎么办

首先删除网站的 UpdraftCentral 连接密钥，防止已暴露的通道被用于发送更多命令。在可行的情况下，保留相关日志和可疑文件以供调查，然后删除未经授权的插件和账户。

由于恶意插件可以以 Web 服务器权限执行任意 PHP，仅删除可见的插件并不足以确认网站已恢复干净。尽可能使用 2026 年 10 月 17 日之前创建且已知干净的备份来恢复网站和数据库。否则，应让经验丰富的安全专业人员检查 WordPress 文件、数据库、管理员和应用密码记录、必须使用的插件、计划事件、服务器级计划任务以及其他可写位置。

清理完成后，更改 WordPress 管理员密码、终止现有会话，并轮换 WordPress 安全盐、托管和文件传输凭据、数据库凭据、远程备份存储授权和访问密钥，以及受损网站可能访问的任何应用程序或 API 密钥。在适用情况下重新启用或重置双因素身份验证。如果此前未曾使用已知安全的设备完成 TeamUpdraft 密码和双因素身份验证重置，请立即完成。

Wordfence Care 和 Wordfence Response 客户可以联系我们的事件响应团队，获取现场调查和恶意软件清除服务。Wordfence Care 包含工作时间内的事件响应服务，而 Wordfence Response 提供 24/7/365 全天候服务，并承诺一小时内响应。详细了解 Wordfence Care 和 Wordfence Response。

时间线

2026 年 10 月 17 日至 18 日：TeamUpdraft 发现其 teamupdraft.com 遭到未经授权的访问。
2026 年 10 月 19 日：Nethemba 在检测到已签名的 UpdraftCentral 命令以及连接站点上安装了恶意插件后，发布了分析报告。
2026 年 10 月 19 日：Wordfence 收到多起客户报告，称连接站点上通过 UpdraftCentral UDRPC 通道安装了恶意插件。
2026 年 10 月 19 日：TeamUpdraft 发布官方事件公告，称其已关闭访问通道、部署针对根本漏洞的修复、注销账户、轮换受影响凭据及其与支付提供商和其他连接服务相关的密钥、断开 Vault 站点、替换 Clone 客户端密钥、添加监控、向英国信息专员办公室（ICO）报告事件，并开始准备紧急版 UpdraftPlus。
2026 年 10 月 19 日：TeamUpdraft 发布 UpdraftPlus 1.26.12（Free）和 2.26.12（Premium），自动断开 2026 年 10 月 18 日 22:00 BST 之前创建的 UpdraftCentral 连接。
2026 年 10 月 19 日：Wordfence 为 Wordfence Premium、Wordfence Care 和 Wordfence Response 客户部署紧急防火墙保护，以阻止通过 UpdraftCentral UDRPC 通道向受影响的 UpdraftPlus 版本传入命令。
2026 年 10 月 19 日：鉴于此次攻击的严重性，Wordfence 在向高级版客户提供该防火墙规则数小时后，提前向 Wordfence Free 用户提供了同样的规则。

结论

TeamUpdraft 披露其 teamupdraft.com 网站在 2026 年 10 月 17 日至 18 日周末遭到未经授权的访问。该公司认为其客户数据库遭到访问，并称该数据库包含 UpdraftCentral、UpdraftVault 和 UpdraftClone 的连接密钥，以及客户账户信息。

此事件影响 TeamUpdraft 云托管的 UpdraftCentral 服务与已连接的 WordPress 网站之间的信任关系。它并不影响每个 UpdraftPlus 安装，也不能证明 UpdraftPlus 插件下载或第三方备份存储遭到入侵。主要的站点级风险存在于曾存在云端 UpdraftCentral 连接密钥的网站。

如果您的网站存在或近期存在过此类密钥，请直接登录该网站，删除所有旧密钥，并从已知安全的设备重置 TeamUpdraft 密码和双因素身份验证，同时调查上述迹象。如果发现任何可疑情况，请从 10 月 17 日之前创建且已知安全的备份进行恢复，或完成专业清理和完整的事件响应。在确认网站安全后，更改 WordPress 管理员密码、终止现有会话，并轮换该受损网站可能访问的任何其他凭据。使用新密钥重新连接时，请遵循 TeamUpdraft 的最新指南，并将 UpdraftPlus 更新至 1.26.12（Free）或 2.26.12（Premium）或更高版本。受 Wordfence 临时防火墙保护的网站可能需要安装该更新后才会接受新的 UpdraftCentral 连接。

在受影响版本上，Wordfence Premium、Wordfence Care 和 Wordfence Response 客户将受到我们的紧急防火墙规则保护，防止新的入站 UpdraftCentral UDRPC 请求；运行 Wordfence Free 的网站现在也可获得同样的保护。Wordfence 用户可以手动刷新防火墙规则，立即获得此保护。该保护是重要的遏制措施，但应结合供应商的密钥轮换步骤，并检查规则部署前可能发生的活动。

文章 PSA：UpdraftCentral 连接密钥失陷被用于在 WordPress 网站上安装恶意插件，最早发布于 Wordfence。