TeamUpdraft 披露其 teamupdraft.com 网站在 10 月 17-18 日周末遭未授权访问，客户数据库中的 UpdraftCentral、UpdraftVault 和 UpdraftClone 连接密钥可能被窃取，攻击者借此向 WordPress 站点植入后门插件。
为什么值得看：事件说明 UpdraftCentral 连接密钥泄露后如何被用来向 WordPress 站点下发后门插件，并给出可自查的 IOC 与处置步骤。
攻击者利用窃取的 UpdraftCentral 仪表盘私钥，通过 UpdraftPlus 的远程管理通道下发 plugin.upload_plugin 命令，在已连接的 WordPress 站点上安装并激活后门插件，活动集中在 10 月 18 日 15:32 至 19 日 09:23。
为什么值得看：材料给出按能力而非用户名排查后门账号的 SQL 与日志特征，并说明删键前先清后门的处置顺序。
Patchstack 遥测显示，攻击者自 2026 年 10 月 4 日起通过 WPC Product Bundles for WooCommerce 的 CVE-2026-93836 和 Ninja Forms 的 CVE-2026-94504 两个无需认证的存储型 XSS 漏洞，向管理员浏览器投递同一份 imgcdn1.com/fz/x.js 载荷。
为什么值得看：同一植入体经两个不同插件的存储型 XSS 投递，并留下四条互相独立的回访通道，可作持久化检测的参照。
The DFIR Report 发现一台暴露的攻击服务器，其上的 Bissa scanner 围绕 React2Shell（CVE-2025-55182）扫描数百万个目标，日志显示确认 900 余次成功利用。
为什么值得看：报告基于一台暴露的攻击服务器还原了从大规模扫描、命中评分到凭据归集与优先排序的完整流水线，可看到攻击方如何用 AI 工具编排作业。