Plugin-Name	WordPress Backup Guard Plugin
Art der Schwachstelle	Pfaddurchquerung
CVE-Nummer	CVE-2026-4853
Dringlichkeit	Niedrig
CVE-Veröffentlichungsdatum	2026-04-19
Quell-URL	CVE-2026-4853

JetBackup (Backup) Plugin-Pfadüberquerung (CVE-2026-4853) — Was WordPress-Seitenbesitzer jetzt tun müssen

Eine kürzlich offengelegte Schwachstelle, die Versionen bis 3.1.19.8 eines weit verbreiteten WordPress-Backup-Plugins (JetBackup / Backup Guard) betrifft, ermöglicht es einem authentifizierten Administrator, einen speziell gestalteten Dateinamen bereitzustellen und beliebige Verzeichnisse im Dateisystem über Pfadüberquerung zu löschen. dateiname Parameter. Das Problem ist mit CVE-2026-4853 versehen und wurde in Version 3.1.20.3 gepatcht.

Obwohl diese Schwachstelle Administratorrechte erfordert, ist es dennoch wichtig, dass Seitenbesitzer, Agenturen und Hosts dies ernst nehmen. Ein Angreifer, der bereits Administratorzugang hat oder diesen erlangt, kann dauerhaft Site-Dateien, Backups oder Konfigurationsordner löschen, was zu Datenverlust, längeren Ausfallzeiten und teuren Wiederherstellungsarbeiten führt.

Diese Mitteilung erklärt, was die Schwachstelle ist, warum sie wichtig ist, wie ein Angreifer sie ausnutzen könnte, wie man versuchte oder erfolgreiche Missbräuche erkennen kann und praktische Maßnahmen, die Sie sofort anwenden können — einschließlich virtueller Patches/WAF-Regeln, kurzfristiger Maßnahmen, wenn Sie nicht sofort aktualisieren können, und langfristiger Härtungsempfehlungen. Wir schließen mit einer einfachen Empfehlung, WP‑Firewall zu verwenden, um Ihre Seite zu schützen, während Sie patchen.

---

Zusammenfassung für Führungskräfte (schnelle Aktionsliste)

• Betroffene Plugin-Versionen: <= 3.1.19.8
• Gepatcht in: 3.1.20.3 — sofort auf 3.1.20.3 oder höher aktualisieren.
• CVE: CVE-2026-4853
• Schwachstellenklasse: Pfadüberquerung, die zu beliebiger Verzeichnislöschung führt (gebrochene Zugriffskontrolle)
• Erforderliches Privileg: Administrator (muss authentifiziert sein)
• CVSS-Basisscore (öffentliche Mitteilung): 4.9 — niedrig, aber zerstörerisch, wenn mit anderen Problemen verknüpft
• Sofortige Schritte:
  1. Aktualisieren Sie das Plugin auf 3.1.20.3 (oder die vom Anbieter bereitgestellte gepatchte Version).
  2. Wenn Sie nicht sofort aktualisieren können, wenden Sie virtuelles Patchen über Ihre WAF an (Beispiele siehe unten).
  3. Überprüfen Sie Admin-Konten, rotieren Sie Anmeldeinformationen und aktivieren Sie 2FA.
  4. Überprüfen Sie Backups, die außerhalb gespeichert sind, und stellen Sie sicher, dass sie intakt sind.
  5. Überwachen Sie Protokolle auf verdächtige dateiname Parameter und unerwartete Löschungen.

---

Das technische Problem in einfachen Worten

Pfadüberquerungsschwachstellen treten auf, wenn eine Anwendung benutzergesteuerte Dateisystempfadeingaben (zum Beispiel einen Dateinamen) akzeptiert und es versäumt, diese ordnungsgemäß zu normalisieren und zu validieren. Angreifer können Traversalsequenzen einbetten, wie ../ (oder ihre kodierten Formen), um die Pfadauflösung außerhalb des beabsichtigten Verzeichnisses zu verschieben. Wenn diese Eingabe später in einem Dateisystem-Löschaufruf ohne angemessene Validierung verwendet wird, kann der Angreifer Dateien oder Verzeichnisse außerhalb des Arbeitsordners des Plugins löschen.

In diesem speziellen Fall:

• Das Plugin bietet eine Admin-Aktion, bei der ein authentifizierter Administrator Sicherungsdateien entfernen kann, indem er eine dateiname Parameter.
• Das Plugin hat diesen Parameter nicht ausreichend eingeschränkt oder kanonisiert. Durch die Bereitstellung von Pfad-Traversierungssequenzen (z. B., ../../../wp-config.php oder kodierten Varianten) kann ein Angreifer mit Administratorrechten Löschroutinen dazu bringen, außerhalb des erwarteten Sicherungsverzeichnisses zu arbeiten.
• Infolgedessen könnten beliebige Verzeichnisse oder Dateien entfernt werden, zu denen möglicherweise auch Verzeichnisse anderer Plugins, Uploads, Sicherungsspeicher oder WordPress-Kerndateien gehören.

Da die Schwachstelle Administratorzugriff erfordert, handelt es sich nicht um einen Remote-Privilegienausweitung-Fehler, aber sie kann von Insidern, kompromittierten Administratorkonten oder Angreifern, die bereits über Phishing, gestohlene Anmeldeinformationen oder Social Engineering Administratorzugriff erlangt haben, ausgenutzt werden.

---

Warum das wichtig ist (nicht nur der CVSS)

Die öffentliche Mitteilung weist einen relativ niedrigen CVSS-Wert (4,9) aufgrund des erforderlichen hohen Privilegs zu. Dennoch ist die Schwachstelle aus operativer Sicht aus mehreren Gründen gefährlich:

• Zerstörerische Fähigkeit: Das Löschen von Dateien und Verzeichnissen kann zu einem vollständigen Ausfall der Website und zum Verlust von Sicherungen führen. Die Wiederherstellung kann zeitaufwendig und kostspielig sein.
• Verknüpfung: Ein Angreifer, der bereits Administratorzugriff hat, kann das Löschen nutzen, um Spuren zu verwischen, forensische Beweise zu zerstören oder Wiederherstellungsmechanismen zu deaktivieren.
• Automatisierungspotenzial: Administratoren sind häufig — in einigen Umgebungen erlangen Angreifer über kompromittierte Drittanbieter-Konten (Auftragnehmer, Agenturen) Administratorzugriff. Eine automatisierte Kampagne könnte durch Websites fegen, die die anfälligen Versionen ausführen.
• Unbekannte Auswirkungen: Viele Hosts und Agenturen installieren Sicherungs-Plugins für viele Websites. Ein einzelnes Problem in der Lieferkette kann viele Kunden gleichzeitig betreffen.

Kurz gesagt: Wenn Sie das betroffene Plugin ausführen und Ihre Website mehrere Administratoren oder einen Drittanbieter-Administratorzugriff hat, behandeln Sie dies als hohe Priorität für die Behebung.

---

Wie ein Exploit aussehen könnte (konzeptionell)

Ein Angreifer mit Administratorzugriff könnte eine Anfrage ähnlich der folgenden stellen:

• POST /wp-admin/admin-post.php?action=jetbackup_delete
• Body: fileName=../../../wp-content/uploads/old-backups/important-dir

Oder über einen AJAX-Admin-Endpunkt mit dateiname kodierter Traversierung:

• POST /wp-admin/admin-ajax.php?action=delete_backup
• Body: fileName=%2e%2e%2f%2e%2e%2fwp-content%2fuploads%2fold-backups%2fimportant-dir

Wenn das Plugin diesen String in einen unlink/rmdir-Aufruf ohne Validierung des kanonischen Pfads oder Sicherstellung, dass es im vorgesehenen Backup-Verzeichnis bleibt, zusammenfügt, wird die Löschung erfolgreich sein.

---

Beispiel für das Verwundbarkeitsmuster (Pseudo-Code)

Dies ist ein illustrativer Pseudo-Code-Ausschnitt, der ein häufiges unsicheres Muster zeigt:

<?php

Warum es gefährlich ist: $datei kann enthalten ../ und entkommen $ordner. Ohne Kanonisierung und Validierung, echtpfad() oder basename() werden keine Überprüfungen verwendet, was eine Löschung außerhalb $ordner.

---

Sicheres Eingabeverarbeitungsmuster (Server-seitige Härtung)

Wenn Sie Ihren Code oder den Plugin-Code-Pfad selbst härten möchten, bis Sie aktualisieren können, verwenden Sie Kanonisierung und strenge Eingeschlossenheitsprüfungen:

<?php

Wichtige Hinweise:

• basename() allein ist in jedem Szenario nicht ausreichend. Kombiniert mit echtpfad() und einem Vergleich mit einem erlaubten Basisverzeichnis wird es robust.
• Vermeiden Sie es, Dateisystemoperationen direkt auf Benutzereingaben ohne solche Überprüfungen durchzuführen.

---

Sofortige Milderungsmaßnahmen (in Prioritätsreihenfolge)

1. Aktualisieren Sie das Plugin auf die gepatchte Version (3.1.20.3 oder später) — tun Sie dies zuerst und überprüfen Sie, ob das Update erfolgreich war.
2. Falls Sie nicht sofort aktualisieren können:
   • Deaktivieren Sie das Plugin, bis Sie sicher aktualisieren können (wenn Ihr Backup-Prozess eine vorübergehende Pause tolerieren kann).
   • Oder wenden Sie virtuelle Patch-Regeln auf Ihre WAF an (Beispiele unten).
3. Widerrufen oder rotieren Sie Anmeldeinformationen für Konten, die keinen Administratorzugang haben sollten; überprüfen Sie die jüngsten Administratoraktivitäten.
4. Aktivieren/erfordern Sie die Zwei-Faktor-Authentifizierung für alle Administratorkonten.
5. Überprüfen Sie die Integrität kritischer Verzeichnisse (wp-content, plugins, uploads) und Ihrer extern gespeicherten Backups.
6. Verschärfen Sie die Dateisystemberechtigungen (wo möglich), um zu begrenzen, welcher Systembenutzer der Webprozess löschen kann.
7. Überwachen Sie die Zugriffsprotokolle auf verdächtige dateiname Parameter und auf Muster für Massenlöschungen.
8. Wenn Sie Löschaktivitäten feststellen, isolieren Sie die Website, bewahren Sie Protokolle auf und stellen Sie von einem bekannten guten Backup wieder her.

---

Virtueller Patch / WAF-Regeln, die Sie jetzt anwenden können

Wenn Sie eine Webanwendungsfirewall oder Serverzugriffskontrollen betreiben, können Sie gezielte Regeln erstellen, um Exploit-Versuche zu blockieren. Unten sind Beispielregeln, die Sie an Ihre Umgebung anpassen können.

Warnung: Testen Sie diese Regeln zuerst in einer Staging- oder Trockenlaufumgebung, um falsche Positivmeldungen zu vermeiden, die legitime Administratoraufgaben stören.

Nginx-Beispiel (in Ihrer Site-Konfiguration):

# block fileName parameter with traversal sequences (case-insensitive, includes encoded forms)
if ($arg_fileName ~* "(?:\.\./|\.\.\\|%2e%2e%2f|%2e%2e%5c)") {
    return 403;
}

Apache (mod_rewrite in .htaccess):

# Block requests where fileName argument contains path traversal patterns (encoded or plain)
RewriteEngine On
RewriteCond %{QUERY_STRING} fileName=.*(\.\./|\.\.\\|%2e%2e%2f|%2e%2e%5c) [NC,OR]
RewriteCond %{REQUEST_BODY} fileName=.*(\.\./|\.\.\\|%2e%2e%2f|%2e%2e%5c) [NC]
RewriteRule .* - [F]

ModSecurity-Beispiel:

SecRule ARGS:fileName "@rx (?:\.\./|\.\.\\|%2e%2e%2f|%2e%2e%5c)" \
 "id:1001001,phase:2,deny,log,msg:'Blocked path traversal attempt in fileName param (CVE-2026-4853)'

Generische WAF-Signatur (Konzept):

• Blockieren, wenn eine Anfrage ein Argument mit dem Namen enthält dateiname (oder ähnlichem erwarteten Parameternamen), das enthält ../ oder kodierte Äquivalente wie %2e%2e%2f oder %252e%252e%252f (doppelt kodiert).

Anmerkungen:

• Passen Sie den Parameternamen an, um mit der Art und Weise übereinzustimmen, wie das Plugin ihn sendet (Groß- und Kleinschreibung kann variieren: dateiname, dateiname, usw.).
• Die Blockliste darf keine legitimen Prozesse unterbrechen, die mehrteilige Verzeichnisnamen verwenden; gründlich testen.
• Halten Sie die Regel aktiv, bis Sie das Plugin aktualisieren.

---

Erkennung und Vorfallreaktion: wonach jetzt zu suchen ist

Wenn Sie eine Ausnutzung vermuten oder Proaktiv Protokolle scannen möchten, suchen Sie nach:

• HTTP-Anfragen an Plugin-Admin-Endpunkte, die ein dateiname Parameter:
  • Beispiele: admin-ajax.php, admin-post.php, oder plugin-spezifische Admin-Seiten enthalten.
• Anfragen, bei denen dateiname enthält ../, ..%2F, %2e%2e%2f, oder andere kodierte Traversierungssequenzen.
• Plötzliche Löschungen von Verzeichnissen unter wp-Inhalt, Uploads, oder Plugin-Ordnern.
• Fehlende oder leere Backup-Verzeichnisse, die zuvor vorhanden waren.
• Zeitstempel für Änderungen im Dateisystem, die mit verdächtigen Aktivitäten auf Admin-Ebene übereinstimmen.
• Erhöhte Aktivität von bestimmten Admin-Konten (plötzliche Spitzen bei POST-Anfragen).

Suchbefehle (Beispiel; auf Protokollen oder Protokollexporten ausführen):

# grep access logs for the fileName parameter (simple)
zgrep -i "fileName=" /var/log/nginx/access.log*
# look for encoded traversal attempts
zgrep -i "%2e%2e%2f" /var/log/nginx/access.log*
# search for admin-ajax requests with potential traversal patterns
zgrep -i "admin-ajax.php" /var/log/apache2/access.log* | zgrep -i -E "fileName=.*(\.\./|%2e%2e%2f)"

Wenn Sie Anzeichen von Löschaktivitäten finden:

• Nehmen Sie die Website offline (oder beschränken Sie den Zugriff), um weiteren Schaden zu verhindern.
• Bewahren Sie Protokolle und einen Snapshot des Dateisystems auf (Forensik).
• Stellen Sie die letzte bekannte gute Sicherung, die außerhalb gespeichert ist, wieder her, nachdem sichergestellt wurde, dass der Angreifer keinen Admin-Zugang mehr hat.
• Ziehen Sie in Betracht, ein professionelles Incident-Response-Team zu engagieren, wenn die Datenzerstörung schwerwiegend ist.

---

Wiederherstellungscheckliste nach bestätigtem oder vermutetem Löschen

1. Beweismittel sichern: Protokolle, Datenbank-Dumps und einen Snapshot des aktuellen Dateisystems kopieren.
2. Administratoranmeldeinformationen und alle anderen privilegierten Kontoinformationen rotieren.
3. Widerrufen Sie alle ungenutzten API-Schlüssel, OAuth-Token oder SSH-Schlüssel, die möglicherweise verwendet wurden.
4. Installieren Sie das Plugin nach Verfügbarkeit des Patches aus der Quelle des Anbieters neu (löschen Sie zuerst das Plugin-Verzeichnis, falls erforderlich).
5. Stellen Sie Dateien aus einer verifizierten, bekannten guten Sicherung wieder her (vorzugsweise außerhalb oder unveränderlich).
6. Scannen Sie die wiederhergestellte Website erneut auf Webshells, unbekannte Admin-Benutzer oder Malware.
7. Implementieren Sie die untenstehenden langfristigen Härtungsmaßnahmen.

---

Langfristige Härtung (den Explosionsradius für zukünftige Probleme reduzieren)

• Prinzip der geringsten Privilegien:
  • Minimieren Sie die Anzahl der Administrator-Konten. Verwenden Sie, wo möglich, Editor-/Autor-Konten.
  • Verwenden Sie separate Dienstkonten für Automatisierungen und rotieren Sie die Anmeldeinformationen.
• Erzwingen Sie die Zwei-Faktor-Authentifizierung für alle Admin-Benutzer.
• IP-beschränken Sie den Zugriff auf wp-admin für bekannte Admin-Adressen oder über VPN für Ihr Team.
• Halten Sie alle Plugins, Themes und den WordPress-Kern aktualisiert; wenden Sie Patches innerhalb Ihres SLA an.
• Verwenden Sie eine verwaltete WAF, die virtuelle Patches automatisch anwenden und verdächtige Muster blockieren kann.
• Erzwingen Sie strenge Datei-Berechtigungen: Stellen Sie sicher, dass der Webserver-Benutzer Codeverzeichnisse nicht unnötig ändern kann.
• Zentralisieren Sie die Backup-Strategie:
  • Halten Sie Backups, wo möglich, außerhalb des Standorts und unveränderlich.
  • Testen Sie regelmäßig Wiederherstellungen.
  • Halten Sie mehrere Backup-Generationen.
• Implementieren Sie die Überwachung der Dateiintegrität, um unerwartete Löschungen oder Änderungen zu erkennen.
• Führen Sie Protokolle über die Aktivitäten von Administratoren und Warnungen bei anomalen Verhaltensweisen.

---

Für Agenturen und Hosting-Anbieter — wie man Kundenflotten sofort schützt

• Scannen Sie Hosting-Konten nach dem Plugin und den anfälligen Versionen. Verwenden Sie WP-CLI, um aufzulisten:

  wp plugin liste --path=/path/to/site --format=json

• Priorisieren Sie Hochrisikokunden: Multisite, E-Commerce und stark frequentierte Seiten.
• Wenden Sie virtuelles Patching über die gesamte Flotte mithilfe des WAF am Rand an (Beispielregeln oben).
• Setzen Sie das Plugin vorübergehend aus oder deaktivieren Sie es auf Kundenseiten, wo es sicher ist; koordinieren Sie sich mit den Kunden, wenn Backups kritisch sind.
• Bieten Sie oder erzwingen Sie Prüfungen von Administratorenkonten und die Rotation von Anmeldeinformationen für Kunden.
• Stellen Sie verwaltete Wiederherstellungshilfe für Kunden mit betroffenen oder kompromittierten Seiten bereit.
• Implementieren Sie eine flottenweite Überwachung, um Exploit-Versuche (häufige Anforderungsmuster) zu erkennen und Angreifer-IP-Adressen zu blockieren.

---

Ist diese Schwachstelle ein Notfall?

Kurze Antwort: Jetzt aktualisieren. Während die Mitteilung die Schwachstelle aufgrund des erforderlichen Administratorzugriffs mit einer moderaten Schwere bewertet, macht das Potenzial für destruktive Löschungen die Behebung dringend, wenn:

• Mehrere Personen Administratorzugang haben (höhere Insider-/Bedrohungsoberfläche).
• Die Administratoranmeldeinformationen wurden kürzlich nicht geprüft.
• Die Seite speichert Backups oder kritische Daten im selben Dateisystem, das für den Webserver zugänglich ist.

Wenn Sie einen reifen Patch-Zyklus und schnelle Aktualisierungsprozesse haben, ist dies ein routinemäßiger Patch. Wenn Sie viele Websites mit komplexen Änderungsfenstern verwalten, wenden Sie WAF-virtuelle Patches sofort an und planen Sie Plugin-Updates im frühestmöglichen Wartungsfenster.

---

Häufig gestellte Fragen

F: Muss ein Angreifer authentifiziert sein?
A: Ja — die Schwachstelle erfordert Administratorrechte. Angreifer erhalten jedoch häufig Admin-Zugriff über Phishing, Wiederverwendung von Anmeldeinformationen oder kompromittierte Anmeldeinformationen von Anbietern. Jede Website mit schwachen Admin-Kontrollen oder veralteten Admin-Konten ist einem höheren Risiko ausgesetzt.

F: Wird die Wiederherstellung eines Backups nach einem Exploit ausreichen?
A: Die Wiederherstellung ist notwendig, wenn kritische Dateien gelöscht wurden. Sie müssen jedoch zuerst sicherstellen, dass der Angreifer keinen Zugriff mehr auf den Admin hat (Anmeldeinformationen rotieren, Hintertüren entfernen), bevor Sie wiederherstellen, andernfalls könnte der Angreifer die Backups erneut löschen.

F: Können Dateisystemberechtigungen dies verhindern?
A: Richtige Berechtigungen können den Explosionsradius verringern. Wenn der Webprozess keine Berechtigung hat, bestimmte Verzeichnisse zu löschen, hilft das — aber viele WordPress-Setups führen den Webprozess mit ausreichenden Rechten zur Verwaltung von Uploads und Plugins aus, verlassen Sie sich also nicht nur auf Berechtigungen.

Q: Sollte ich das Plugin vollständig deaktivieren?
A: Wenn Sie nicht sofort patchen können und sich auf keine andere sofortige Abhilfe verlassen, ist das vorübergehende Deaktivieren des Plugins, bis es aktualisiert werden kann, eine sichere Option. Stellen Sie jedoch sicher, dass Sie einen alternativen Backup-Plan haben.

---

Beispiel-Admin-Checkliste (Schritt-für-Schritt)

1. Betroffene Seiten identifizieren:
   • Suchen Sie nach Plugin-Versionen auf verschiedenen Websites.
2. Planen oder wenden Sie den Patch an, um auf 3.1.20.3 oder neuer zu aktualisieren.
3. Wenn das Patchen verzögert wird, wenden Sie WAF-Regeln an, um Traversierungen zu blockieren. dateiname.
4. Überprüfen Sie die Admin-Konten und aktivieren Sie 2FA.
5. Überprüfen Sie die Integrität der Backups und bereiten Sie einen Wiederherstellungsplan vor.
6. Überwachen Sie Protokolle auf verdächtige dateiname Anfragen und Löschereignisse.
7. Führen Sie einen Nach-Patch-Scan nach fehlenden Dateien durch und stellen Sie diese bei Bedarf wieder her.

---

Sichern Sie Ihre Website in Minuten — Beginnen Sie mit dem kostenlosen WP‑Firewall-Plan

Den Schutz Ihrer WordPress-Website vor Exploits wie CVE-2026-4853 zu gewährleisten, besteht aus mehreren Schichten — das Patchen anfälliger Plugins, das Begrenzen des Admin-Zugriffs und das Vorhandensein einer Firewall, die anwendungsspezifische Schwächen versteht und diese sofort blockieren kann. Der Basisplan von WP‑Firewall (kostenlos) bietet Ihnen einen grundlegenden Schutz, den Sie innerhalb von Minuten aktivieren können: eine verwaltete Firewall, vollständige WAF-Abdeckung, einen Malware-Scanner, unbegrenzte Bandbreite und Minderung der OWASP Top 10-Risiken. Wenn Sie einen einfachen, sofortigen Schritt zur Reduzierung der Exposition wünschen, während Sie Updates anwenden, probieren Sie den kostenlosen Plan von WP‑Firewall aus — melden Sie sich hier an: https://my.wp-firewall.com/buy/wp-firewall-free-plan/

Wenn Sie mehr als die Grundlagen benötigen, fügt unser Standardplan die automatische Malware-Entfernung und die Kontrolle über IP-Blacklist/Whitelist hinzu, und unser Pro-Plan umfasst monatliche Sicherheitsberichte, automatisches virtuelles Patchen und Support auf Unternehmensniveau.

---

Abschließende Hinweise vom WP‑Firewall-Sicherheitsteam

Diese Schwachstelle ist eine klare Erinnerung daran, dass selbst Probleme, die nur Administratoren betreffen, schädlich sein können. Admin-Zugriff ist mächtig — die Kontrolle darüber zu verlieren, ist oft die Hauptursache für viele Kompromisse. Der richtige Ansatz ist geschichtet: schnell patchen, die Admin-Exposition reduzieren, starke Authentifizierung durchsetzen, getestete Backups aufrechterhalten und eine WAF betreiben, die virtuelle Patches durchsetzen kann, wenn Updates nicht sofort angewendet werden können.

Wenn Sie mehrere WordPress-Websites verwalten, behandeln Sie diese Schwachstelle als routinemäßigen hochpriorisierten Patch für Ihre Flotte — oder engagieren Sie einen verwalteten Sicherheitspartner, der virtuelle Patches anwenden, Überwachungsversuche auf Ausnutzung überwachen und bei Bedarf helfen kann, Websites schnell wiederherzustellen.

Wenn Sie Hilfe bei der Implementierung von WAF-Regeln oder den oben genannten serverseitigen Maßnahmen benötigen, kann das Dokumentations- und Support-Team von WP‑Firewall helfen – und unser kostenloser Plan ist ein einfacher erster Schritt, um die Angriffsfläche zu reduzieren, während Sie Patches anwenden.

Bleiben Sie sicher und patchen Sie umgehend.

— WP‐Firewall-Sicherheitsteam