Les clés de connexion UpdraftCentral ont été volées chez l’éditeur d’UpdraftPlus, et des attaquants s’en sont servis les 18 et 19 octobre 2026 pour installer une extension piège sur des sites WordPress. Ce n’est pas une faille dans le code du plugin : l’attaquant envoyait des commandes signées avec de vraies clés, donc le site les acceptait comme si elles venaient de vous. Si l’un de vos sites a un jour été relié à UpdraftCentral, ou à un compte teamupdraft.com, il faut vérifier aujourd’hui.

Ce qui change

D’après l’avis officiel de TeamUpdraft, un accès non autorisé à teamupdraft.com a été détecté le week-end des 17 et 18 octobre. L’éditeur pense que sa base clients a été consultée : noms, e-mails, adresses de facturation, historique de commandes, mots de passe (hachés), réglages de double authentification et clés de connexion UpdraftCentral, UpdraftVault et UpdraftClone. Les cartes bancaires ne sont pas concernées (paiements via Stripe et PayPal).

Ce que ça donne concrètement sur un site :

  • Le mode opératoire : avec une clé valide, l’attaquant envoie une commande d’installation d’extension. WordPress l’installe et l’active par le chemin normal. Patchstack a relevé 99 noms d’extensions différents, dont « Site Health Cache ».
  • La porte dérobée : l’extension crée un compte « Éditeur » auquel on a ajouté les droits manage_options et install_plugins, puis ouvre une session sans passer par le formulaire de connexion. La double authentification ne sert donc à rien ici. Le compte reste en place même si l’extension est supprimée.
  • Le correctif : UpdraftPlus 1.26.13 (gratuit) et 2.26.13 (Premium), publiés le 19 octobre au soir, révoquent les connexions UpdraftCentral créées avant le 18 octobre à 13 h 07 (heure de Londres). TeamUpdraft indique que WordPress.org a poussé la mise à jour à tous les sites.
  • Pas touchés : le plugin lui-même et ses téléchargements, l’UpdraftCentral auto-hébergé, et les sauvegardes envoyées sur votre propre stockage (Google Drive, Dropbox, S3…), sauf si le site a été atteint via UpdraftCentral.

Point important relevé par Patchstack : une clé peut exister sans que vous l’ayez créée volontairement, car la case qui connecte le site au compte teamupdraft.com est cochée par défaut. Et ces clés n’expirent pas.

Ce qui peut casser

La mise à jour est sans risque pour le site lui-même, mais elle coupe plusieurs liaisons :

  • Tableau de bord UpdraftCentral : les sites connectés avant le 18 octobre disparaissent. Il faut les reconnecter un par un… ou pas tout de suite (voir plus bas).
  • UpdraftVault : tous les sites ont été déconnectés. Si vous sauvegardez sur Vault, vos sauvegardes ne partent plus tant que vous n’avez pas reconnecté le site avec le nouveau mot de passe. Rien ne casse visiblement, mais il n’y a plus de sauvegarde.
  • UpdraftClone : les anciennes clés client ne fonctionnent plus.
  • Erreurs 500 : les extensions piégées contenaient une erreur de code qui provoquait des erreurs 500 sur les pages non mises en cache. Patchstack prévient : ne corrigez pas cette erreur, cela activerait la porte dérobée.

Faut-il mettre à jour maintenant ?

Oui, et la mise à jour ne suffit pas. Vérifiez que chaque site est en 1.26.13 / 2.26.13 ou plus, puis supprimez les clés UpdraftCentral restantes. Patchstack recommande de supprimer les clés même après la mise à jour, puisque l’attaquant détient des clés émises avant, et de ne pas reconnecter le site à UpdraftCentral tant que l’éditeur n’a pas expliqué l’origine de la fuite. TeamUpdraft, de son côté, propose de reconnecter une fois le site vérifié. Mon conseil : si vous n’avez pas un besoin réel de gestion à distance, laissez la connexion coupée. Les sauvegardes continuent de tourner sans elle. De mon côté, je n’ai trouvé pour l’instant aucun site client touché, ni clé suspecte ni compte inconnu. Ce n’est pas une raison pour sauter la vérification : une clé peut exister sans que vous l’ayez créée volontairement.

Si vous utilisez UpdraftPlus gratuit, sans compte teamupdraft.com, sans clé UpdraftCentral, l’éditeur indique qu’aucune action n’est requise en dehors de la mise à jour.

Checklist avant de mettre à jour

À faire sur chaque site, en vous connectant directement à son tableau de bord (pas via UpdraftCentral) :

  1. Repérer les clés : avec WP-CLI, wp option get updraft_central_localkeys. Un résultat = site exposé. Sinon : Réglages > UpdraftPlus > Outils avancés > UpdraftCentral.
  2. Mettre à jour UpdraftPlus en 1.26.13 / 2.26.13 ou plus récent.
  3. Supprimer toutes les clés (« Manage existing keys »). Retirer le site du tableau de bord UpdraftCentral ne suffit pas : la clé est stockée sur le site.
  4. Contrôler les utilisateurs : wp user list --role=editor et wp user list --role=administrator. Signes relevés par Patchstack : identifiant du type deux mots + deux chiffres (ex. data-ops43), e-mail en @example.org, nom affiché « Site Tools ».
  5. Contrôler les extensions, y compris l’onglet « Indispensables » (must-use). Description à rechercher : « Small maintenance toolkit: keeps option storage tidy. »
  6. Si vous trouvez l’extension : supprimez d’abord la clé, puis désactivez l’extension et déplacez son dossier hors du site. Ne la supprimez pas depuis wp-admin : sa routine de désinstallation efface ses traces. Supprimez ensuite le compte et l’option dont le nom finit par _sync_token.
  7. Changer les mots de passe de tous les administrateurs, du compte teamupdraft.com (en tapant l’adresse vous-même, pas via un lien reçu par e-mail) et réinitialiser la double authentification de ce compte.
  8. Reconnecter UpdraftVault si vous l’utilisez, puis lancer une sauvegarde manuelle pour vérifier.
  9. En cas de compromission avérée : restaurer une sauvegarde antérieure au 17 octobre, puis suivre la procédure complète de site WordPress piraté.

Ce contrôle a toute sa place dans une routine de maintenance WordPress. Et si vous y êtes, vérifiez aussi la version de PHP du serveur : la faille critique PHP du 21 octobre concerne tous les sites WordPress, eux aussi.

Questions fréquentes

Je n’ai jamais utilisé UpdraftCentral, suis-je concerné ?

Peut-être. Une clé est créée dès que le site a été relié à un compte teamupdraft.com, et la case correspondante est cochée par défaut selon Patchstack. Vérifiez la présence de clés plutôt que de vous fier à votre mémoire.

Mes sauvegardes UpdraftPlus sont-elles encore fiables ?

Les sauvegardes stockées sur votre propre espace (Drive, Dropbox, S3…) ne sont pas touchées, selon l’éditeur, sauf si le site a été atteint via UpdraftCentral. Par précaution, TeamUpdraft conseille de réautoriser le stockage distant et de changer ses clés d’accès. Pour une restauration, choisissez une sauvegarde antérieure au 17 octobre.

Faut-il abandonner UpdraftPlus ?

Le plugin et ses téléchargements n’ont pas été modifiés : le problème vient du service en ligne de l’éditeur. Garder UpdraftPlus pour les sauvegardes reste raisonnable. En revanche, chaque connexion de gestion à distance inutile est un risque en plus.

Sources : TeamUpdraft, avis de sécurité d’octobre 2026 ; Patchstack, analyse de la campagne.