UpdraftPlus : des clés UpdraftCentral volées ont servi à pirater des sites ⚠️

Une extension de sauvegarde doit vous sortir d’un mauvais pas, pas vous y mettre. C’est pourtant par UpdraftPlus que des sites WordPress ont été piratés le week-end dernier. L’incident vient d’un vol de données chez l’éditeur, si bien qu’un site parfaitement à jour pouvait être touché. Si vous découvrez des traces suspectes, notre équipe peut prendre en charge le nettoyage de votre site WordPress piraté.

Que s’est-il passé chez UpdraftPlus ?

Des pirates ont pénétré le site teamupdraft.com et récupéré la base de données clients, qui contenait notamment les clés de connexion d’UpdraftCentral. UpdraftCentral est le tableau de bord qui permet de piloter plusieurs sites WordPress à distance : mises à jour, sauvegardes, installation d’extensions. Détenir la clé d’un site permet de lui donner des ordres sans passer par la page de connexion.

D’après l’annonce officielle de TeamUpdraft, l’intrusion a été repérée les 17 et 18 octobre 2026. La base contenait aussi les noms, adresses e-mail et postales, l’historique des commandes, les mots de passe sous forme chiffrée (hachée) et les réglages de double authentification des clients. Les cartes bancaires n’étaient pas stockées, les paiements passant par Stripe et PayPal.

Patchstack a observé une campagne continue du 18 octobre à 15 h 32 UTC au 19 octobre à 9 h 23 UTC, avec 99 noms différents d’extensions piégées. Elles se font passer pour des outils de maintenance, avec des noms anodins comme « Site Health Cache ». Selon BleepingComputer, environ 10 % des sites qui utilisent UpdraftPlus disposent d’une clé UpdraftCentral ou Migrator, soit potentiellement 400 000 sites exposés. Le nombre de sites réellement piratés reste inconnu.

Ce que fait la porte dérobée

Une porte dérobée est un accès caché que le pirate se réserve pour revenir quand il veut. Ici, l’extension piégée crée un compte au rôle Éditeur doté de droits supplémentaires, dont celui d’installer des extensions et de se promouvoir administrateur, puis connecte l’attaquant directement, ce qui contourne la page de connexion, la double authentification et les extensions de protection. Point important : ce compte survit à la suppression de l’extension piégée.

Votre site est-il concerné ?

Votre site est exposé s’il utilise UpdraftPlus, en version gratuite ou Premium, et s’il possédait une clé de connexion UpdraftCentral dans sa version hébergée par l’éditeur (UpdraftCentral Cloud). Toutes les versions d’UpdraftPlus antérieures au correctif étaient concernées, même les plus récentes, puisque le problème ne tenait pas au code de l’extension.

• Risque élevé : vous ou votre prestataire gérez le site depuis UpdraftCentral Cloud, ou vous ne savez pas si une clé a été créée un jour.
• À vérifier quand même : vous avez un compte Premium sur teamupdraft.com, même sans avoir jamais utilisé UpdraftCentral. L’éditeur demande à ces clients de contrôler leurs sites.
• Non concernés selon l’éditeur : UpdraftCentral auto-hébergé, les fichiers de l’extension elle-même et les sauvegardes envoyées sur votre propre stockage (Google Drive, Dropbox, Amazon S3…).

Comment protéger votre site WordPress dès maintenant ?

Le premier geste consiste à mettre à jour UpdraftPlus en version 1.26.13 (gratuite) ou 2.26.13 (Premium), qui révoque les clés UpdraftCentral créées avant l’incident. La version 1.26.12, publiée le même jour, contenait un bogue qui empêchait cette révocation, comme le précise le journal des modifications sur WordPress.org. Connectez-vous ensuite directement à l’administration de chaque site, sans passer par UpdraftCentral, et suivez ces étapes :

1. vérifiez dans Extensions > Extensions installées que la version d’UpdraftPlus est bien 1.26.13 ou 2.26.13 au minimum ;
2. allez dans Réglages > UpdraftPlus > Outils avancés > UpdraftCentral et supprimez toute clé de connexion, même si la mise à jour est censée l’avoir fait ;
3. dans Utilisateurs, cherchez tout administrateur ou éditeur que vous ne connaissez pas, en particulier un éditeur récent au nom générique ;
4. dans Extensions, y compris l’onglet des extensions indispensables (« Must-Use ») s’il apparaît, repérez toute extension inconnue au nom de maintenance ou d’optimisation ;
5. changez les mots de passe de tous les administrateurs et activez la double authentification.

Si vous êtes client Premium, changez aussi votre mot de passe sur teamupdraft.com en tapant l’adresse vous-même, réinitialisez la double authentification et méfiez-vous des e-mails qui prétendent venir de l’éditeur. Les sites UpdraftVault ont été déconnectés : pensez à reconnecter ce stockage, sans quoi vos sauvegardes ne partent plus. Pour garder des copies saines, notre guide pour effectuer des sauvegardes de son site WordPress reste d’actualité.

Que faire si vous trouvez une extension suspecte ?

Si une extension inconnue apparaît, supprimez d’abord la clé UpdraftCentral, sinon le pirate peut la réinstaller. Patchstack conseille ensuite de la désactiver et de la sortir du site plutôt que de la supprimer depuis l’administration, puis d’effacer le compte caché. Le plus sûr reste de restaurer une sauvegarde antérieure au 17 octobre et de changer tous les accès. À ce stade, une analyse complète s’impose : notre article pour détecter les malwares sur son site WordPress explique les signes à surveiller.

Pourquoi cet incident change la donne pour les outils de gestion à distance ?

Parce qu’il prouve qu’un site peut être piraté sans la moindre faille dans son code, simplement parce qu’un service tiers détenait ses clés. Avec la version piégée de Rank Math PRO révélée la même semaine, cela confirme que les éditeurs d’extensions sont devenus une cible à part entière.