Le piratage du site de TeamUpdraft, l’éditeur de l’extension de sauvegarde UpdraftPlus, a livré à des attaquants les clés de connexion du service UpdraftCentral. Les 18 et 19 octobre, ces clés ont servi à installer des extensions malveillantes sur des sites WordPress reliés à ce tableau de bord. La mise à jour publiée le 19 octobre coupe les anciennes connexions, mais elle ne nettoie pas un site déjà touché : chaque administrateur doit contrôler lui-même comptes et extensions.
Ce qui s’est passé chez TeamUpdraft
Selon The Hacker News, l’éditeur a repéré un accès non autorisé à son site teamupdraft.com au cours du week-end des 17 et 18 octobre 2026. Sa base clients, probablement consultée, contenait des noms, des adresses électroniques et de facturation, l’historique des commandes, des mots de passe sous forme hachée, les réglages de double authentification et, surtout, les clés qui relient les sites aux services UpdraftCentral, UpdraftVault et UpdraftClone.
TeamUpdraft assure ne conserver aucune donnée de carte bancaire, les paiements passant par Stripe et PayPal, rapporte CSO Online. L’extension elle-même, ses téléchargements et les sauvegardes rangées chez les clients (Google Drive, Dropbox, Amazon S3) ne seraient pas compromis. L’éditeur dit avoir renouvelé les identifiants concernés et signalé l’incident à l’ICO, l’autorité britannique de protection des données.
Comment des clés légitimes ont ouvert la porte
UpdraftCentral permet de piloter plusieurs sites WordPress depuis un même tableau de bord. Chaque copie d’UpdraftPlus embarque la partie « client » de ce service, et l’extension dépasse les quatre millions d’installations actives selon The Hacker News (Search Engine Journal évoque plus de trois millions de sites). Munis de clés authentiques, les attaquants ont envoyé des ordres signés que les sites ont pris pour ceux de leur propriétaire : de simples requêtes adressées à la racine du site, selon les observations de Patchstack relayées par The Hacker News.
Patchstack a observé une campagne ininterrompue d’environ 18 heures : un ordre d’envoi d’extension, que WordPress installe et active ensuite normalement. Pour cette société de sécurité, il ne s’agit pas d’une faille d’UpdraftPlus, puisque les ordres étaient « correctement chiffrés et signés ». Autre point relevé par Search Engine Journal : la gestion à distance était cochée par défaut lorsqu’on reliait un site à un compte TeamUpdraft. Un site utilisé pour les seules sauvegardes pouvait donc garder une clé active à l’insu de son propriétaire.
Ce que font les extensions piégées
Patchstack a recensé 99 noms d’extensions différents, maquillés en utilitaires de maintenance ou d’optimisation : « Site Health Cache », « Content Helper », « Speed Kit 300 » ou encore « Link Latch », d’après The Hacker News.
La société Nethemba, dont trois sites ont été visés et deux ont reçu une extension malveillante, a détaillé le mécanisme. Sur réception d’un jeton secret glissé dans l’adresse, la porte dérobée crée un compte « data-ops43 », affiché sous le nom « Site Tools », doté du rôle d’éditeur mais aussi du droit de modifier les réglages et d’installer des extensions. Ce compte, dont l’attaquant connaît le mot de passe, reste en place si l’extension est supprimée. Une variante plus récente crée directement un administrateur complet ou se connecte sous l’identité d’un administrateur existant.
D’autres comptes suspects ont été relevés, comme « system_team850 » ou « web.tech988 », avec une adresse en @example.com et des noms affichés passe-partout (« System Team », « Web Tech »). Adresses IP signalées : 43.250.53.42 et 2a09:bac5:4e21:2e3c::49b:9.
Que vérifier sur chaque site, même à jour
Les versions 1.26.13 (gratuite) et 2.26.13 (Premium), diffusées automatiquement par WordPress.org, déconnectent toute liaison UpdraftCentral créée avant 22 heures, heure britannique, le 18 octobre ; la 1.26.13 rectifie la façon dont la version précédente appliquait cette révocation. Mais CSO Online et Search Engine Journal insistent sur un point : la mise à jour ne retire ni les extensions déjà posées ni les comptes créés par l’attaquant, et CSO Online précise qu’elle ne ferme pas davantage les sessions ouvertes.
Les consignes de l’éditeur et des chercheurs, en résumé :
- se connecter directement à l’administration WordPress de chaque site, sans passer par UpdraftCentral ;
- vérifier que la version installée atteint au moins 1.26.13 ou 2.26.13 ;
- supprimer la clé restante dans Réglages, UpdraftPlus, Outils avancés, UpdraftCentral ;
- passer en revue les utilisateurs, éditeurs compris, à la recherche de comptes inconnus ou de droits inhabituels ;
- contrôler la liste des extensions, onglet « Must-Use » inclus s’il apparaît ;
- changer les mots de passe des administrateurs et celui du compte TeamUpdraft, puis réinitialiser la double authentification ;
- en cas de doute, restaurer une sauvegarde antérieure au 17 octobre, puis renouveler les clés d’accès au stockage distant.
Il faut aussi se méfier de tout courriel inattendu signé TeamUpdraft, puisque les adresses des clients figuraient dans la base consultée.
Pourquoi l’affaire dépasse UpdraftPlus
Patchstack rappelle qu’il s’agit du deuxième incident sur ce canal en cinq mois. En juin, une faille notée 8,1 sur 10 permettait déjà de fabriquer des ordres UpdraftCentral sans clé, grâce à un ancien format de message non signé ; les sites restés à une version antérieure aux correctifs 1.26.5 et 2.26.5 cumulent les deux risques.
Un outil de gestion à distance agit comme un passe-partout. Pour les agences et les indépendants qui gèrent des dizaines de sites clients, l’enjeu est d’inventorier les connexions actives, de couper celles qui ne servent plus et de surveiller les créations de comptes, sans se reposer sur la seule mise à jour.
Questions fréquentes
Mon site est-il concerné si je n’utilise pas UpdraftCentral ?
Le risque vise les sites qui avaient une clé active vers la version hébergée d’UpdraftCentral pendant l’incident. La gestion à distance s’activant par défaut, mieux vaut vérifier la présence d’une clé. Selon l’éditeur, les installations auto-hébergées d’UpdraftCentral ne sont pas touchées.
La mise à jour automatique suffit-elle ?
Non. Elle rend les anciennes clés inutilisables, mais laisse en place les extensions et les comptes ajoutés par l’attaquant.
Mes coordonnées bancaires ont-elles fuité ?
D’après TeamUpdraft, aucune donnée de carte n’était stockée sur ses serveurs. Noms, adresses et mots de passe hachés ont en revanche probablement été consultés : changer de mot de passe s’impose.
Sources
- Attackers Abuse UpdraftCentral Keys to Plant Backdoors on WordPress Sites — The Hacker News, 2026-10-21
- WordPress sites compromised after TeamUpdraft credential exposure — CSO Online, 2026-10-21
- UpdraftPlus WordPress Plugin Security Breach Enables Backdoor Attacks — Search Engine Journal, 2026-10-21