UpdraftPlus-Backdoor-Angriff: Was ist passiert und wie Sie Ihre Websites schützen können

Die kurze Antwort

Seit dem 18. Oktober 2026 installiert ein Angreifer Backdoor-Plugins auf WordPress-Seiten, auf denen UpdraftPlus läuft. Dabei nutzt er UpdraftCentral-Fernzugriffsschlüssel, die aus der Kundendatenbank von TeamUpdraft entwendet wurden. Nach Angaben von TeamUpdraft erfolgte der Zugriff auf diese Datenbank am Wochenende vom 17. bis 18. Oktober. Da die Befehle gültig signiert sind, wird ihre Ausführung durch ein Update von UpdraftPlus nicht verhindert.

So schützen Sie eine Website: Löschen Sie alle UpdraftCentral-Schlüssel darauf, suchen Sie nach der Hintertür und dem dazugehörigen versteckten Konto und sperren Sie den Kanal, den der Angreifer nutzt. In enger Zusammenarbeit mit Patchstack stellt WP Umbrella sein Sicherheits-Add-on für 30 Tage kostenlos auf jeder Website zur Verfügung, auf der UpdraftPlus installiert ist.

Artikel	Details
Typ	Kompromittierung eines Fernverwaltungsschlüssels führt zur Installation einer Hintertür
CVE	Keine: Dies ist kein Fehler im Code des Plugins.
Betroffen	Alle UpdraftPlus-Versionen – sowohl die kostenlose als auch die Premium-Version – auf Websites mit einem aktiven UpdraftCentral-Schlüssel
Erste Backdoor entdeckt	18. Oktober 2026, 15:32 Uhr (Patchstack-Telemetrie)
Korrigierte Version	Noch keine. TeamUpdraft bereitet eine Notfallversion vor.
Sofortige Lösung	Lösche die auf jeder Website gespeicherten UpdraftCentral-Schlüssel

Was ist mit UpdraftPlus los?

TeamUpdraft, das Unternehmen hinter UpdraftPlus, teilt mit, dass sich am Wochenende vom 17. bis 18. Oktober 2026 jemand unbefugten Zugriff auf teamupdraft.com verschafft habe und dass man davon ausgehe, dass auf die Kundendatenbank zugegriffen wurde. Zu den offengelegten Daten könnten Verbindungsschlüssel für UpdraftCentral, UpdraftVault und UpdraftClone gehören. TeamUpdraft gibt an, dass das UpdraftPlus-Plugin und dessen Downloads nicht betroffen seien.

Der Angreifer nutzt diese UpdraftCentral-Schlüssel, um Backdoor-Plugins auf verbundene WordPress-Seiten zu installieren. Patchstack verzeichnete die erste Installation am 18. Oktober um 15:32 Uhr, und die Installationen dauerten mindestens bis zum 19. Oktober um 09:23 Uhr an. Bislang wurden 99 verschiedene Namen von Backdoor-Plugins festgestellt.

Der Angriff wurde zuerst von Nethemba entdeckt, einem Sicherheitsunternehmen, das ihn am frühen Morgen des 19. Oktober auf drei seiner eigenen Websites feststellte und die erste Analyse veröffentlichte.

Warum lässt sich das Problem durch ein Update von UpdraftPlus nicht beheben?

Denn am Plugin selbst ist nichts defekt. Jede mit UpdraftCentral verbundene Website führt jeden Befehl aus, der mit dem privaten Schlüssel des Dashboards signiert ist, ohne dass eine Bestätigung erforderlich ist. Der Angreifer verfügt über echte Schlüssel, sodass seine Befehle alle vom Plugin durchgeführten Prüfungen bestehen. Patchstack bestätigt, dass die neuesten Versionen, 1.26.11 und 2.26.11, genauso betroffen sind wie ältere Versionen.

TeamUpdraft bereitet eine Notfallversion von UpdraftPlus vor, die alle vor dem 18. Oktober um 22:00 Uhr BST hergestellten UpdraftCentral-Verbindungen automatisch trennen wird. Ein genaues Datum wurde noch nicht genannt. Bis zur Veröffentlichung dieser Version stellen die bereits auf Ihren Websites gespeicherten Schlüssel eine Sicherheitslücke dar.

Dies ist ein anderes Problem als CVE-2026-10795, die UpdraftCentral-Sicherheitslücke, die im Juni 2026 in den Versionen 1.26.5 und 2.26.5 behoben wurde. Websites, die noch nicht auf diese Versionen aktualisiert wurden, sind beiden Sicherheitslücken ausgesetzt.

Welche Standorte sind betroffen?

Jede Website, auf der UpdraftPlus läuft – egal ob in der kostenlosen oder Premium-Version –, die über einen aktiven UpdraftCentral-Schlüssel verfügt. Viele Websites verfügen über einen solchen Schlüssel, ohne dass ihre Betreiber davon wissen. Wenn Sie in UpdraftPlus ein TeamUpdraft.com-Konto verknüpfen, ist das Kontrollkästchen, das die Website zu UpdraftCentral hinzufügt, standardmäßig aktiviert, sodass eine einzige Kontoverknüpfung ausreicht, um einen Schlüssel zu erstellen.

Schlüssel verfallen zudem nicht: Patchstack stellte fest, dass im November 2025 ausgestellte Schlüssel im Oktober 2026 noch immer funktionierten. Wenn Sie sich nicht sicher sind, ob eine Website jemals verbunden war, behandeln Sie sie als exponiert und überprüfen Sie sie anhand der folgenden Schritte.

Selbst gehostete UpdraftCentral-Installationen sind laut TeamUpdraft nicht betroffen.

Wie funktioniert die Hintertür?

1. Der Angreifer sendet eine signierte plugin.upload_plugin Befehl an den „UpdraftCentral“-Kanal der Website, der auf normale POST-Anfragen an das Stammverzeichnis der Website wartet.
2. WordPress installiert und aktiviert das Plugin über seinen Standard-Installer. Die meisten Instanzen erhalten einen zufälligen Namen aus zwei oder drei Wörtern; „Site Health Cache“ ist der am häufigsten wiederverwendete Name.
3. Das Plugin wartet auf ein geheimes, 32 Zeichen langes Token in einem URL-Parameter.
4. Sobald das Token eintrifft, erstellt es ein Konto mit einem fest programmierten Passwort, weist ihm die Rolle „Editor“ zu und fügt dann im Hintergrund die manage_options und install_plugins Fähigkeiten.
5. Der Angreifer wird durch das direkte Setzen eines Cookies angemeldet, wodurch das Anmeldeformular, die Zwei-Faktor-Authentifizierung und Plugins zum Anmeldeschutz umgangen werden.

Das Konto wird als „Redakteur“ angezeigt, sodass es bei der Überprüfung Ihrer Administratorliste übersehen wird. Es bleibt auch nach der Deinstallation des Plugins in WordPress bestehen.

Frühe Versionen enthielten einen Fehler, der dazu führte, dass betroffene Websites HTTP-500-Fehler zurückgaben – so wurden die ersten Opfer darauf aufmerksam. Patchstack warnt davor, ein solches Plugin zu reparieren: Durch die Behebung des Fehlers wird die Hintertür aktiviert.

Wie kann ich überprüfen, ob meine Website betroffen war?

1. Überprüfen Sie, ob die Website über einen UpdraftCentral-Schlüssel verfügt. Jede Ausgabe bedeutet, dass die Website angreifbar ist:

wp option get updraft_central_localkeys

Wenn Sie WP-CLI nicht verwenden, gehen Sie zu „Einstellungen“ → „UpdraftPlus-Backups“ → „Erweiterte Tools“ → „UpdraftCentral“. Die Meldung „Derzeit gibt es kein UpdraftCentral-Dashboard, über das diese Website verwaltet werden kann“ bedeutet, dass kein Schlüssel aktiv ist.

2. Suchen Sie nach dem Backdoor-Plugin. Die Namen variieren zwar, aber jedes bisher analysierte Beispiel enthält dieselbe Plugin-Beschreibung:

grep -rl "Small maintenance toolkit: keeps option storage tidy\." /var/www/*/wp-content/plugins/

3. Suchen Sie nach dem versteckten Konto. Suchen Sie nach der Funktion und nicht nach dem Namen, da es als „Editor“ getarnt ist:

wp db query "SELECT u.user_login,u.user_email FROM wp_users u JOIN wp_usermeta m ON m.user_id=u.ID WHERE m.meta_key='wp_capabilities' AND m.meta_value LIKE '%editor%' AND m.meta_value LIKE '%manage_options%'"

4. Überprüfen Sie Ihre Zugriffsprotokolle auf den Auslösepunkt für die Aktivierung. Ein Treffer bedeutet, dass die Hintertür genutzt und nicht nur installiert wurde:

grep -E '[?&]_[A-Za-z0-9]{4,10}=[A-Za-z0-9_]{32}([&"[:space:]]|$)' access.log

Weitere Anzeichen, die Patchstack auflistet: Benutzernamen, die aus zwei Wörtern und zwei Ziffern bestehen (data-ops43 und media-staff96 bestätigt sind), eine E-Mail-Adresse bei @example.org, den Anzeigenamen „Site Tools“ und eine Datenbankoption, die auf _sync_token. Der Angreifer nutzte die Adressen 43.250.53.42 und 2a09:bac5:4e21:2e3c::49b:9, wechselte diese jedoch innerhalb eines Tages, sodass das Blockieren von IP-Adressen keinen Schutz bietet.

Was soll ich jetzt tun?

Die Reihenfolge ist entscheidend.

1. Löschen Sie alle UpdraftCentral-Schlüssel auf der Website. In wp-admin: Einstellungen → UpdraftPlus-Backups → Erweiterte Tools → UpdraftCentral → Vorhandene Schlüssel verwalten, dann jeden einzelnen löschen. Oder führen Sie folgenden Befehl aus: wp option delete updraft_central_localkeys. Es reicht nicht aus, die Website aus dem UpdraftCentral-Dashboard zu entfernen, da sich der entscheidende Schlüssel auf der Website selbst befindet. Ihre Backups funktionieren weiterhin; lediglich die Fernverwaltung wird eingestellt.
2. Wenn Sie die Hintertür finden, löschen Sie zuerst den Schlüssel. Andernfalls kann der Angreifer eine Ersatzversion hochladen. Deaktivieren Sie das Plugin anschließend und verschieben Sie es aus dem Web-Stammverzeichnis, anstatt es in wp-admin zu löschen, da die Deinstallationsroutine ihre eigenen Spuren löscht. Entfernen Sie die _sync_token Option und das versteckte Konto.
3. Falls das Konto existiert oder der Trigger in Ihren Protokollen auftaucht, gehen Sie davon aus, dass die Website vollständig kompromittiert ist. Führen Sie eine Wiederherstellung aus einem vor dem 17. Oktober erstellten Backup durch, vergleichen Sie die Dateien mit einer sauberen Installation, überprüfen Sie jeden Benutzer mit erweiterten Berechtigungen, ändern Sie alle Administratorpasswörter, beenden Sie alle Sitzungen und aktivieren Sie die Zwei-Faktor-Authentifizierung.
4. Sichern Sie Ihr TeamUpdraft-Konto. TeamUpdraft bittet alle Inhaber eines teamupdraft.com-Kontos, ihr Passwort zu ändern, die Zwei-Faktor-Authentifizierung zurückzusetzen und auf E-Mails zu achten, die vorgeben, von TeamUpdraft zu stammen.
5. Seien Sie vorsichtig, wenn Sie die Verbindung zu UpdraftCentral wiederherstellen. Laut TeamUpdraft bleibt eine Site, die Sie manuell bereinigen und erneut verbinden, auch nach der Notfallfreigabe verbunden. Patchstack rät dazu, abzuwarten, bis TeamUpdraft die Ursache erläutert hat, und, falls Sie jetzt eine Fernverwaltung benötigen, den Schlüssel unter einem Konto ohne die install_plugins Fähigkeit.

Unsere Antwort: das „ WP Umbrella Security“-Add-on, 30 Tage lang kostenlos

Angesichts der Schwere und der außergewöhnlichen Natur dieses Vorfalls haben wir in enger Zusammenarbeit mit Patchstack beschlossen, unser Sicherheits-Add-on 30 Tage lang kostenlos für alle Websites anzubieten, auf denen UpdraftPlus installiert ist.

Dazu gehören:

• Virtuelles Patching. Blockiert diesen Angriff, indem der vom Angreifer genutzte Kanal unterbrochen wird, während Sie Ihre Schlüssel bereinigen.
• Malware-Scanner. Zeigt Ihnen an, ob eine Website bereits infiziert wurde. Ist dies der Fall, kümmert sich unser Team um die Bereinigung.
• Sicherheitsorientierte Aktivitätsprotokolle. Diese helfen Ihnen dabei, unerwartete Plugin-Installationen und Kontoänderungen zu erkennen – die beiden Spuren, die dieser Angriff hinterlässt.

So haben Sie genügend Zeit, alles aufzuräumen. Sobald Sie fertig sind, können Sie das Add-on deaktivieren.

Solange das Add-on aktiv ist, werden Ihre Websites in den UpdraftCentral-Dashboards als nicht erreichbar angezeigt. Geplante Backups laufen wie gewohnt weiter.

Kostenlosen Schutz aktivieren →

Zeitleiste

Datum (2026)	Veranstaltung
19. Oktober	WP Umbrella bietet sein Sicherheits-Add-on auf jeder UpdraftPlus-Website 30 Tage lang kostenlos an – mit Patchstack
19. Oktober	TeamUpdraft veröffentlicht eine Meldung zum Vorfall und kündigt eine Notfallversion an, ohne ein Datum zu nennen
19. Oktober	Patchstack setzt Schutzmaßnahmen um und beginnt damit, Remote-Befehle von UpdraftCentral zu blockieren
19. Oktober	Nethemba veröffentlicht seine Analyse und meldet den Vorfall an TeamUpdraft
19. Okt., 09:23 Uhr	Jüngste Installation einer Backdoor in den Telemetriedaten von Patchstack
19. Oktober, in den frühen Morgenstunden	Nethemba entdeckt den Angriff auf drei seiner eigenen Standorte
18. Oktober, 15:32 Uhr	Erste Installation einer Backdoor in der Patchstack-Telemetrie
17.–18. Oktober	Unbefugter Zugriff auf teamupdraft.com, laut TeamUpdraft
Juni	CVE-2026-10795, eine separate Sicherheitslücke in UpdraftCentral, die in UpdraftPlus 1.26.5 und 2.26.5 behoben wurde

Häufig gestellte Fragen

Ist die Nutzung von UpdraftPlus derzeit sicher?

Der Code des Plugins ist nicht kompromittiert, und die Backups auf Ihrem eigenen Speicher funktionieren weiterhin. Das Risiko geht von den auf Ihren Websites gespeicherten UpdraftCentral-Schlüsseln aus. Sobald diese gelöscht und die Website überprüft wurde, kann UpdraftPlus Ihre Backups weiterhin ausführen.

Wird die Sicherheitslücke durch ein Update von UpdraftPlus behoben?

Nein. Die Befehle des Angreifers sind mit echten Schlüsseln signiert, sodass jede Version sie akzeptiert, einschließlich 1.26.11 und 2.26.11. Die Notfallversion von TeamUpdraft wird ältere UpdraftCentral-Verbindungen trennen, hat jedoch noch kein Veröffentlichungsdatum und entfernt keine bereits installierte Hintertür.

Ich habe UpdraftCentral noch nie benutzt. Bin ich davon betroffen?

Nehmen wir das einmal an. Wenn Sie ein TeamUpdraft.com-Konto in UpdraftPlus verknüpfen, wird standardmäßig ein UpdraftCentral-Schlüssel erstellt. Führen Sie folgenden Befehl aus: wp option get updraft_central_localkeys oder sehen Sie zur Sicherheit auf der Registerkarte „UpdraftCentral“ nach.

Woran erkenne ich, ob meine Website gehackt wurde?

Suchen Sie nach einem Plugin mit der Beschreibung „Kleines Wartungstoolkit: sorgt für Ordnung im Optionsspeicher.“ sowie nach einem Editor-Konto, das ebenfalls manage_options, sowie den Auslösepunkt in Ihren Zugriffsprotokollen. Die vollständigen Überprüfungen finden Sie im obigen Abschnitt.

Gibt es dafür eine CVE-Nummer?

Nein. Es handelt sich um einen entscheidenden Kompromiss, nicht um einen Programmierfehler. Dies steht in keinem Zusammenhang mit CVE-2026-10795, das im Juni 2026 behoben wurde.

Was bietet „ WP Umbrella “ an?

Unser Sicherheits-Add-on (virtuelles Patching, Malware-Scanner und sicherheitsorientierte Aktivitätsprotokolle) ist in enger Zusammenarbeit mit Patchstack 30 Tage lang kostenlos auf jeder Website verfügbar, auf der UpdraftPlus installiert ist. Sollte eine Website angegriffen worden sein, kümmert sich unser Team um die Bereinigung. Aktivieren Sie es hier.