Attaque par la porte dérobée UpdraftPlus : ce qui s'est passé et comment protéger vos sites

La réponse en bref

Depuis le 18 octobre 2026, un pirate installe des plugins de porte dérobée sur des sites WordPress utilisant UpdraftPlus. Il utilise des clés d’accès à distance UpdraftCentral extraites de la base de données clients de TeamUpdraft, qui, selon TeamUpdraft, a fait l’objet d’une intrusion au cours du week-end du 17 au 18 octobre. Les commandes sont signées de manière valide ; leur mise à jour ne suffit donc pas à les bloquer.

Pour protéger un site : supprimez toutes les clés UpdraftCentral qui s'y trouvent, vérifiez la présence d'une porte dérobée et d'un compte caché, puis bloquez le canal utilisé par le pirate. En étroite collaboration avec Patchstack, WP Umbrella propose gratuitement son module complémentaire « Security » pendant 30 jours sur tous les sites où UpdraftPlus est installé.

Article	Détails
Type	Compromission d'une clé de gestion à distance entraînant l'installation d'une porte dérobée
CVE	Aucun : il ne s'agit pas d'un bug dans le code du plugin
Concernés	Toutes les versions d'UpdraftPlus, gratuites et premium, sur les sites disposant d'une clé UpdraftCentral active
Première porte dérobée détectée	18 octobre 2026, 15 h 32 (télémétrie Patchstack)
Version corrigée	Rien pour l'instant. L'équipe TeamUpdraft prépare une mise à jour d'urgence.
Solution immédiate	Supprimer les clés UpdraftCentral enregistrées sur chaque site

Qu'est-ce qui se passe avec UpdraftPlus ?

TeamUpdraft, la société à l'origine d'UpdraftPlus, indique qu'une personne a accédé sans autorisation au site teamupdraft.com au cours du week-end du 17 au 18 octobre 2026, et qu'elle pense que sa base de données clients a été consultée. Les données exposées pourraient inclure des clés de connexion pour UpdraftCentral, UpdraftVault et UpdraftClone. TeamUpdraft précise que le plugin UpdraftPlus et ses téléchargements n'ont pas été affectés.

Le pirate utilise ces clés UpdraftCentral pour installer des plugins de porte dérobée sur des sites WordPress connectés. Patchstack a enregistré la première installation à 15 h 32 le 18 octobre, et les installations se sont poursuivies au moins jusqu'à 9 h 23 le 19 octobre. À ce jour, 99 noms différents de plugins de porte dérobée ont été recensés.

L'attaque a été détectée pour la première fois par Nethemba, une société de sécurité qui l'a repérée sur trois de ses propres sites tôt dans la matinée du 19 octobre et qui a publié la première analyse.

Pourquoi la mise à jour d'UpdraftPlus ne résout-elle pas le problème ?

En effet, le plugin ne présente aucune faille. Chaque site connecté à UpdraftCentral exécute toute commande signée avec la clé privée du tableau de bord, sans demander de confirmation à qui que ce soit. L'attaquant disposant de clés authentiques, ses commandes passent tous les contrôles effectués par le plugin. Patchstack confirme que les dernières versions, 1.26.11 et 2.26.11, sont concernées au même titre que les versions antérieures.

TeamUpdraft prépare une mise à jour d'urgence d'UpdraftPlus qui déconnectera automatiquement les connexions à UpdraftCentral établies avant 22 h 00 (BST) le 18 octobre. Aucune date n'a été communiquée. En attendant cette mise à jour, les clés déjà enregistrées sur vos sites constituent une faille de sécurité.

Il s'agit d'un problème distinct de la vulnérabilité CVE-2026-10795, liée à UpdraftCentral, qui a été corrigée en juin 2026 dans les versions 1.26.5 et 2.26.5. Les sites qui n'ont pas encore effectué la mise à jour vers ces versions sont exposés aux deux vulnérabilités.

Quels sont les sites concernés ?

Tout site utilisant UpdraftPlus, en version gratuite ou premium, qui dispose d'une clé UpdraftCentral active. De nombreux sites en possèdent une à l'insu de leurs propriétaires. Lorsque vous connectez un compte TeamUpdraft.com dans UpdraftPlus, une case à cocher permettant d'ajouter le site à UpdraftCentral est cochée par défaut ; il suffit donc d'une seule connexion de compte pour créer une clé.

De plus, les clés n'ont pas de date d'expiration : Patchstack a constaté que des clés émises en novembre 2025 fonctionnaient encore en octobre 2026. Si vous ne savez pas avec certitude si un site a déjà été connecté, considérez-le comme exposé et vérifiez-le en suivant les étapes ci-dessous.

Selon TeamUpdraft, les installations auto-hébergées d'UpdraftCentral ne sont pas concernées.

Comment fonctionne cette porte dérobée ?

L'attaquant envoie un fichier signé plugin.upload_plugin commande vers la chaîne UpdraftCentral du site, qui écoute les requêtes POST standard adressées à la racine du site.
WordPress installe et active le plugin via son programme d'installation standard. La plupart des instances se voient attribuer un nom aléatoire composé de deux ou trois mots ; « Site Health Cache » est le nom le plus souvent réutilisé.
Le plugin attend un jeton secret de 32 caractères dans un paramètre d'URL.
Lorsque le jeton arrive, il crée un compte avec un mot de passe prédéfini, lui attribue le rôle « Éditeur », puis ajoute discrètement le manage_options et install_plugins capacités.
Il connecte l'attaquant en créant directement un cookie, ce qui permet de contourner le formulaire de connexion, l'authentification à deux facteurs et les extensions de protection de la connexion.

Ce compte apparaît comme « Rédacteur », ce qui fait qu'il n'apparaît pas lorsque vous consultez la liste des administrateurs. Il reste également dans WordPress après la désinstallation du plugin.

Les premières versions contenaient un bug qui provoquait l'affichage d'erreurs HTTP 500 sur les sites affectés ; c'est ainsi que les premières victimes s'en sont aperçues. Patchstack recommande de ne pas corriger ce plugin : la correction de l'erreur active en effet la porte dérobée.

Comment puis-je vérifier si mon site a été piraté ?

1. Vérifiez si le site dispose d'une clé UpdraftCentral. Toute sortie indique que le site est vulnérable :

wp option get updraft_central_localkeys

Si vous n'utilisez pas WP-CLI, rendez-vous dans Paramètres → Sauvegardes UpdraftPlus → Outils avancés → UpdraftCentral. Le message « Aucun tableau de bord UpdraftCentral n'est actuellement en mesure de contrôler ce site » signifie qu'aucune clé n'est active.

2. Recherchez le plugin de la porte dérobée. Les noms varient, mais tous les échantillons analysés jusqu’à présent comportent la même description du plugin :

grep -rl "Small maintenance toolkit: keeps option storage tidy\." /var/www/*/wp-content/plugins/

3. Recherchez le compte caché. Effectuez votre recherche par fonction et non par nom, car il se présente sous l'apparence d'un « Éditeur » :

wp db query "SELECT u.user_login,u.user_email FROM wp_users u JOIN wp_usermeta m ON m.user_id=u.ID WHERE m.meta_key='wp_capabilities' AND m.meta_value LIKE '%editor%' AND m.meta_value LIKE '%manage_options%'"

4. Vérifiez vos journaux d'accès pour repérer le déclencheur d'activation. Si vous trouvez une correspondance, cela signifie que la porte dérobée a été utilisée, et pas seulement installée :

grep -E '[?&]_[A-Za-z0-9]{4,10}=[A-Za-z0-9_]{32}([&"[:space:]]|$)' access.log

Autres indices répertoriés par Patchstack : les noms d'utilisateur composés de deux mots suivis de deux chiffres (data-ops43 et media-staff96 sont confirmés), une adresse e-mail se terminant par @example.org, le nom d'affichage « Outils du site » et une option de base de données se terminant par _sync_token. L'attaquant a utilisé les adresses 43.250.53.42 et 2a09:bac5:4e21:2e3c::49b:9, mais les a changées au cours de la journée ; le blocage des adresses IP ne vous protégera donc pas.

Que dois-je faire maintenant ?

L'ordre a son importance.

Supprimez toutes les clés UpdraftCentral présentes sur le site. Dans wp-admin : Paramètres → Sauvegardes UpdraftPlus → Outils avancés → UpdraftCentral → Gérer les clés existantes, puis supprimez-les une par une. Ou exécutez wp option delete updraft_central_localkeys. Il ne suffit pas de supprimer le site du tableau de bord d'UpdraftCentral, car la clé essentielle se trouve sur le site lui-même. Vos sauvegardes continuent de fonctionner ; seule la gestion à distance est interrompue.
Si vous trouvez la porte dérobée, supprimez d'abord la clé. Sinon, l'attaquant pourrait injecter une version altérée. Dans ce cas, désactivez le plugin et déplacez-le hors du répertoire racine du site plutôt que de le supprimer via wp-admin, car sa routine de désinstallation efface ses propres traces. Supprimez le fichier _sync_token cette option et le compte masqué.
Si le compte existe ou si le déclencheur apparaît dans vos journaux, considérez que le site a été entièrement compromis. Effectuez une restauration à partir d'une sauvegarde effectuée avant le 17 octobre, comparez les fichiers avec ceux d'une installation vierge, passez en revue tous les utilisateurs disposant de privilèges supplémentaires, modifiez tous les mots de passe des administrateurs, mettez fin à toutes les sessions et activez l'authentification à deux facteurs.
Sécurisez votre compte TeamUpdraft. TeamUpdraft demande à tous les titulaires d'un compte teamupdraft.com de modifier leur mot de passe, de reconfigurer l'authentification à deux facteurs et de rester vigilants face aux e-mails qui semblent provenir de TeamUpdraft.
Faites attention lorsque vous vous reconnectez à UpdraftCentral. TeamUpdraft indique qu'un site que vous nettoyez et reconnectez manuellement restera connecté après sa mise à jour d'urgence. Patchstack recommande d'attendre que TeamUpdraft explique la cause du problème et, si vous avez besoin d'une gestion à distance dès maintenant, de créer la clé sous un compte ne comportant pas le install_plugins capacité.

Notre réponse : le module complémentaire « WP Umbrella Security », gratuit pendant 30 jours

Compte tenu de la gravité et du caractère exceptionnel de cet incident, nous avons décidé, en étroite collaboration avec Patchstack, d'offrir gratuitement notre module complémentaire de sécurité pendant 30 jours sur tous les sites web sur lesquels UpdraftPlus est installé.

Il comprend :

Correction virtuelle. Bloque cette attaque en coupant le canal utilisé par le pirate, le temps que vous nettoyiez vos clés.
Analyseur de logiciels malveillants. Il vous indique si un site a déjà été infecté. Si c'est le cas, notre équipe se charge du nettoyage.
Journaux d'activité axés sur la sécurité. Ils vous aident à repérer les installations inattendues de plugins et les modifications apportées aux comptes, les deux traces laissées par cette attaque.

Cela vous laissera le temps de tout nettoyer. Une fois que ce sera fait, vous pourrez désactiver l'extension.

Tant que l'extension est active, les tableaux de bord d'UpdraftCentral afficheront vos sites comme étant inaccessibles. Les sauvegardes programmées continuent de s'exécuter normalement.

Activer la protection gratuite →

Chronologie

Date (2026)	Événement
19 octobre	WP Umbrella propose gratuitement son module complémentaire de sécurité pendant 30 jours sur chaque site UpdraftPlus, grâce à Patchstack
19 octobre	TeamUpdraft publie un avis d'incident et annonce une mise à jour d'urgence, sans préciser de date
19 octobre	Patchstack déploie des règles de protection et commence à bloquer les commandes à distance d'UpdraftCentral
19 octobre	Nethemba publie son analyse et signale l'incident à TeamUpdraft
19 oct., 09 h 23	Installation de porte dérobée la plus récente dans les données télémétriques de Patchstack
19 octobre, aux premières heures du matin	Nethemba détecte une attaque visant trois de ses propres sites
18 oct., 15 h 32	Première installation d'une porte dérobée dans la télémétrie de Patchstack
17 et 18 octobre	Accès non autorisé au site teamupdraft.com, selon TeamUpdraft
juin	CVE-2026-10795, une autre faille d'UpdraftCentral, corrigée dans les versions 1.26.5 et 2.26.5 d'UpdraftPlus

Foire aux questions

Peut-on utiliser UpdraftPlus en toute sécurité en ce moment ?

Le code du plugin n'est pas compromis, et les sauvegardes vers votre propre espace de stockage continuent de fonctionner. Le risque provient des clés UpdraftCentral stockées sur vos sites. Une fois celles-ci supprimées et le site vérifié, UpdraftPlus peut continuer à effectuer vos sauvegardes.

La mise à jour d'UpdraftPlus permet-elle de corriger cette faille de sécurité ?

Non. Les commandes de l'attaquant sont signées à l'aide de clés authentiques ; elles sont donc acceptées par toutes les versions, y compris les versions 1.26.11 et 2.26.11. La mise à jour d'urgence de TeamUpdraft interrompra les connexions aux anciennes versions d'UpdraftCentral, mais aucune date n'a encore été fixée pour celle-ci et elle ne supprimera pas une porte dérobée déjà installée.

Je n'ai jamais utilisé UpdraftCentral. Suis-je concerné ?

Partons de ce principe. La connexion d'un compte TeamUpdraft.com dans UpdraftPlus génère par défaut une clé UpdraftCentral. Exécutez wp option get updraft_central_localkeys ou consultez l'onglet « UpdraftCentral » pour vous en assurer.

Comment savoir si mon site a été piraté ?

Recherchez un plugin décrit comme « Petite boîte à outils de maintenance : permet de garder l'espace de stockage des options bien rangé. », un compte Editor qui dispose également de manage_options, ainsi que le déclencheur d'activation dans vos journaux d'accès. Vous trouverez la liste complète des vérifications dans la section ci-dessus.

Y a-t-il un CVE pour cela ?

Non. Il s'agit d'un compromis essentiel, et non d'une faille de code. Cela n'a aucun rapport avec la vulnérabilité CVE-2026-10795, qui a été corrigée en juin 2026.

Que propose « WP Umbrella » ?

Notre module complémentaire de sécurité (correctifs virtuels, analyseur de logiciels malveillants et journaux d'activité axés sur la sécurité) est gratuit pendant 30 jours sur tous les sites où UpdraftPlus est installé, en étroite collaboration avec Patchstack. Si un site a été piraté, notre équipe se charge de le nettoyer. Activez-le ici.