Clés UpdraftCentral volées : la porte dérobée qui se cache dans votre site WordPress
Votre site WordPress fait ses sauvegardes avec UpdraftPlus? C’est le module de sauvegarde le plus utilisé de WordPress, avec plus de quatre millions d’installations actives. La fin de semaine des 17 et 18 octobre, son éditeur, TeamUpdraft, a été piraté. Parmi les données volées : les clés de connexion d’UpdraftCentral, son service de gestion de sites à distance.
Ces clés permettent d’envoyer des ordres à un site WordPress sans mot de passe. Selon Patchstack, des pirates s’en sont servis du 18 octobre (11 h 32 HAE) au 19 octobre (5 h 23 HAE) pour installer des portes dérobées sur des sites connectés, avec des ordres correctement signés : du point de vue du site, tout semblait légitime. Le plus inquiétant, c’est ce que vous ne voyez pas dans votre tableau de bord.
UpdraftCentral : ce que vous voyez, et ce qui se passe vraiment
Patchstack a recensé 99 noms différents d’extensions malveillantes, déguisées en outils d’entretien ou d’optimisation. Nethemba, l’entreprise qui a découvert l’attaque sur trois de ses propres sites, précise qu’ils étaient tous à jour : l’attaquant n’a exploité aucune faille de leur côté, il avait simplement les bonnes clés.
Le compte qui se cache parmi vos éditeurs
Ce qu’il faut repérer
- 1Un « éditeur » créé le 18 ou le 19 octobre, avec une adresse @example.org ou @example.com, un nom en deux mots suivi de deux chiffres (par exemple data-ops43 ou media-staff96, deux noms confirmés par Patchstack) ou un nom affiché comme « Site Tools ». D’autres noms existent.
- 2Une des variantes ne crée aucun compte : elle connecte l’attaquant comme le premier administrateur existant. Dans ce cas, seuls les journaux du serveur et les fichiers sur le disque la révèlent.
Êtes-vous concerné par l’incident UpdraftCentral?
| Votre situation | Êtes-vous concerné? | Quoi faire |
|---|---|---|
| Vous utilisez UpdraftPlus et vous avez déjà relié votre site à un compte teamupdraft.com | Peut-être, sans le savoir | Selon Patchstack, la case « Ajouter ce site à UpdraftCentral » est cochée par défaut sur cet écran : une clé a pu être créée automatiquement. Vérifiez. |
| Votre site est géré à distance avec UpdraftCentral (version infonuagique) | Oui | Suivez la vérification d’une heure ci-dessous aujourd’hui, site par site. |
| Vous avez UpdraftPlus Premium, même sans UpdraftCentral | À vérifier | TeamUpdraft demande le 21 octobre à ces clients de chercher des extensions et des administrateurs inattendus. |
| Vous utilisez UpdraftCentral auto-hébergé | Non, selon TeamUpdraft | Mettez quand même UpdraftPlus à jour. |
| Vous utilisez UpdraftPlus seulement pour les sauvegardes, sans compte teamupdraft.com | Peu probable | Vérifiez la version et l’absence de clé : deux minutes. |
| Votre site n’est pas sur WordPress | Non | Rien à faire pour cet incident. |
☑️ Une clé créée sans le savoir
C’est le détail qui surprend : selon Patchstack, quand on relie un site à son compte teamupdraft.com, la case « Ajouter ce site à UpdraftCentral » est déjà cochée. Bien des propriétaires de PME qui n’utilisent UpdraftPlus que pour les sauvegardes ont donc une clé active. Et ces clés n’expirent pas : des clés créées en novembre 2025 fonctionnaient encore en octobre 2026.
La vérification d’une heure, site par site
⏱️
0–10 min
Mettre à jour et couper le lien
- Connectez-vous au tableau de bord du site lui-même, pas par UpdraftCentral.
- Vérifiez qu’UpdraftPlus est en version 1.26.13 (gratuite) ou 2.26.13 (Premium) ou plus récente. Nethemba signale qu’un bogue empêchait la 1.26.12 de retirer les clés.
- Réglages › UpdraftPlus › Outils avancés › UpdraftCentral › gérer les clés existantes : supprimez toutes les clés.
⏱️
10–25 min
Chercher les comptes
- Utilisateurs : regardez aussi les éditeurs, pas seulement les administrateurs.
- Toute personne inconnue, ou tout compte créé les 18 et 19 octobre, est suspect.
⏱️
25–40 min
Chercher les extensions
- Extensions, y compris l’onglet « Indispensables » (must-use) s’il apparaît.
- Comme une variante se cache du tableau de bord, demandez à votre hébergeur ou à votre fournisseur TI de chercher sur le disque la description « Small maintenance toolkit: keeps option storage tidy. », commune à tous les échantillons selon Patchstack.
⏱️
40–60 min
Fermer les autres portes
- Changez les mots de passe des administrateurs et de votre compte teamupdraft.com, et réinitialisez sa double authentification.
- Si le site a été touché par UpdraftCentral : réautorisez votre stockage distant (Google Drive, Dropbox, S3) et changez ses clés d’accès.
- Au moindre doute : restaurez une sauvegarde antérieure au 17 octobre.
La mise à jour 1.26.13 / 2.26.13, publiée le 19 octobre vers 17 h (HAE), coupe automatiquement les anciennes connexions UpdraftCentral. Elle empêche de nouveaux ordres, mais elle ne retire pas ce qui a déjà été installé. Patchstack conseille aussi de ne pas reconnecter le site tant que l’éditeur n’a pas expliqué la cause, et, si vous en avez besoin, de créer la clé avec un compte qui n’a pas le droit d’installer des extensions.
Ce qu’il faut avoir réuni à la fin
🧩
UpdraftPlus 1.26.13+
ou 2.26.13+ (Premium)
+
🧩
Clés supprimées
sur le site lui-même
+
🧩
Comptes et extensions passés en revue
éditeurs compris
+
🧩
Sauvegarde d’avant le 17 octobre
gardée hors du site
=
🛡️
Site vérifié
et lien de gestion à distance coupé jusqu’à ce que la cause soit expliquée
Questions fréquentes
Q1. Mon site affiche une erreur 500 depuis le 18 octobre. Est-ce lié?
Peut-être. Selon Patchstack, les premiers échantillons de la porte dérobée contenaient une erreur qui faisait planter les sites, et c’est ainsi que les premières victimes ont remarqué l’attaque. Ne cherchez pas à « réparer » l’extension fautive : retirez-la, après avoir supprimé la clé UpdraftCentral, sinon l’attaquant peut en envoyer une version corrigée.
Q2. Supprimer mon site du tableau de bord UpdraftCentral suffit-il?
Non. Patchstack précise que la clé qui compte est stockée sur le site lui-même. Il faut la supprimer depuis le tableau de bord du site. Vos sauvegardes continuent de fonctionner, seule la gestion à distance s’arrête.
Q3. Mes sauvegardes UpdraftPlus sont-elles compromises?
TeamUpdraft indique que le module et ses téléchargements n’ont pas été touchés, ni les sauvegardes envoyées vers votre propre stockage (Google Drive, Dropbox, Amazon S3). Par précaution, changez les clés de ce stockage si votre site a été joint par UpdraftCentral.
Q4. Qui est derrière l’attaque?
Ce n’est pas connu publiquement. TeamUpdraft dit avoir prévenu la police et l’autorité britannique de protection des données (ICO), et estime que la rapidité de l’attaque suggère l’usage de l’IA par les pirates.
Ce n’est pas la première fois qu’un outil de confiance sert de porte d’entrée : on l’a vu avec la clé volée de ConnectWise Cloud Backup et avec l’outil OVHcloud CLI piraté. Si votre site tourne aussi sur une ancienne version de PHP, lisez notre article sur la faille PHP critique du 21 octobre.
Chez NeoTech, notre service de création de sites web inclut les mises à jour et la revue des accès, et nos solutions de sauvegarde et de reprise après sinistre gardent une copie hors du site. Avec nos services de cybersécurité, une surveillance automatisée 24/7 avec intervention du technicien de garde signale les nouveaux comptes et les changements de fichiers inattendus.
Réservez votre Bilan cyber gratuit
Vous ne savez pas si votre site WordPress a une clé UpdraftCentral, ni qui y a accès? Le Bilan cyber gratuit commence par là : on passe en revue les comptes, les extensions et les sauvegardes de votre site, puis on vous remet un plan clair.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Sources
- TeamUpdraft : Security incident on teamupdraft.com: what customers need to know (19 octobre 2026, mis à jour le 21 octobre) (en anglais)
- Patchstack : Stolen UpdraftCentral Keys Are Backdooring WordPress Sites (19 octobre 2026) (en anglais)
- Nethemba : Critical security problem in UpdraftCentral (analyse et script de vérification, mise à jour le 22 octobre 2026) (en anglais)
- BleepingComputer : Stolen UpdraftCentral keys used to backdoor WordPress sites (20 octobre 2026) (en anglais)
Photo : Madison Inouye, Pexels (licence Pexels).