WordPress : des clés UpdraftCentral compromises utilisées pour installer des portes dérobées
Dans son communiqué publié le 19 octobre 2026 et actualisé depuis, TeamUpdraft confirme une intrusion détectée pendant le week-end des 17 et 18 octobre. Sa base clients pourrait avoir été consultée, avec notamment des clés de connexion à ses services.
Des clés UpdraftCentral compromises ont permis de créer des comptes privilégiés et d’installer des extensions malveillantes sur des sites WordPress connectés. Patchstack a documenté une campagne de déploiement de portes dérobées les 18 et 19 octobre. Il s’agit d’une compromission de clés de gestion distante, sans nouvel identifiant CVE associé à une faille du code d’UpdraftPlus.
UpdraftPlus 1.26.13 et 2.26.13 révoquent les anciennes connexions UpdraftCentral concernées. L’éditeur indique que cette mesure bloque ce vecteur d’accès. Elle ne garantit toutefois pas le nettoyage d’un site déjà compromis.
Les administrateurs doivent contrôler la version installée, les extensions inconnues, les nouveaux comptes et les journaux d’accès. L’actualisation du 22 octobre souligne en particulier la présence possible de comptes « éditeur » inattendus et recommande de vérifier les sites listés dans UpdraftCentral.
TeamUpdraft demande également aux titulaires d’un compte de changer leur mot de passe. L’étendue définitive des compromissions reste inconnue : une inspection du site demeure nécessaire après la révocation des clés.
Sources :
TeamUpdraft, communiqué officiel du 19 octobre, mises à jour consultées le 23 octobre 2026
