Vérifier si votre site WordPress a reçu une porte dérobée via UpdraftPlus

Si votre site WordPress utilise UpdraftPlus pour ses sauvegardes, en version gratuite ou Premium, et qu'il a un jour été relié à un compte teamupdraft.com ou à UpdraftCentral, cet article est pour vous, que vous soyez dirigeant ou agence. Mi-octobre 2026, l'éditeur TeamUpdraft a été piraté et des clés de son service de gestion à distance, UpdraftCentral, ont servi à installer des portes dérobées sur des sites connectés. Le correctif publié depuis coupe l'accès, mais ne nettoie pas un site déjà touché. Vous trouverez ici comment vérifier si votre site a reçu une porte dérobée via UpdraftPlus, dans quel ordre agir, et quand restaurer une sauvegarde.

Ce qui s'est passé, en quelques dates

D'après le communiqué de TeamUpdraft, l'éditeur a détecté un accès non autorisé à teamupdraft.com « le week-end des 17 et 18 octobre ». Sa base clients a probablement été consultée : noms, e-mails, adresses de facturation, historique des commandes, mots de passe stockés sous forme hachée, réglages de double authentification, et clés de connexion UpdraftCentral, UpdraftVault et UpdraftClone. L'éditeur précise ne stocker aucune donnée de carte bancaire. L'extension elle-même et ses téléchargements n'ont pas été modifiés, précise l'éditeur.

Selon Patchstack, les installations de portes dérobées ont été observées entre le 18 octobre à 15h32 et le 19 octobre à 9h23 (heures publiées sans fuseau horaire). Patchstack lui attribue sa propre note de 9,8 sur 10, sans numéro CVE ni score officiel, car il ne s'agit pas d'une faille de code mais de clés volées.

TeamUpdraft a ensuite publié UpdraftPlus 1.26.13 (gratuit) et 2.26.13 (Premium), qui révoquent les anciennes clés UpdraftCentral (publiées le 19 octobre peu après 23h, heure de Paris). Selon l'éditeur, WordPress.org a poussé cette mise à jour à tous les sites. La liste d'étapes du même communiqué cite encore 1.26.12 et 2.26.12, mais elle annonce aussi une version « pas encore disponible » : c'est sans doute un reste d'avant la sortie (déduction de notre part). Retenez 1.26.13 ou 2.26.13, ou une version plus récente.

Comprendre pourquoi le site a obéi

Le client UpdraftCentral est inclus dans chaque copie d'UpdraftPlus. Une fois qu'une clé est créée, le site exécute toute commande signée par le tableau de bord, sans confirmation. Patchstack précise qu'une clé peut être créée sans le savoir : en connectant un compte teamupdraft.com, une case « ajouter ce site à UpdraftCentral » est cochée par défaut.

Les commandes de l'attaquant étaient signées avec les vraies clés. Du point de vue du site, elles étaient donc légitimes : toutes les vérifications passaient. C'est pourquoi aucune mise à jour antérieure ne protégeait.

La porte dérobée crée ensuite un compte qui s'affiche comme « Éditeur », mais auquel elle ajoute deux droits : installer des extensions et gérer les réglages. Selon Patchstack, cela suffit pour exécuter du code et se promouvoir administrateur. Un contrôle de la seule liste des administrateurs ne le voit donc pas. C'est la même logique que nous décrivions pour les droits réels d'un compte WordPress : ce qui compte, ce sont les capacités, pas le nom du rôle.

Enfin, la connexion se fait en posant directement un cookie, sans passer par le formulaire de connexion. La double authentification et les extensions de protection de la connexion ne s'exécutent donc jamais.

Pourquoi la mise à jour d'UpdraftPlus ne suffit pas

La version 1.26.13 / 2.26.13 empêche les anciennes clés de servir. Mais si une porte dérobée a été installée avant, elle reste. Patchstack précise que le compte créé survit même à la suppression de l'extension, et que l'attaquant en connaît le mot de passe. Patchstack demande de faire la vérification même si vous n'avez jamais utilisé UpdraftCentral, à cause de la case cochée par défaut ; TeamUpdraft le demande aussi aux utilisateurs de la version Premium.

Le guide de vérification, dans l'ordre

1. Mettre à jour UpdraftPlus en 1.26.13 ou 2.26.13 au minimum, en vous connectant au tableau de bord du site lui-même, pas via UpdraftCentral.
2. Supprimer les clés UpdraftCentral : Réglages > UpdraftPlus > Outils avancés > UpdraftCentral, puis supprimer chaque clé (libellés traduits par nous depuis le communiqué en anglais). Retirer le site du tableau de bord UpdraftCentral ne suffit pas : la clé qui compte est sur le site. Les sauvegardes continuent de fonctionner.
3. Chercher les comptes « Éditeur » qui ont trop de droits, pas seulement les administrateurs inconnus. Signes cités par Patchstack : un identifiant fait de deux mots et deux chiffres (exemples confirmés : data-ops43, media-staff96), une adresse en @example.org, le nom affiché « Site Tools ».
4. Chercher une extension inconnue, y compris dans l'onglet des extensions « Must-Use ». Patchstack a relevé 99 noms différents ; le plus fréquent est « Site Health Cache ». L'indice le plus fiable est la description, identique sur tous les échantillons : « Small maintenance toolkit: keeps option storage tidy. »
5. Chercher en base une option se terminant par _sync_token.
6. Regarder si votre site a renvoyé des erreurs 500 à partir du 18 octobre : les échantillons analysés contenaient une erreur de code qui faisait planter le site. Des e-mails d'erreur WordPress citant une extension inconnue sont un autre signe.

Pour l'agence ou le développeur, Patchstack fournit des commandes prêtes à l'emploi, par exemple :

wp option get updraft_central_localkeys
grep -rl "Small maintenance toolkit: keeps option storage tidy\." wp-content/plugins/

La première affiche une clé si le site est exposé ; la seconde trouve l'extension piégée. L'article de Patchstack donne aussi la requête qui repère les comptes « Éditeur » dotés du droit manage_options, et le motif à chercher dans les journaux d'accès pour savoir si la porte dérobée a été utilisée.

Si vous trouvez la porte dérobée

L'ordre compte. Patchstack recommande de supprimer d'abord la clé UpdraftCentral, sinon l'attaquant peut renvoyer une version corrigée. Ensuite, désactivez l'extension et déplacez-la hors du dossier public, plutôt que de la supprimer depuis l'administration : sa routine de désinstallation efface ses propres traces. Supprimez enfin l'option _sync_token et le compte caché.

Ne réparez jamais l'extension piégée. Patchstack est explicite : corriger l'erreur qui fait planter le site active la porte dérobée.

Quand restaurer une sauvegarde d'avant le 17 octobre

Selon Patchstack, si le compte caché existe ou si le motif d'activation apparaît dans vos journaux d'accès, le site doit être considéré comme entièrement compromis. Il faut alors restaurer une sauvegarde d'avant l'attaque, comparer les fichiers avec une installation propre, revoir chaque utilisateur doté de droits supplémentaires, changer les mots de passe administrateur et UpdraftCentral, fermer toutes les sessions et activer la double authentification. TeamUpdraft, de son côté, invite à envisager une sauvegarde antérieure au 17 octobre dès qu'un élément paraît suspect. Attention, c'est notre déduction : une sauvegarde d'avant le 17 octobre remet aussi l'ancienne version d'UpdraftPlus et l'ancienne clé. Juste après la restauration, mettez à jour l'extension et supprimez de nouveau les clés. Vous perdrez aussi les contenus et commandes enregistrés depuis : notez-les avant.

Si le site a été touché, l'éditeur demande aussi de réautoriser le stockage distant (Google Drive, Dropbox, Amazon S3) et d'en changer les clés d'accès. Et dans tous les cas : changez votre mot de passe teamupdraft.com, et partout où vous l'avez réutilisé.

Un point diverge entre les deux sources : TeamUpdraft propose de reconnecter le site à UpdraftCentral après ces étapes, alors que Patchstack conseille d'attendre que l'éditeur explique la cause. Notre avis, qui est une déduction : sans besoin réel de gestion à distance, ne reconnectez pas. Si vous en avez besoin, Patchstack conseille de créer la clé avec un compte qui n'a pas le droit d'installer des extensions.

Un précédent dans le même canal

En juin 2026, la faille CVE-2026-10795 (score 8,1) permettait déjà de forger des commandes UpdraftCentral sans aucune clé, jusqu'à la version 1.26.4 ; Patchstack indique qu'elle est corrigée en 1.26.5 et 2.26.5 et que des tentatives d'exploitation continuent. Si votre extension n'était pas à jour, voyez aussi notre article sur les failles d'extensions WordPress et leurs mises à jour.

Ce qu'il faut retenir

Des clés UpdraftCentral volées ont servi à installer des portes dérobées les 18 et 19 octobre. La mise à jour coupe l'accès, mais ne retire rien. Supprimez les clés, cherchez les faux « Éditeurs » et l'extension piégée, ne la réparez pas, et restaurez une sauvegarde d'avant le 17 octobre si le site a été touché.

Si vous préférez qu'on fasse ces vérifications sur vos sites, c'est ce que couvre notre offre de maintenance.