Des clés UpdraftCentral dérobées utilisées pour piéger des sites WordPress après l'intrusion chez TeamUpdraft

Le 18 octobre 2026, TeamUpdraft — l'éditeur britannique de l'extension de sauvegarde WordPress très répandue UpdraftPlus, qui totalise plus de 4 millions de téléchargements — a révélé que des attaquants avaient piraté son site et se servaient de clés de connexion dérobées pour implanter des portes dérobées sur les sites de ses clients. « Au cours du week-end des 17 et 18 octobre, nous avons identifié un accès non autorisé au site teamupdraft.com », a indiqué l'entreprise, ajoutant qu'elle avait fermé la voie d'accès, déconnecté tous les comptes et remplacé les clés et identifiants concernés.

L'entreprise estime que les intrus ont accédé à sa base de clients, comprenant des empreintes de mots de passe, des paramètres d'authentification à deux facteurs et les clés de connexion pour UpdraftCentral, UpdraftVault et UpdraftClone ; aucune donnée de paiement n'était stockée. UpdraftCentral est un tableau de bord permettant de gérer à distance de nombreux sites WordPress : les clés dérobées pouvaient donc servir à envoyer des commandes à chaque site encore connecté à un compte compromis.

Exploitation dans la nature

La société de sécurité Patchstack a indiqué que les attaques avaient débuté le 18 octobre à 15h32 UTC, les attaquants utilisant les clés dérobées pour exécuter du code et créer des comptes administrateurs complets sur les sites concernés. Patchstack a recensé au moins 99 extensions-portes dérobées malveillantes déguisées en outils de maintenance — l'une d'elles, par exemple, nommée « Site Health Cache ». Les chercheurs de Nethemba ont signalé que trois de leurs propres sites avaient été ciblés et que des extensions malveillantes avaient été installées sur deux d'entre eux, bien que les trois utilisent des versions à jour de l'extension. TeamUpdraft a estimé qu'environ 10 % des sites UpdraftPlus détiennent une clé UpdraftCentral ou Migrator, plaçant de l'ordre de 400 000 sites web potentiellement à portée.

Remédiation

Le premier correctif de TeamUpdraft (versions 1.26.12 et 2.26.12) comportait un bogue qui ne supprimait pas les clés UpdraftCentral Cloud ; l'entreprise a donc exhorté les utilisateurs à passer à la version 1.26.13 (gratuite) ou 2.26.13 (Premium), à supprimer leurs clés de connexion UpdraftCentral, à renouveler les identifiants de stockage et à réautoriser leurs connexions. Les propriétaires de sites potentiellement compromis ont été invités à restaurer une sauvegarde saine, à changer le mot de passe de leur compte TeamUpdraft, à révoquer toutes les sessions et à réinitialiser l'authentification à deux facteurs. Les fichiers et téléchargements de l'extension UpdraftPlus eux-mêmes n'ont pas été altérés, et les instances UpdraftCentral auto-hébergées n'ont pas été touchées : le danger résidait entièrement dans les clés de contrôle à distance dérobées.