UpdraftPlus et UpdraftCentral : des sites WordPress piégés, comment vérifier le vôtre

Que s'est-il passé avec UpdraftPlus et TeamUpdraft ?

TeamUpdraft, l'entreprise derrière UpdraftPlus, a constaté un accès non autorisé à son site teamupdraft.com le week-end du 17 au 18 octobre 2026. Des clés de connexion UpdraftCentral ont été volées, puis utilisées pour installer des portes dérobées sur des sites WordPress.

UpdraftPlus est l'une des extensions de sauvegarde les plus répandues de WordPress. Selon Search Engine Journal, elle est installée sur plus de trois millions de sites. Son éditeur propose aussi un service en ligne, UpdraftCentral, qui permet de piloter plusieurs sites depuis un seul tableau de bord : lancer des sauvegardes, mettre à jour, parfois installer des extensions à distance.

Pour que ce pilotage fonctionne, chaque site garde une clé de connexion. Quiconque détient cette clé peut envoyer des ordres que le site accepte comme légitimes, sans nom d'utilisateur ni mot de passe. C'est exactement ce que les pirates ont récupéré : la base de données clients de TeamUpdraft, qui contenait ces clés.

Le calendrier, d'après la page d'incident de TeamUpdraft et les analyses de Patchstack :

À la date où j'écris, l'enquête de TeamUpdraft est toujours en cours. Cet article sera à compléter si de nouveaux éléments sortent.

Comment les pirates ont-ils pris la main sur des sites ?

Ils n'ont pas cassé WordPress ni UpdraftPlus. Ils ont utilisé de vraies clés volées pour envoyer de vrais ordres, que les sites ont exécutés. C'est pour cela que Patchstack écrit que ce n'est pas une vulnérabilité de l'extension.

Avec ces ordres, les attaquants ont installé et activé des extensions piégées. Chacune crée un compte caché qui s'affiche comme simple « éditeur » mais qui dispose en réalité de droits d'administration : installer des extensions, modifier les réglages. Ce compte contourne les protections habituelles de connexion, y compris la double authentification, puisque l'attaquant n'a jamais besoin de se connecter par la page de login.

Patchstack a relevé 99 noms différents pour ces extensions piégées. Le plus fréquent est « Site Health Cache ». Leur description, « Small maintenance toolkit: keeps option storage tidy », est présentée par Patchstack comme l'indice le plus fiable au niveau des fichiers. Les noms de comptes suivent un schéma de deux mots et deux chiffres, comme data-ops43 ou media-staff96. Ces indices peuvent changer d'un échantillon à l'autre : l'absence de ces noms ne prouve donc pas que tout va bien.

Sur l'ampleur, soyons prudents. BleepingComputer avance qu'environ 10 % des sites UpdraftPlus auraient une clé UpdraftCentral ou Migrator, soit potentiellement 400 000 sites. TeamUpdraft, de son côté, ne donne aucun chiffre sur le nombre de sites réellement touchés. Ce que l'on sait, c'est que le risque concerne les sites avec une clé, pas toutes les installations de l'extension.

Un détail intéressant : selon l'analyse de Patchstack relayée par Search Engine Journal, les extensions piégées contenaient une erreur de programmation qui faisait afficher des erreurs serveur sur certains sites avant l'activation de la porte dérobée. Cela n'enlève pas le danger, mais cela peut aider à repérer un site touché. Et TeamUpdraft indique que l'attaquant a probablement utilisé l'IA pour accélérer son attaque, ce qui confirme une tendance que je constatais déjà dans l'affaire des failles PHP2Shell : le temps entre une brèche et ses conséquences se compte en heures.

Comment savoir si mon site WordPress est concerné ?

Votre site est exposé s'il utilise UpdraftPlus et qu'il porte une clé UpdraftCentral. Si vous n'avez jamais créé de compte TeamUpdraft ni utilisé UpdraftCentral, TeamUpdraft indique qu'aucune action n'est requise, mais une vérification de cinq minutes reste raisonnable.

Pour savoir si une clé existe, deux méthodes. Dans l'administration : Réglages › UpdraftPlus › Outils avancés › UpdraftCentral. Si vous avez un accès en ligne de commande à WordPress, Patchstack indique cette commande, qui affiche les clés présentes :

wp option get updraft_central_localkeys

S'il y a un résultat, le site est exposé, même si vous n'avez jamais utilisé UpdraftCentral sciemment. Quel que soit le résultat, regardez aussi la liste des extensions et des utilisateurs : c'est là que se verra un éventuel piège.

Si vous gérez plusieurs sites, ne vous arrêtez pas à celui que vous consultez tous les jours. Sites de clients, anciennes maquettes, sites secondaires oubliés : TeamUpdraft recommande de vérifier tous ceux que vous n'avez pas reconnectés sciemment depuis le 19 octobre.

Que faire aujourd'hui pour protéger un site avec UpdraftPlus ?

Mettre à jour UpdraftPlus en 1.26.13 (gratuite) ou 2.26.13 (Premium) au minimum, supprimer les clés UpdraftCentral qui restent, puis contrôler les extensions et les comptes. La mise à jour seule ne suffit pas : elle ne supprime pas une porte dérobée déjà posée.

Voici l'ordre que je suis, en reprenant les consignes de TeamUpdraft et de Patchstack :

1. Passer par l'administration du site lui-même, pas par UpdraftCentral, pour ne pas dépendre du service concerné.
2. Mettre à jour UpdraftPlus vers 1.26.13 ou 2.26.13, ou plus récent. Évitez de vous contenter de la 1.26.12 : Nethemba et BleepingComputer expliquent qu'elle contenait un défaut qui empêchait la suppression des clés.
3. Supprimer les clés dans Réglages › UpdraftPlus › Outils avancés › UpdraftCentral. Patchstack précise que retirer le site du tableau de bord ne suffit pas : la clé reste sur le site. Des clés créées le 18 octobre, après l'heure limite de coupure, pourraient survivre à la mise à jour d'après Nethemba, d'où l'intérêt de contrôler à la main.
4. Contrôler les utilisateurs : tout administrateur ou éditeur que vous ne connaissez pas est suspect.
5. Contrôler les extensions, y compris l'onglet « Must-Use » quand il est visible. Si vous trouvez une extension inconnue, ne cherchez pas à la réparer : supprimez la clé d'abord, puis retirez l'extension.
6. Changer les mots de passe de tous les administrateurs, puis terminer les sessions ouvertes.
7. Restaurer une sauvegarde antérieure au 17 octobre si vous trouvez des traces d'intrusion.
8. Reconnecter le site à UpdraftCentral seulement une fois le site contrôlé, si vous en avez réellement l'usage.

Si vous avez un compte teamupdraft.com, changez aussi son mot de passe (en tapant l'adresse vous-même dans le navigateur plutôt qu'en cliquant sur un e-mail), puis réinitialisez la double authentification. Les mots de passe de la base étaient stockés sous forme de condensats (hashes), mais mieux vaut ne pas parier là-dessus. Soyez méfiants envers les e-mails qui prétendent venir de l'éditeur : TeamUpdraft dit qu'il ne demandera jamais de mot de passe ni de clé.

Dernier point : si votre site envoyait ses sauvegardes vers un stockage distant à partir d'UpdraftCentral, TeamUpdraft recommande par précaution de réautoriser ce stockage et de changer ses clés d'accès (Google Drive, Dropbox, Amazon S3…). Les sauvegardes elles-mêmes ne sont pas concernées par l'incident.

Comment reconnaître un site WordPress déjà piégé ?

Cherchez trois choses : des extensions que personne n'a installées, des comptes inconnus au rôle éditeur ou administrateur, et des commandes d'installation d'extensions dans les journaux sans action de votre équipe en face.

Concrètement, voici les signes que les chercheurs et l'éditeur ont publiés :

Si vous trouvez l'un de ces signes, Patchstack recommande de considérer le site comme entièrement compromis : restaurer une sauvegarde saine, passer en revue les utilisateurs disposant de droits élevés, changer tous les mots de passe, fermer les sessions et activer la double authentification.

Je dois être honnête sur une limite : aucun de ces indices n'est exhaustif, et les attaquants font tourner leurs noms et leurs adresses. L'absence de trace dans une liste ne prouve donc pas que le site est sain. D'où l'intérêt de partir de ce qui est anormal sur le site (une extension, un compte, une date) plutôt que de chercher une liste de noms.

Ce que cette affaire change pour la sécurité d'un site WordPress

Elle rappelle qu'un site peut être attaqué sans la moindre faille dans son code, par le biais d'un service tiers auquel il est relié. Chaque outil de gestion à distance est une porte supplémentaire, qu'il faut ouvrir en connaissance de cause et surveiller.

Cette histoire me fait penser à beaucoup de sites que je vois chez des professionnels : une extension de sauvegarde, une autre de performance, une de sécurité, un compte d'éditeur connecté « pour gagner du temps », et personne ne sait vraiment ce qui est relié à quoi. Quand l'un de ces fournisseurs est piraté, le problème devient le vôtre, même si vous n'avez rien fait de travers.

J'en retire quelques règles simples :

1. Désactiver ce qu'on n'utilise pas. La gestion à distance d'un site est utile pour une agence qui en suit trente. Pour un site unique, c'est souvent un risque sans bénéfice.
2. Tenir un inventaire. Savoir quelles extensions sont installées, lesquelles ont un accès à distance, et qui a un compte administrateur. Un site qui n'a aucun compte inconnu est beaucoup plus facile à contrôler.
3. Garder des sauvegardes hors du site et les tester. Une sauvegarde saine d'avant l'incident, stockée ailleurs, est ce qui transforme une catastrophe en mauvaise journée. Et c'est un peu ironique ici, puisque c'est un outil de sauvegarde qui a servi d'entrée.
4. Donner à chaque personne le droit minimal. Moins il y a de comptes capables d'installer des extensions, moins une porte dérobée a de chance de passer inaperçue.
5. Avoir quelqu'un qui surveille. Les premières portes dérobées ont été observées dès le 18 octobre, en plein week-end. Si personne ne lit les alertes, les sites ne sont corrigés que quand c'est trop tard.

Je n'ai pas de leçon à donner à TeamUpdraft : l'éditeur a réagi vite, publié des correctifs dès le 19 octobre et communiqué en détail, ce qui n'est pas toujours le cas. Mais l'incident n'est pas terminé, et c'est aux propriétaires de sites de faire leur part du travail.

Faire vérifier votre site WordPress par un développeur

Si vous utilisez UpdraftPlus et que vous ne savez pas si votre site porte une clé UpdraftCentral, ou si vous avez trouvé quelque chose de suspect, je peux vérifier, nettoyer ou reconstruire le site proprement, avec un devis gratuit sous 24 h.

Je développe des sites depuis une vingtaine d'années, et je sais ce que représente un site vitrine ou une boutique à l'arrêt pour une entreprise. Pour ce type d'incident, voici ce que je propose aux professionnels :

Si votre site WordPress est ancien, encombré d'extensions ou difficile à maintenir, c'est peut-être le bon moment de le repenser : voir la création de site internet. Et si vous avez des outils métier, un espace client ou un CRM qui reposent sur des assemblages d'extensions, une application sur mesure réduit nettement la surface d'attaque.

Le plus simple : envoyez-moi l'adresse du site par le formulaire de contact ou appelez le 06 37 29 19 67. Je vous dis rapidement s'il est exposé et ce qu'il faut faire, que vous me confiiez la suite ou non.

Vos questions

Article publié le 29 octobre 2026.