Origine : bjCSIRT
Numéro : 2026/ALERTE/127
APERÇU :
Un acteur malveillant disposant de clés privées valides du service UpdraftCentral a installé à distance des extensions malveillantes sur des sites WordPress connectés, lui donnant le contrôle total de ces sites et un accès persistant par un compte dissimulé.
DESCRIPTION :
UpdraftPlus, utilisé sur plus de 4 millions de sites WordPress, intègre le service de gestion à distance UpdraftCentral. Les sites reliés à ce service acceptent automatiquement les commandes signées par la clé privée associée, sans validation supplémentaire. À la suite d’un accès non autorisé à la plateforme teamupdraft.com les 17 et 18 octobre 2026, des clés de connexion UpdraftCentral auraient été compromises.
Entre le 18 et le 19 octobre 2026, l’acteur malveillant a utilisé ces clés pour déployer à distance des extensions malveillantes sur des sites connectés. Ces extensions agissent comme des portes dérobées en créant discrètement des comptes disposant de privilèges élevés, permettant un accès persistant au site tout en contournant les mécanismes d’authentification et de protection habituels. Même après la suppression de l’extension malveillante, les comptes créés demeurent actifs.
L’éditeur indique avoir corrigé l’incident et publié les versions 1.26.13 et 2.26.13 le 19 octobre 2026, lesquelles désactivent automatiquement les anciennes connexions UpdraftCentral établies avant le 18 octobre 2026. Toutefois, la mise à jour ne supprime ni les extensions malveillantes déjà installées ni les comptes frauduleux éventuellement créés, ce qui rend une vérification manuelle des sites concernés indispensable.
IMPACT
- Prise de contrôle total du site et exécution de code arbitraire ;
- Contournement des mécanismes d’authentification, dont la double authentification ;
- Persistance d’accès non autorisée par un compte dissimulé survivant au nettoyage de l’extension ;
- Atteinte à la confidentialité des données, tant celles des sites que celles des comptes clients détenues par l’éditeur ;
- Compromission de l’intégrité du système et des données ;
- Atteinte à la disponibilité des sites atteints.
SYSTEMES AFFECTÉS
- Les sites WordPress détenant une clé de connexion UpdraftCentral active créée avant le 1uelle que soit la version d’UpdraftPlus installée, gratuite ou premium, y compris les versions 1.26.11 et 2.26.11.26 ;
- Les comptes clients teamupdraft.com, pour les données détenues par l’éditeur ;
- Les sites raccordés à UpdraftVault et les clés client UpdraftClone, dont les identifiants ont été remplacés par l’éditeur ;
- Les installations auto-hébergées d’UpdraftCentral, l’extension UpdraftPlus elle-même et t ne sont pas concernés.
MESURES À PRENDRE :
- Mettre à jour UpdraftPlus vers la version 1.26.13 pour l’édition gratuite ou 2.26.13 pour l’édition premium, ou ultérieure, sur l’ensemble des sites, y compris ceux qui ne sont pas administrés au quotidien ;
- En cas de découverte, supprimer d’abord la clé UpdraftCentral, puis désactiver l’extensiracine web plutôt que la supprimer depuis l’interface d’administration, sa routine dedésinstallation effaçant ses propres traces, sans corriger l’erreur fatale qu’elle contient, cette correction activant la porte dérobée ;
- Reconnecter les sites à UpdraftVault et redistribuer les nouvelles clés UpdraftClone, leacées par l’éditeur ;
- Ne reconnecter un site à UpdraftCentral qu’après mise à jour, et créer la clé sous un compte dépourvu de la capacité install_plugins lorsque la gestion à distance reste nécessaire.
RÉFÉRENCES :
- https://wordpress.org/plugins/updraftplus
- https://teamupdraft.com/blog/security-incident-october-2026
- https://patchstack.com/articles/updraftcentral-key-compromise-wordpress-backdoors
- https://nethemba.com/updraftcentral-backdoor-analysis