UpdraftPlus : des sites WordPress piratés avec des clés volées chez l'éditeur, ce qu'il faut faire

UpdraftPlus est l’une des extensions les plus installées de WordPress : plus de 4 millions de sites l’utilisent pour faire leurs sauvegardes. Son éditeur, TeamUpdraft, a été piraté le week-end du 17 et 18 octobre 2026, et des attaquants s’en sont servi pour installer des portes dérobées sur des sites de ses clients. Si vous gérez un site WordPress, ou si un prestataire le gère pour vous, voici quoi vérifier.

Ce qui s’est passé

Les pirates ont pénétré le site de TeamUpdraft et ont pu accéder à sa base de clients : noms, adresses e-mail et postales, historique des commandes, mots de passe chiffrés, réglages de double authentification, et surtout les clés de connexion des services UpdraftCentral, UpdraftVault et UpdraftClone. Les paiements passant par Stripe et PayPal, aucune donnée bancaire n’était stockée.

UpdraftCentral est un tableau de bord en ligne qui permet de piloter plusieurs sites WordPress à distance : sauvegardes, mises à jour, installation d’extensions. Avec les clés volées, les attaquants ont pu envoyer des ordres parfaitement « légitimes » aux sites reliés, et y installer des extensions malveillantes. Selon la société de sécurité Patchstack, la campagne a duré 18 heures, les 18 et 19 octobre. Elle a recensé 99 noms d’extensions piégées différents, choisis pour avoir l’air banals : « Site Health Cache », « Content Helper », « Speed Kit », « Media Kit »…

Le plus vicieux : la porte dérobée crée aussi un compte utilisateur caché, qui peut rester en place même après la suppression de l’extension et permet de se reconnecter normalement au site.

Ce qu’a fait l’éditeur

TeamUpdraft a fermé l’accès des pirates, déconnecté tous les comptes et remplacé les clés exposées. Il a publié UpdraftPlus 1.26.13 (gratuit) et 2.26.13 (Premium), qui coupent toutes les connexions UpdraftCentral créées avant le 18 octobre au soir. L’incident a été déclaré à l’autorité britannique de protection des données. Selon l’éditeur, la version auto-hébergée d’UpdraftCentral n’est pas concernée.

Les vérifications à faire sur votre site

1. Connectez-vous directement à l’administration de votre site, sans passer par UpdraftCentral.
2. Mettez à jour UpdraftPlus vers la version 1.26.13 ou 2.26.13, ou plus récente.
3. Dans Extensions, y compris l’onglet Must-Use, supprimez toute extension que vous ne reconnaissez pas.
4. Dans Utilisateurs, supprimez tout compte inconnu, en particulier avec le rôle Éditeur ou Administrateur.
5. Changez les mots de passe de tous les comptes administrateur, et activez la double authentification : elle empêche le compte caché de se reconnecter.
6. En cas de doute, restaurez une sauvegarde faite avant le 17 octobre, puis refaites ces vérifications.
7. Si vous utilisez UpdraftCentral, reconnectez vos sites avec de nouvelles clés, et changez par précaution les accès à vos espaces de stockage distants.

Si vous avez un compte sur le site de TeamUpdraft, changez aussi votre mot de passe, partout où vous l’utilisiez. Et méfiez-vous des e-mails « de TeamUpdraft » dans les prochains jours : les adresses volées vont servir à des tentatives d’hameçonnage.

La leçon : un outil de confiance est une porte d’entrée

C’est la deuxième fois en quelques jours qu’un outil WordPress très répandu sert de cheval de Troie, après les mises à jour piégées de Rank Math. Les outils qui pilotent plusieurs sites à distance sont pratiques, mais une seule clé volée ouvre toutes les portes. Limitez les accès à distance au strict nécessaire, et gardez une sauvegarde hors ligne : c’est elle qui vous sauve quand tout le reste a été touché.