UpdraftPlus : supprimez les clés UpdraftCentral de votre site WordPress, même si vous ne vous en êtes jamais servi

Si votre site WordPress utilise UpdraftPlus, ouvrez aujourd'hui l'onglet UpdraftCentral de l'extension et supprimez toutes les clés qui s'y trouvent. Des clés volées chez l'éditeur de l'extension ont servi à installer des portes dérobées sur des sites, encore le matin du 19 octobre 2026. Une clé peut exister même si vous n'avez jamais utilisé UpdraftCentral. La mise à jour vers la version 1.26.13 (la dernière publiée au 20 octobre 2026) est nécessaire, mais elle ne suffit pas : elle laisse certaines clés en place et ne retire aucune porte dérobée déjà installée.

Ce qui s'est passé chez TeamUpdraft

UpdraftPlus est l'extension de sauvegarde la plus répandue de WordPress : plus de quatre millions de sites l'utilisent. Son éditeur, TeamUpdraft, offre aussi UpdraftCentral, un tableau de bord qui permet de gérer plusieurs sites à distance : sauvegardes, mises à jour, extensions.

Dans son avis du 19 octobre, TeamUpdraft explique avoir détecté un accès non autorisé à son site teamupdraft.com pendant la fin de semaine des 17 et 18 octobre. L'entreprise croit que sa base de données clients a été consultée. Cette base contient les noms, les adresses courriel et de facturation, l'historique des commandes, les mots de passe (chiffrés), les réglages de double authentification ainsi que les clés de connexion d'UpdraftCentral, d'UpdraftVault et d'UpdraftClone. Les numéros de carte ne s'y trouvent pas : Stripe et PayPal traitent les paiements. Selon TeamUpdraft, l'extension elle-même et ses téléchargements n'ont pas été touchés.

Comment les clés volées ont servi

Une clé UpdraftCentral permet au tableau de bord d'envoyer des commandes à votre site. Le site exécute toute commande signée avec la bonne clé, avec les droits de la personne qui a fait la connexion, sans demander de confirmation. C'est ce que les pirates ont utilisé : Patchstack a relevé des commandes correctement signées qui installaient puis activaient une extension malveillante, pendant environ 18 heures, du 18 octobre au matin du 19 octobre.

La société de sécurité slovaque Nethemba a repéré l'attaque sur trois de ses propres sites dans la nuit du 19 octobre, puis l'a signalée à TeamUpdraft. Patchstack résume la situation sans détour : « This is not a vulnerability in UpdraftPlus » (ce n'est pas une faille d'UpdraftPlus). Aucune erreur dans le code de l'extension n'était nécessaire : les commandes étaient authentiques, ce sont les clés qui ne l'étaient plus.

Une fois installée, l'extension malveillante attend un code secret dans l'adresse d'une page. Avec ce code, elle crée un compte d'éditeur auquel elle ajoute les droits de gérer les réglages et d'installer des extensions, puis elle connecte le visiteur directement par un cookie. Le formulaire de connexion est contourné : la double authentification ne s'applique pas. Le compte reste en place même si l'extension est supprimée.

Pourquoi votre site peut avoir une clé sans que vous le sachiez

Le titre de cette note n'exagère pas. Selon Patchstack, quand on relie un site à un compte teamupdraft.com (ce que demande UpdraftPlus Premium pour activer sa licence), une case qui ajoute le site à UpdraftCentral est cochée par défaut. Une simple activation de licence a donc pu créer une clé, sans que personne ait voulu gérer le site à distance.

Ces clés n'expirent pas. Patchstack rapporte que des clés créées en novembre 2025 fonctionnaient encore en octobre 2026. Retirer le site de son tableau de bord UpdraftCentral ne supprime pas non plus la clé qui reste sur le site.

Et si votre site utilise la version gratuite ?

TeamUpdraft précise qu'un utilisateur de la version gratuite qui n'a jamais créé de compte teamupdraft.com n'a rien à faire, sinon garder l'extension à jour. La version gratuite n'est pas à l'abri pour autant : selon Patchstack, le module UpdraftCentral se trouve dans toutes les copies d'UpdraftPlus, gratuites comme Premium.

Un site gratuit peut donc avoir une clé si quelqu'un l'a un jour relié au tableau de bord UpdraftCentral en ligne, qui demande un compte teamupdraft.com. Cette personne peut être un ancien fournisseur, un pigiste ou un collègue qui a voulu l'essayer. Comme les clés n'expirent pas, un branchement fait il y a plusieurs années compte encore. La personne qui gère le site aujourd'hui peut ne pas le savoir.

Une version gratuite qui n'a pas été mise à jour depuis longtemps a aussi un autre problème. Jusqu'à la version 1.26.4, la faille CVE-2026-10795, corrigée en juin 2026, permettait d'envoyer de fausses commandes au site sans aucune clé. Patchstack rapporte que des tentatives d'attaque la visent encore.

Sur un site gratuit, la vérification prend une minute : mettez UpdraftPlus à jour, puis ouvrez l'onglet UpdraftCentral de l'extension. Si la liste des clés est vide, vous avez terminé. S'il y a une clé, supprimez-la et faites les autres vérifications de cette note.

La mise à jour ne suffit pas

TeamUpdraft a publié la version 1.26.12 (2.26.12 pour Premium) le 19 octobre pour désactiver les clés créées avant l'incident. Nethemba a constaté qu'en raison d'une erreur, elle ne supprimait aucune clé. La version 1.26.13, publiée le soir même, corrige cette erreur. C'est la dernière version d'UpdraftPlus sur WordPress.org au 20 octobre 2026.

Il reste un écart. Selon TeamUpdraft, la mise à jour coupe les connexions faites avant 22 h (heure de Londres) le 18 octobre, soit 17 h à Montréal. Selon Nethemba, la version 1.26.13 ne supprime que les clés créées avant 8 h 07 (heure de Montréal) ce jour-là. Une clé créée entre ces deux heures reste donc sur le site après la mise à jour, alors que TeamUpdraft la considère comme exposée. Surtout, aucune mise à jour ne retire une porte dérobée ni un compte déjà installés.