Compromission de sites WordPress via des clés UpdraftCentral dérobées chez l'éditeur TeamUpdraft
Un acteur malveillant disposant de clés privées valides du service UpdraftCentral a installé à distance des extensions malveillantes sur des sites WordPress connectés, ce qui lui a donné le contrôle total de ces sites et un accès persistant via un compte dissimulé.
Description
Contexte technique et détails de la vulnérabilité
UpdraftPlus, utilisée sur plus de 4 millions de sites WordPress, intègre le service de gestion à distance UpdraftCentral. Les sites liés à ce service acceptent automatiquement les ordres signés par la clé privée associée, sans validation supplémentaire. À la suite d'un accès non autorisé à la plateforme teamupdraft.com les 17 et 18 octobre 2026, des clés de connexion UpdraftCentral auraient été compromises. Entre le 18 et le 19 octobre 2026, l'acteur malveillant a utilisé ces clés pour déployer à distance des extensions malveillantes sur les sites connectés. Ces extensions agissent comme des portes dérobées en créant discrètement des comptes dotés de privilèges élevés, ce qui permet un accès persistant au site en contournant les mécanismes habituels d'authentification et de protection. Les comptes créés restent actifs même après la suppression de l'extension malveillante. L'éditeur indique avoir corrigé l'incident et publié le 19 octobre 2026 les versions 1.26.13 et 2.26.13, qui désactivent automatiquement les anciennes connexions UpdraftCentral établies avant le 18 octobre 2026. Toutefois, la mise à jour ne supprime ni les extensions malveillantes déjà installées ni les comptes frauduleux éventuellement créés, ce qui rend indispensable une vérification manuelle des sites concernés.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Prise de contrôle totale du site et exécution de code arbitraire ;
- Contournement des mécanismes d'authentification, y compris la double authentification ;
- Persistance d'un accès non autorisé par un compte dissimulé survivant au nettoyage de l'extension ;
- Atteinte à la confidentialité des données, tant celles des sites que celles des comptes clients détenus par l'éditeur ;
- Atteinte à l'intégrité des systèmes et des données ;
- Atteinte à la disponibilité des sites concernés.
Systèmes affectés
Produits, composants et versions concernés
- Sites WordPress disposant d'une clé de connexion UpdraftCentral active créée avant le 18 octobre 2026, quelle que soit la version d'UpdraftPlus installée, gratuite ou premium ;
- Comptes clients teamupdraft.com, pour les données détenues par l'éditeur ;
- Sites connectés à UpdraftVault et clés clients UpdraftClone, dont les identifiants ont été remplacés par l'éditeur ;
- Les installations auto-hébergées d'UpdraftCentral ne sont pas concernées.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Mettre à jour UpdraftPlus vers la version 1.26.13 (édition gratuite) ou 2.26.13 (édition premium), ou ultérieure, sur l'ensemble des sites, y compris ceux qui ne sont pas administrés au quotidien ;
- Rechercher les extensions inconnues et les comptes administrateurs non légitimes ; en cas de découverte, supprimer d'abord la clé UpdraftCentral, puis désactiver l'extension malveillante en supprimant son dossier depuis la racine du site plutôt que depuis l'interface d'administration, sa routine de désinstallation effaçant ses propres traces ;
- Reconnecter les sites à UpdraftVault et redistribuer les nouvelles clés UpdraftClone fournies par l'éditeur ;
- Ne reconnecter un site à UpdraftCentral qu'après la mise à jour, et créer la clé depuis un compte ne disposant pas de la capacité install_plugins lorsque la gestion à distance reste nécessaire.
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.