Avant tout : une copie complète, hors du serveur
Une preuve, pas un point de restauration. Téléchargez les fichiers et la base de données sur votre ordinateur, ou envoyez-les sur un stockage externe, avant de toucher à quoi que ce soit. Si le site est piraté, cette copie l'est aussi : elle ne sert pas à revenir en arrière, elle sert à comparer, à dater l'intrusion et à montrer à l'hébergeur ou à un prestataire ce qui a été trouvé. Ne supprimez rien avant d'avoir fini de regarder.
1. Mettre à jour, en vous connectant directement
Connectez-vous à l'administration de chaque site, pas depuis UpdraftCentral. C'est la première consigne de TeamUpdraft, l'éditeur. Puis, après la copie, mettez à jour dans cet ordre.
WordPress. La dernière version est la 7.1.3, sortie le 6 octobre 2026 avec sept correctifs de sécurité. Si votre site reste sur une ancienne branche, prenez au moins sa dernière version, par exemple 7.0.7, 6.9.10 ou 6.8.11, qui ont reçu les mêmes correctifs. Un site qui n'a pas reçu le correctif du 22 septembre (7.1.2, 7.0.6, 6.9.9 ou 6.8.10 selon la branche) reste exposé à la faille du cœur exploitée depuis ce jour-là.
UpdraftPlus. Passez en 1.26.13, ou 2.26.13 pour la version Premium, sorties le 19 octobre au soir. Évitez la 1.26.12 publiée le même jour : à cause d'un bug, elle ne révoquait pas les clés.
Les autres extensions et le thème. Faites toutes les mises à jour proposées. Si vous utilisez Ninja Forms, vérifiez que vous êtes au moins en 3.15.4 ; Bricksforge, en 3.1.8.10 ; Elementor Pro, en 4.2.2.
PHP. Le 21 octobre, PHP a corrigé deux failles critiques que les mises à jour de WordPress ne règlent pas. Demandez à votre hébergeur une version corrigée (8.5.12, 8.4.27, 8.3.36 ou 8.2.35), ou vérifiez la vôtre avec mon outil dédié.
Mettre à jour ferme la porte. Ça ne retire rien de ce qui est déjà entré : c'est l'objet des six vérifications suivantes.
2. Les comptes qui peuvent installer des extensions
Ne regardez pas seulement les administrateurs. Les fausses extensions d'octobre 2026 créent un compte Éditeur et lui ajoutent deux droits : gérer les réglages et installer des extensions. Dans la liste des comptes, il apparaît comme un simple Éditeur. Les noms relevés par Patchstack, Nethemba et IT-Connect suivent le même modèle, deux mots et deux ou trois chiffres (data-ops43, media-staff96, content-ops71), avec « Site Tools » comme nom affiché et une adresse en @example.org ou @example.com.
Ce qu'il faut faire. Ouvrez Comptes, Tous les comptes, et regardez chaque Éditeur et chaque Administrateur : qui l'a créé, quand, avec quelle adresse. Un compte que personne ne reconnaît se supprime, après avoir changé votre propre mot de passe. Attention : certaines variantes se connectent avec le premier administrateur existant au lieu de créer un compte, et le compte caché reste en place même quand l'extension a disparu.
3. Les extensions, onglet « Indispensables » compris
Dans l'administration. Extensions, Extensions installées : cherchez une extension que vous n'avez pas installée. Les descriptions relevées ressemblent à de la maintenance (« Small maintenance toolkit: keeps option storage tidy », « Maintenance helper »), avec des noms comme « Site Health Cache » ou des dossiers à suffixe aléatoire (load-stack-35c, site-health-364f, type-stack-285). Patchstack a relevé 99 noms différents. Regardez aussi l'onglet « Indispensables » (Must-Use en anglais), qu'on oublie presque toujours.
Sur le serveur. Certaines variantes se cachent de la liste. Ouvrez le gestionnaire de fichiers de votre hébergeur, ou un logiciel FTP, et regardez trois dossiers : wp-content/plugins, wp-content/mu-plugins et wp-content/upgrade. Ce dernier garde une copie des paquets installés, même quand l'installation a échoué. Un dossier récent que vous ne reconnaissez pas est suspect.
Ne le supprimez pas depuis l'administration. Nethemba, qui a découvert l'attaque, conseille de désactiver l'extension puis de déplacer son dossier hors du site : la suppression depuis l'administration lance son script de désinstallation, qui efface ses traces. Et si une page affiche une erreur « Undefined constant », ne corrigez pas le code : la première variante était cassée, et la réparer réveillerait la porte dérobée.
4. La clé UpdraftCentral
Où la trouver. Réglages, UpdraftPlus, onglet Outils avancés, UpdraftCentral. Si une clé y figure, le site peut recevoir des commandes à distance. Supprimez toutes les clés de la liste des clés existantes, pas seulement le site dans votre tableau de bord UpdraftCentral : retirer le site du tableau de bord ne supprime pas la clé.
Vous ne l'avez jamais activée ? Vérifiez quand même. La case qui ajoute le site à UpdraftCentral est cochée par défaut quand on relie UpdraftPlus à un compte TeamUpdraft, et ces clés n'expirent pas. Avec un accès en ligne de commande, la commande wp option get updraft_central_localkeys répond quelque chose si une clé existe. La procédure complète, sauvegardes comprises, est dans mon guide UpdraftPlus.
5. Les fichiers .php dans wp-content/uploads
Ce dossier ne doit contenir que des images et des documents. Sucuri le rappelle dans ses guides : un fichier .php, .js ou .ico dans uploads est suspect. Les campagnes de l'automne en ont laissé à des endroits précis : wp-content/uploads/elementor/forms pour Elementor Pro, wp-content/uploads/bricksforge/tmp pour Bricksforge. Dans le gestionnaire de fichiers de l'hébergeur, cherchez « .php » dans le dossier uploads ; en ligne de commande, find wp-content/uploads -name ".php" en fait la liste.
6. Google Search Console
Trois écrans à ouvrir. Sécurité et actions manuelles, Problèmes de sécurité : Google y signale un site piraté. Paramètres, Utilisateurs et autorisations : un propriétaire que vous ne connaissez pas est un signe classique du piratage par mots-clés japonais, qui ajoute aussi ses propres sitemaps. Pages : un bond soudain du nombre de pages indexées. Et dans Google, une recherche site:votredomaine.fr montre les pages que vous n'avez pas écrites.
7. Les journaux d'accès de l'hébergeur
Ce qu'il faut chercher. Votre hébergeur donne accès aux journaux du serveur. Pour UpdraftCentral, Nethemba relève des requêtes POST sur la page d'accueil avec l'agent « WordPress/6.4; class-udrpc.php ». Pour la connexion par lien secret, des requêtes vers la page d'accueil avec un paramètre de 32 caractères : une réponse 302 signale une connexion probablement réussie, une réponse 500 une variante cassée encore installée. Le journal d'UpdraftPlus garde aussi la trace des commandes reçues, sous la forme « Command received: plugin.upload_plugin ». Les adresses IP ne servent pas de filtre : Patchstack a vu l'attaquant changer d'infrastructure en moins d'une journée.
Si vous trouvez quelque chose
Changez tout, deux fois. Les mots de passe de chaque administrateur, du FTP, de la base de données, de l'hébergement et du compte TeamUpdraft, en tapant l'adresse vous-même plutôt qu'en cliquant sur un lien reçu par mail. Puis les clés secrètes de wp-config.php, qui ferment toutes les sessions ouvertes. Recommencez une fois le nettoyage fini, et réinitialisez la double authentification.
Restaurez si le doute reste. Une sauvegarde d'avant le 17 octobre, puis la clé UpdraftCentral supprimée de nouveau : une copie de cette date la contient encore. Le pas à pas est dans mon guide de restauration.
Pensez aux données personnelles. Si le site garde des comptes clients, des commandes ou des formulaires, une intrusion se notifie à la CNIL sous 72 heures dès qu'elle présente un risque pour les personnes.
Ne reconnectez pas UpdraftCentral tout de suite. Patchstack conseille d'attendre que l'éditeur ait expliqué l'origine de la fuite.
Questions fréquentes
Mon site est à jour : suis-je concerné ?
Pour UpdraftCentral, oui, si le site avait une clé active : le site d'IT-Connect, en UpdraftPlus Premium 2.26.11, a reçu la commande le 19 octobre à 7 h 17. Pour Ninja Forms ou Bricksforge, une version corrigée ferme la porte, mais ne retire pas un compte déjà créé.
Combien de temps prennent ces vérifications ?
Une heure environ sur un site sain, avec l'accès à l'administration et à l'hébergement. S'il faut nettoyer ou restaurer, comptez davantage.
Faut-il être développeur ?
Non pour les six premières vérifications : l'administration de WordPress, le gestionnaire de fichiers de l'hébergeur et la Search Console suffisent. Les journaux et la ligne de commande demandent plus d'habitude.
Une extension de sécurité aurait-elle suffi ?
Wordfence ou Sucuri aident à repérer les fichiers modifiés et bloquent une partie des attaques, mais une commande signée avec une vraie clé UpdraftCentral passe pour une commande légitime.
Vous préférez que je le fasse ?
Je fais ces vérifications de l'intérieur, je nettoie si besoin, je change les clés et les mots de passe, je mets tout à jour et je vous écris ce qui a été fait. : diagnostic gratuit sous 24 heures, devis avant toute intervention. Le déroulé et les prix de la mise à jour sont sur la page de l'intervention à distance.
Sources : incident de sécurité d'octobre 2026, TeamUpdraft, clés UpdraftCentral compromises et portes dérobées, Patchstack, analyse de la porte dérobée, Nethemba, le site d'IT-Connect touché le 19 octobre, campagne XSS par Ninja Forms, Patchstack, faille Bricksforge exploitée, Patchstack, faille du cœur CVE-2026-87902, Patchstack, WordPress 7.1.3, WordPress.org, failles PHP du 21 octobre, Sucuri, spam de mots-clés japonais, Sucuri.
