Ce qui s'est passé
Une fuite, pas une faille du code. TeamUpdraft a constaté un accès non autorisé à son site pendant le week-end du 17 et 18 octobre. La base clients a été touchée : noms, adresses e-mail, adresses de facturation, historique de commandes, mots de passe hachés, réglages de double authentification, et les clés de connexion d'UpdraftCentral, d'UpdraftVault et d'UpdraftClone. Aucune donnée de carte bancaire n'était stockée. Avec ces clés, l'attaquant envoie aux sites des commandes signées comme si elles venaient de vous, dont l'installation d'une extension. Patchstack et Nethemba le disent de la même façon : ce n'est pas une faille dans le code d'UpdraftPlus, et aucun numéro CVE n'a été attribué.
La chronologie. Patchstack a vu la première attaque le 18 octobre à 15 h 32, heure UTC. Le 19 octobre à 7 h 17, le site d'IT-Connect, en UpdraftPlus Premium 2.26.11, reçoit la commande qui installe une fausse extension. Le même jour, TeamUpdraft publie la 1.26.12, puis la 1.26.13 juste après 22 h, heure de Londres. Le 22 octobre, l'éditeur ajoute une consigne : vérifier, dans votre compte TeamUpdraft, les sites listés sous UpdraftCentral que vous n'avez pas connectés vous-même depuis le 19.
Ce qui n'est pas touché, selon l'éditeur. Le code de l'extension et ses téléchargements, les sauvegardes déposées dans votre propre stockage (Google Drive, Dropbox, S3…) et les installations d'UpdraftCentral hébergées par vous-même.
Qui est exposé
Tout site qui a une clé UpdraftCentral active, quelle que soit sa version. Version gratuite ou Premium : TeamUpdraft, Patchstack et Nethemba disent que les deux le sont. La case qui ajoute un site à UpdraftCentral est cochée par défaut quand on relie UpdraftPlus à un compte TeamUpdraft, et ces clés n'expirent pas : Patchstack a vu fonctionner une clé créée en novembre 2025. BleepingComputer estime qu'environ 10 % des sites UpdraftPlus ont une clé UpdraftCentral ou de migration, soit environ 400 000 sites, sans citer sa source.
Comment le savoir. Réglages, UpdraftPlus, onglet Outils avancés, UpdraftCentral : si une clé est listée, le site est exposé. Avec un accès en ligne de commande, la commande wp option get updraft_central_localkeys répond quelque chose dans le même cas.
Les gestes, dans l'ordre
1. Une copie de l'état actuel. Fichiers et base de données, hors du serveur. Elle sert de preuve, pas de point de restauration : si le site est touché, elle l'est aussi.
2. Se connecter directement et mettre à jour. Connectez-vous à l'administration du site, pas depuis UpdraftCentral, et installez la 1.26.13, ou la 2.26.13 en Premium, ou une version plus récente. Évitez la 1.26.12 : à cause d'un bug, elle ne révoquait aucune clé. La 1.26.13 révoque les clés créées avant l'incident.
3. Supprimer la clé, toutes les clés. Dans l'onglet UpdraftCentral des outils avancés, supprimez chaque clé de la liste des clés existantes. Retirer le site de votre tableau de bord UpdraftCentral ne suffit pas. Nethemba signale que des clés créées le 18 octobre entre 12 h 07 et 21 h, heure UTC, ne seraient pas révoquées par la mise à jour, ce que l'éditeur n'a pas confirmé : dans le doute, supprimez-les à la main. Supprimez aussi la clé de migration si vous ne vous en servez pas. En ligne de commande, ce sont les options updraft_central_localkeys et updraft_migrator_localkeys.
4. Si une fausse extension est là, la clé d'abord. L'attaquant réutilise les clés : tant que la clé existe, il peut reposer une extension après votre nettoyage. Supprimez la clé, puis désactivez l'extension suspecte et déplacez son dossier hors du site, sans la supprimer depuis l'administration (son script de désinstallation efface ses traces) et sans corriger son code si elle provoque une erreur. Le repérage des fausses extensions et des comptes cachés est détaillé dans mon guide des vérifications.
5. Supprimer les comptes inconnus. Les fausses extensions créent un Éditeur qui peut installer des extensions, nommé sur le modèle data-ops43, affiché « Site Tools », avec une adresse en @example.org. Il reste en place quand l'extension est supprimée.
6. Changer les mots de passe et les clés secrètes. Le compte teamupdraft.com, en tapant l'adresse vous-même plutôt qu'en cliquant sur un lien reçu par mail, chaque mot de passe réutilisé ailleurs, et ceux de tous les administrateurs. Puis les clés secrètes de wp-config.php, qui ferment toutes les sessions ouvertes, et la double authentification, à réinitialiser. En Premium, Nethemba conseille aussi de retirer le mot de passe teamupdraft.com enregistré dans l'extension.
Vos sauvegardes sont-elles saines ?
Celles de votre stockage ne sont pas touchées par la fuite. TeamUpdraft l'indique pour les sauvegardes déposées sur Google Drive, Dropbox ou S3. Mais si UpdraftCentral a accédé au site, l'éditeur demande de réautoriser le stockage distant et de changer ses clés d'accès.
Une sauvegarde faite après l'intrusion peut contenir la porte dérobée. Si une fausse extension a été posée le 19 octobre, la sauvegarde automatique du lendemain l'a copiée. Pour restaurer, prenez une sauvegarde d'avant le 17 octobre.
Une sauvegarde d'avant le 17 octobre contient encore l'ancienne clé. WP Staging le rappelle : après la restauration, supprimez de nouveau la clé UpdraftCentral et refaites le changement des mots de passe et des clés secrètes. Le pas à pas est dans mon guide de restauration.
UpdraftVault : reconnectez-vous. Tous les sites ont été déconnectés. Dans les réglages d'UpdraftPlus, section UpdraftVault, connectez-vous avec le nouveau mot de passe, enregistrez, puis lancez une sauvegarde manuelle pour vérifier que tout repart.
Faut-il reconnecter UpdraftCentral ?
Pas tout de suite. Patchstack conseille d'attendre que l'éditeur ait expliqué l'origine de la fuite ; dans la dernière mise à jour de son billet, TeamUpdraft indiquait que l'enquête était toujours en cours. Si vous gérez plusieurs sites et que la gestion à distance vous est indispensable, créez la nouvelle clé sous un compte qui ne peut pas installer d'extensions. Pour aller plus loin, Nethemba propose de bloquer toute requête qui contient udrpc_message et d'empêcher PHP d'écrire dans le dossier des extensions : c'est à confier à la personne qui gère votre hébergement.
Questions fréquentes
La version gratuite d'UpdraftPlus est-elle concernée ?
Oui, dès qu'une clé UpdraftCentral est active. Le 19 octobre au matin, avant les correctifs, IT-Connect pensait que non ; l'éditeur, Patchstack et Nethemba disent depuis que les deux versions le sont.
Faut-il désinstaller UpdraftPlus ?
Non : le code de l'extension n'est pas en cause. Mettez-la à jour, supprimez la clé UpdraftCentral et gardez vos sauvegardes. Si vous n'utilisez pas la gestion à distance, ne la réactivez simplement pas.
Est-ce la même chose que la faille CVE-2026-10795 ?
Non. Cette faille, corrigée en juin 2026 dans les versions 1.26.5 et 2.26.5, permettait de forger des commandes sans clé. Elle est distincte de la fuite d'octobre, mais touche les mêmes sites : une raison de plus de mettre à jour.
Mon site a reçu une fausse extension : mes données clients ont-elles fuité ?
L'extension donne un accès complet au site : tout ce que le site contient a pu être lu. Si des comptes clients, des commandes ou des formulaires sont enregistrés, la notification à la CNIL se fait sous 72 heures dès qu'il y a un risque pour les personnes.
Besoin d'aide ?
Si vous préférez déléguer, : je supprime les clés, je vérifie les comptes, les extensions et les fichiers, je contrôle vos sauvegardes et je vous écris ce qui a été fait. Diagnostic gratuit sous 24 heures, devis avant toute intervention.
Sources : billet de TeamUpdraft sur l'incident, mis à jour jusqu'au 22 octobre, analyse de Patchstack, analyse de Nethemba, BleepingComputer, 20 octobre, IT-Connect, 19 octobre, CSO Online, 21 octobre, guide de WP Staging, page et journal des versions d'UpdraftPlus, WordPress.org.
