¿Qué ocurrió?
Una filtración, no una falla en el código. TeamUpdraft detectó un acceso no autorizado a su sitio durante el fin de semana del 17 y 18 de octubre. La base de datos de clientes fue comprometida: nombres, direcciones de correo electrónico, direcciones de facturación, historial de pedidos, contraseñas hasheadas, configuraciones de autenticación de dos factores, y las claves de conexión de UpdraftCentral, UpdraftVault y UpdraftClone. No se almacenaban datos de tarjetas de crédito. Con estas claves, el atacante envía comandos a los sitios firmados como si vinieran de ti, incluyendo la instalación de una extensión. Patchstack y Nethemba lo explican de la misma manera: no es una falla en el código de UpdraftPlus, y ningún número CVE ha sido asignado.
La cronología. Patchstack detectó el primer ataque el 18 de octubre a las 15:32, hora UTC. El 19 de octubre a las 7:17, el sitio de IT-Connect, con UpdraftPlus Premium 2.26.11, recibió el comando para instalar una extensión falsa. El mismo día, TeamUpdraft publicó la versión 1.26.12, y luego la 1.26.13 justo después de las 22:00, hora de Londres. El 22 de octubre, el editor añadió una instrucción: verificar, en tu cuenta de TeamUpdraft, los sitios listados bajo UpdraftCentral que no hayas conectado tú mismo desde el 19.
¿Qué no está afectado, según el editor? El código de la extensión y sus descargas, las copias de seguridad almacenadas en tu propio almacenamiento (Google Drive, Dropbox, S3…) y las instalaciones de UpdraftCentral alojadas por ti mismo.
¿Quién está expuesto?
Todo sitio que tenga una clave UpdraftCentral activa, sin importar su versión. Versión gratuita o Premium: TeamUpdraft, Patchstack y Nethemba afirman que ambas están afectadas. La casilla que añade un sitio a UpdraftCentral está marcada por defecto al vincular UpdraftPlus con una cuenta de TeamUpdraft, y estas claves no caducan: Patchstack vio funcionar una clave creada en noviembre de 2025. BleepingComputer estima que aproximadamente el 10% de los sitios de UpdraftPlus tienen una clave UpdraftCentral o de migración, lo que equivale a unos 400,000 sitios, sin citar su fuente.
¿Cómo saberlo? Configuración, UpdraftPlus, pestaña Herramientas avanzadas, UpdraftCentral: si aparece una clave listada, el sitio está expuesto. Con acceso por línea de comandos, el comando `wp option get updraft_central_localkeys` responde algo en el mismo caso.
Las acciones, en orden
1. Una copia del estado actual. Archivos y base de datos, fuera del servidor. Sirve como prueba, no como punto de restauración: si el sitio está comprometido, también lo está.
2. Conéctate directamente y actualiza. Conéctese a la administración del sitio, no desde UpdraftCentral, e instale la versión 1.26.13 o la 2.26.13 en Premium, o una versión más reciente. Evite la 1.26.12: debido a un error, no revocaba ninguna clave. La 1.26.13 revoca las claves creadas antes del incidente.
3. Eliminar la clave, todas las claves. En la pestaña UpdraftCentral de las herramientas avanzadas, elimine cada clave de la lista de claves existentes. Retirar el sitio de su panel UpdraftCentral no es suficiente. Nethemba señala que las claves creadas el 18 de octubre entre las 12:07 y las 21:00, hora UTC, no habrían sido revocadas por la actualización, algo que el editor no ha confirmado: por precaución, elimínelas manualmente. También elimine la clave de migración si no la utiliza. En línea de comandos, estas son las opciones updraft_central_localkeys y updraft_migrator_localkeys.
4. Si hay una extensión falsa, primero la clave. El atacante reutiliza las claves: mientras exista la clave, puede reinstalar una extensión después de su limpieza. Elimine la clave, luego desactive la extensión sospechosa y mueva su carpeta fuera del sitio, sin eliminarla desde la administración (su script de desinstalación borra sus rastros) y sin corregir su código si provoca un error. La identificación de extensiones falsas y cuentas ocultas está detallada en mi guía de verificaciones.
5. Eliminar cuentas desconocidas. Las extensiones falsas crean un Editor que puede instalar extensiones, nombrado según el modelo data-ops43, mostrado como «Herramientas del sitio», con una dirección en @example.org. Permanece en su lugar cuando se elimina la extensión.
6. Cambiar contraseñas y claves secretas. La cuenta de teamupdraft.com, escribiendo la dirección usted mismo en lugar de hacer clic en un enlace recibido por correo, cada contraseña reutilizada en otro lugar, y las de todos los administradores. Luego las claves secretas de wp-config.php, que cierran todas las sesiones abiertas, y la autenticación en dos pasos, que debe reiniciarse. En Premium, Nethemba también recomienda eliminar la contraseña de teamupdraft.com registrada en la extensión.
¿Sus copias de seguridad están sanas?
Las de su almacenamiento no se ven afectadas por la filtración. TeamUpdraft lo indica para las copias de seguridad depositadas en Google Drive, Dropbox o S3. Pero si UpdraftCentral ha accedido al sitio, el editor pide reautorizar el almacenamiento remoto y cambiar sus claves de acceso.
Una copia de seguridad realizada después de la intrusión puede contener la puerta trasera. Si una extensión falsa se instaló el 19 de octubre, la copia de seguridad automática del día siguiente la copió. Para restaurar, utilice una copia de seguridad de antes del 17 de octubre.
Una copia de seguridad de antes del 17 de octubre aún contiene la antigua clave. WP Staging lo recuerda: después de la restauración, elimine nuevamente la clave UpdraftCentral y vuelva a cambiar las contraseñas y las claves secretas. El paso a paso está en mi guía de restauración.
UpdraftVault: vuelva a conectarse. Todos los sitios han sido desconectados. En la configuración de UpdraftPlus, sección UpdraftVault, conéctese con la nueva contraseña, guarde los cambios y luego realice una copia de seguridad manual para verificar que todo funcione correctamente.
¿Es necesario volver a conectar UpdraftCentral?
No, por ahora. Patchstack recomienda esperar a que el editor explique el origen de la filtración; en la última actualización de su artículo, TeamUpdraft indicaba que la investigación seguía en curso. Si administra varios sitios y la gestión remota es indispensable para usted, cree la nueva clave bajo una cuenta que no pueda instalar extensiones. Para profundizar, Nethemba propone bloquear cualquier solicitud que contenga udrpc_message y evitar que PHP escriba en la carpeta de extensiones: esto debe ser gestionado por la persona que administra su alojamiento.
Preguntas frecuentes
¿La versión gratuita de UpdraftPlus está afectada?
Sí, tan pronto como una clave de UpdraftCentral esté activa. El 19 de octubre por la mañana, antes de los parches, IT-Connect creía que no; desde entonces, el editor, Patchstack y Nethemba afirman que ambas versiones lo están.
¿Debo desinstalar UpdraftPlus?
No: el código de la extensión no es el problema. Actualícela, elimine la clave de UpdraftCentral y mantenga sus copias de seguridad. Si no utiliza la gestión remota, simplemente no la active nuevamente.
¿Es lo mismo que la vulnerabilidad CVE-2026-10795?
No. Esta vulnerabilidad, corregida en junio de 2026 en las versiones 1.26.5 y 2.26.5, permitía forjar comandos sin clave. Es distinta a la filtración de octubre, pero afecta a los mismos sitios: otra razón para actualizar.
Mi sitio recibió una extensión falsa: ¿han filtrado mis datos de clientes?
La extensión da acceso completo al sitio: todo lo que el sitio contiene pudo ser leído. Si hay cuentas de clientes, pedidos o formularios registrados, la notificación a la CNIL debe hacerse en un plazo de 72 horas cuando haya un riesgo para las personas.
¿Necesita ayuda?
Si prefiere delegar, puedo eliminar las claves, verificar las cuentas, las extensiones y los archivos, controlar sus copias de seguridad y escribirle lo que se ha hecho. Diagnóstico gratuito en menos de 24 horas, presupuesto antes de cualquier intervención.
Fuentes: artículo de TeamUpdraft sobre el incidente, actualizado hasta el 22 de octubre, análisis de Patchstack, análisis de Nethemba, BleepingComputer, 20 de octubre, IT-Connect, 19 de octubre, CSO Online, 21 de octubre, guía de WP Staging, página y registro de versiones de UpdraftPlus, WordPress.org.
