---
title: "UpdraftPlus : des portes dérobées installées via des clés UpdraftCentral volées. Que faire ?"
description: "Depuis le 18 octobre 2026, des sites WordPress reçoivent des extensions piégées installées à distance par UpdraftCentral, le service de gestion à distance de l’éditeur d’UpdraftPlus. La cause n’est pas une faille du plugin : le 17 et le 18 octobre, un pirate est entré dans la base clients de TeamUpdraft et y a récupéré […]"
url: "https://www.newp.fr/actualites/creation-refonte/web-agency/updraftcentral-backdoor-wordpress-octobre-2026/"
author: "Kévin Papot"
date: "2026-10-21T07:33:44+00:00"
lang: "fr_FR"
categories: ["Agence web"]
---

# UpdraftPlus : des portes dérobées installées via des clés UpdraftCentral volées. Que faire ?

Depuis le 18 octobre 2026, des sites WordPress reçoivent des extensions piégées installées à distance par UpdraftCentral, le service de gestion à distance de l'éditeur d'UpdraftPlus. La cause n'est pas une faille du plugin : le 17 et le 18 octobre, un pirate est entré dans la base clients de TeamUpdraft et y a récupéré les clés de connexion des sites. Avec ces clés, il envoie des ordres que le site croit légitimes. Le correctif publié le 19 au soir ne ferme pas la porte partout. Voici qui est concerné, comment savoir si votre site a été touché, et les gestes à faire dans l'ordre.

## L'essentiel en 30 secondes

| Question | Réponse |
|---|---|
| Que se passe-t-il ? | Un attaquant utilise des clés UpdraftCentral volées pour installer une extension qui ouvre une porte dérobée (backdoor) et crée un compte caché. |
| Est-ce une faille d'UpdraftPlus ? | Non. Les ordres sont signés avec de vraies clés, donc toutes les vérifications du plugin passent. Les clés ont été dérobées chez l'éditeur. |
| Qui est concerné ? | Les sites qui ont une clé UpdraftCentral active : reliés au tableau de bord UpdraftCentral en ligne, ou à un compte TeamUpdraft (licence Premium, UpdraftVault). Les versions gratuites comme payantes. |
| Qui ne l'est pas ? | Les sites sans aucune clé UpdraftCentral, et ceux reliés à une installation UpdraftCentral auto-hébergée. |
| La mise à jour suffit-elle ? | Pas complètement. Il faut passer en 1.26.13 (gratuit) ou 2.26.13 (Premium), puis supprimer les clés à la main. |
| Les sauvegardes s'arrêtent-elles ? | Non. Supprimer la clé coupe seulement la gestion à distance. Les sauvegardes programmées continuent. |

## Comment l'attaque fonctionne

UpdraftCentral permet de gérer plusieurs sites depuis un seul tableau de bord : mises à jour, sauvegardes, installation d'extensions. Pour cela, chaque site reçoit une paire de clés. Tout ordre signé avec la bonne clé est exécuté sans confirmation. C'est pratique pour une agence qui gère cinquante sites, et c'est exactement ce que l'attaquant a exploité.

LE DÉROULÉ DE L'ATTAQUE 1. Vol des clés Intrusion chez TeamUpdraft 17 et 18 octobre 2. Ordre signé « installe cette extension » le site l'accepte 3. Extension piégée « petit outil de maintenance » attend un jeton secret 4. Compte caché rôle Éditeur droits admin connexion directe Ce qui ne protège pas : mettre à jour seul · retirer le site du tableau de bord · double authentification · plugin de sécurité · supprimer l'extension La clé volée suffit : le site exécute l'ordre comme s'il venait de son propriétaire.L'extension installée se présente comme un outil anodin, avec la description « Small maintenance toolkit: keeps option storage tidy. » Son nom change d'un site à l'autre (près d'une centaine de variantes relevées par Patchstack, dont « Site Health Cache » ou « Type Stack 285 »). Elle surveille chaque visite et attend une adresse contenant un jeton secret. Quand l'attaquant l'appelle, elle :

- crée un compte avec un mot de passe écrit en dur dans le code ;
- lui donne le rôle **Éditeur**, mais lui ajoute en douce les droits de gérer les réglages et d'installer des extensions, ce qui revient à un accès administrateur complet ;
- connecte directement l'attaquant en posant le cookie de session, sans passer par la page de connexion. La double authentification, la limitation des tentatives et les plugins de sécurité ne voient rien passer.

Le compte survit à la suppression de l'extension, et le fichier de désinstallation de celle-ci efface ses propres traces. Sur certains sites, une erreur dans le code de l'extension a provoqué une [erreur critique (erreur 500)](https://www.newp.fr/actualites/creation-refonte/web-agency/erreur-critique-wordpress-ecran-blanc/) sur toutes les pages : c'est ce qui a permis à plusieurs victimes, dont le site IT-Connect, de repérer l'attaque en quelques minutes. Si votre site affiche cette erreur depuis le week-end, ne cherchez pas à « réparer » l'extension : corriger son code reviendrait à activer la porte dérobée.

## Ce que l'éditeur a reconnu, et ce qui reste flou

L'alerte a été largement relayée en France, notamment par [le post de Thierry Pigot (WP Assistance)](https://www.linkedin.com/posts/pigot-thierry_wordpress-updraftcentral-share-7517907489774809088-wTGX), qui insiste sur deux points que beaucoup d'utilisateurs ignorent : la mise à jour ne suffit pas, et une clé peut exister sur un site qui n'utilise UpdraftPlus que pour ses sauvegardes. Quand on relie son compte TeamUpdraft au plugin, par exemple pour activer une licence Premium, une case cochée par défaut ajoute le site à la gestion à distance. Les clés n'expirent pas : chez IT-Connect, la clé utilisée datait de 2020.

Voici la chronologie reconstituée à partir des publications de [Nethemba](https://nethemba.com/updraftcentral-backdoor-analysis/), qui a découvert l'attaque sur ses propres sites, de [Patchstack](https://patchstack.com/articles/updraftcentral-key-compromise-wordpress-backdoors/) et de [TeamUpdraft](https://teamupdraft.com/blog/security-incident-october-2026/) :

| Date | Événement |
|---|---|
| 17 et 18 octobre | Accès non autorisé au site teamupdraft.com et à la base clients. |
| 18 octobre, après-midi | Premières installations d'extensions piégées observées. |
| 19 octobre, matin | Nethemba détecte l'attaque sur trois de ses sites, Patchstack et IT-Connect publient leurs analyses. |
| 19 octobre, après-midi | TeamUpdraft publie un communiqué : la base clients a été consultée. |
| 19 octobre, soir | Versions 1.26.12 / 2.26.12, puis 1.26.13 / 2.26.13, censées révoquer les anciennes clés. |
| 20 octobre | TeamUpdraft indique que l'accès non autorisé est fermé et que les sites doivent quand même être vérifiés. |

Selon l'éditeur, la base consultée contenait les noms, e-mails, adresses de facturation, historiques de commandes, mots de passe chiffrés (hachés), réglages de double authentification et clés de connexion UpdraftCentral, UpdraftVault et UpdraftClone. Aucune donnée de carte bancaire n'était stockée. Les sauvegardes envoyées sur votre propre stockage (Google Drive, Dropbox, Amazon S3…) ne sont pas touchées.

Deux zones d'ombre demandent de la prudence :

1. **Le correctif est incomplet.** D'après Nethemba, la version 1.26.12 ne supprimait aucune clé à cause d'une erreur de programmation. La 1.26.13 révoque les anciennes clés, mais pas celles créées le 18 octobre dans l'après-midi et la soirée. Mettre à jour ne dispense donc pas de supprimer les clés à la main.
2. **La porte d'entrée chez l'éditeur n'est pas expliquée.** Tant que la cause n'est pas publiée, reconnecter un site à UpdraftCentral en ligne revient à faire confiance à un système dont on ignore comment il a été percé.

## Votre site est-il exposé ? La vérification en deux minutes

Tout tient dans une option de la base de données : `updraft_central_localkeys`. Si elle existe et n'est pas vide, le site a au moins une clé UpdraftCentral, donc il a pu recevoir des ordres. Faites le test même si vous pensez n'avoir jamais utilisé UpdraftCentral.

**Depuis l'administration :** Réglages, puis Sauvegardes UpdraftPlus, onglet Outils avancés, section UpdraftCentral. Si des clés apparaissent dans « Gérer les clés existantes », le site est relié.

**En ligne de commande (WP-CLI) :**

```
wp option get updraft_central_localkeys
```

Une erreur « Could not get 'updraft\_central\_localkeys' option » signifie qu'il n'y a pas de clé : le site n'est pas exposé par ce biais.

## Les 6 gestes à faire, dans cet ordre

L'ordre compte. Si vous retirez l'extension piégée avant la clé, l'attaquant peut en réinstaller une autre dans l'intervalle.

1. **Supprimer la clé UpdraftCentral.** Dans Outils avancés, section UpdraftCentral, supprimez chaque clé. Ou en WP-CLI : `wp option delete updraft_central_localkeys`. Retirer le site du tableau de bord UpdraftCentral ne suffit pas : la clé vit sur le site lui-même.
2. **Mettre à jour UpdraftPlus** en 1.26.13 (gratuit) ou 2.26.13 (Premium) minimum, directement depuis l'administration de chaque site, pas depuis UpdraftCentral.
3. **Chercher une extension inconnue**, y compris dans l'onglet des extensions « indispensables » (Must-Use). Le plus fiable est sa description : `grep -rl "keeps option storage tidy" wp-content/plugins wp-content/mu-plugins`. Si vous en trouvez une, déplacez son dossier hors du site par SFTP plutôt que de la supprimer depuis l'administration, pour garder une preuve et éviter que sa désinstallation n'efface les traces.
4. **Chercher le compte caché par ses droits, pas par son nom.** Les comptes relevés ont le rôle Éditeur, le nom affiché « Site Tools », un e-mail en @example.org et un identifiant du type deux mots plus deux chiffres (`data-ops43`, `media-staff96`, `content-ops71`). Commande utile : `wp user list --fields=ID,user_login,user_email,display_name,roles`. Tout Éditeur qui peut installer des extensions est suspect.
5. **Nettoyer la base.** Supprimez les options dont le nom se termine par `_sync_token` (et `_setup_stamp`) créées par l'extension : `wp option list --search="*_sync_token"`.
6. **Changer les mots de passe** de votre compte teamupdraft.com (en tapant l'adresse vous-même, jamais via un lien reçu par e-mail), de tous les administrateurs du site, et partout où le même mot de passe sert. Réinitialisez la double authentification de votre compte TeamUpdraft et reconnectez UpdraftVault avec les nouveaux identifiants si vous l'utilisez.

### Si votre site affiche une erreur 500

WP-CLI et l'administration plantent aussi dans ce cas. Deux solutions : supprimer la ligne `updraft_central_localkeys` directement dans la table `wp_options` (via phpMyAdmin, en adaptant le préfixe), ou renommer par SFTP le dossier de l'extension piégée pour la désactiver, puis supprimer la clé aussitôt le site revenu.

### Si la porte dérobée a servi

Si le compte caché existe, ou si vos journaux d'accès montrent une adresse avec un paramètre du type `?_4edcb5=` suivi d'un long jeton, considérez le site comme [entièrement piraté](https://www.newp.fr/wordpress-pirate/). L'attaquant a pu tout faire en administrateur. Dans ce cas :

- restaurez une sauvegarde antérieure au 17 octobre ;
- comparez les fichiers avec une installation propre de WordPress, du thème et des extensions ;
- fermez toutes les sessions ouvertes et changez tous les mots de passe et clés (base de données, SFTP, clés de sécurité de `wp-config.php`) ;
- vérifiez s'il y avait des données personnelles de clients ou de membres. Si elles ont pu fuiter, le RGPD impose d'évaluer la notification à la CNIL dans les 72 heures.

## Faut-il reconnecter UpdraftCentral ?

Pas tout de suite. Les sauvegardes fonctionnent sans UpdraftCentral, seule la gestion à distance s'arrête. Attendez que TeamUpdraft explique comment son système a été percé. Si vous avez besoin de gérer plusieurs sites à distance, l'installation auto-hébergée d'UpdraftCentral n'est pas concernée par cet incident. Et si vous reconnectez un jour, faites-le avec un compte qui n'a pas le droit d'installer des extensions : un ordre volé fera alors beaucoup moins de dégâts.

## Notre lecture : la sauvegarde, outil de sécurité devenu porte d'entrée

Cet incident illustre un risque qu'on sous-estime : chaque service relié à un site WordPress (tableau de bord de gestion, outil de sauvegarde en ligne, connecteur de maintenance) détient une clé qui ouvre ce site. Si ce service est piraté, tous les sites qui lui font confiance le sont aussi, même parfaitement à jour. C'est ce qu'on appelle une attaque par la chaîne d'approvisionnement.

Trois réflexes à garder, au-delà d'UpdraftPlus :

- **Faire l'inventaire des connexions** : quels services ont une clé ou un accès à distance sur vos sites ? Supprimez celles qui ne servent plus. Une clé oubliée depuis 2020 a suffi chez IT-Connect.
- **Décocher les cases cochées par défaut** à l'installation d'une extension ou à l'activation d'une licence.
- **Surveiller ce qui change** : une nouvelle extension ou un nouveau compte qui apparaît sans que personne ne l'ait ajouté doit déclencher une alerte. C'est le rôle d'une [maintenance WordPress](https://www.newp.fr/contrat-maintenance-wordpress/) suivie, en plus des mises à jour.

Pour aller plus loin, notre [guide complet de la sécurité WordPress](https://www.newp.fr/actualites/creation-refonte/web-agency/securite-wordpress-guide-complet-2026/) et notre point sur [les failles critiques de juillet 2026](https://www.newp.fr/actualites/cas-clients-coulisses/news/failles-critiques-wordpress-juillet-2026/) détaillent les autres protections à mettre en place.

## En résumé

- Des clés UpdraftCentral volées chez l'éditeur servent à installer des portes dérobées sur des sites WordPress depuis le 18 octobre 2026.
- Le plugin n'a pas de faille : c'est la clé qui ouvre la porte. Toutes les versions sont concernées si une clé est présente.
- Mettre à jour en 1.26.13 / 2.26.13 est nécessaire mais ne suffit pas : supprimez la clé à la main.
- Cherchez une extension « Small maintenance toolkit » et un Éditeur aux droits d'administrateur, puis changez les mots de passe.
- Ne reconnectez pas UpdraftCentral en ligne avant les explications de l'éditeur.

Vous gérez plusieurs sites et n'avez pas le temps de tous les vérifier, ou votre site affiche une erreur depuis le week-end ? Notre service d'[urgence WordPress](https://www.newp.fr/urgence-wordpress/) s'en charge : vérification des clés, recherche de la porte dérobée, nettoyage et remise en service. [Contactez-nous](https://www.newp.fr/contact/).

## Questions fréquentes

J'utilise UpdraftPlus gratuit seulement pour mes sauvegardes, suis-je concerné ?Seulement si le site a une clé UpdraftCentral. C'est le cas si vous l'avez relié un jour au tableau de bord UpdraftCentral ou à un compte TeamUpdraft, par exemple pour UpdraftVault. Sans compte ni clé, l'éditeur indique qu'aucune action n'est nécessaire, mais la vérification prend deux minutes dans Outils avancés, section UpdraftCentral.

La mise à jour en 1.26.13 suffit-elle à me protéger ?Non. Elle révoque les anciennes clés, mais selon Nethemba elle ne couvre pas celles créées le 18 octobre après-midi et soir. Il faut supprimer les clés à la main et vérifier qu'aucune extension ou compte inconnu n'a été ajouté.

Supprimer la clé UpdraftCentral arrête-t-il mes sauvegardes ?Non. Les sauvegardes programmées continuent de fonctionner. Seule la gestion du site à distance depuis UpdraftCentral s'arrête.

Comment reconnaître l'extension piégée ?Son nom change d'un site à l'autre, mais sa description est toujours la même : « Small maintenance toolkit: keeps option storage tidy. » Le nom « Site Health Cache » revient souvent. Une erreur 500 apparue sur tout le site depuis le 18 octobre peut aussi être un signe.

La double authentification protège-t-elle de cette attaque ?Non. La porte dérobée connecte l'attaquant en posant directement le cookie de session, sans passer par la page de connexion. La double authentification et les plugins de sécurité ne sont pas sollicités.

Mes données de carte bancaire sont-elles en danger ?Selon TeamUpdraft, aucune donnée de carte n'était stockée chez eux, les paiements passant par Stripe et PayPal. Les noms, e-mails, adresses, commandes et mots de passe hachés ont en revanche été consultés : méfiez-vous des e-mails qui imitent TeamUpdraft.

UpdraftCentral auto-hébergé est-il concerné ?Non. Selon l'éditeur, seule la version en ligne d'UpdraftCentral est touchée, car ce sont ses clés qui étaient stockées dans la base clients piratée.

{"@context": "https://schema.org", "@type": "FAQPage", "mainEntity": \[{"@type": "Question", "name": "J'utilise UpdraftPlus gratuit seulement pour mes sauvegardes, suis-je concerné ?", "acceptedAnswer": {"@type": "Answer", "text": "Seulement si le site a une clé UpdraftCentral. C'est le cas si vous l'avez relié un jour au tableau de bord UpdraftCentral ou à un compte TeamUpdraft, par exemple pour UpdraftVault. Sans compte ni clé, l'éditeur indique qu'aucune action n'est nécessaire, mais la vérification prend deux minutes dans Outils avancés, section UpdraftCentral."}}, {"@type": "Question", "name": "La mise à jour en 1.26.13 suffit-elle à me protéger ?", "acceptedAnswer": {"@type": "Answer", "text": "Non. Elle révoque les anciennes clés, mais selon Nethemba elle ne couvre pas celles créées le 18 octobre après-midi et soir. Il faut supprimer les clés à la main et vérifier qu'aucune extension ou compte inconnu n'a été ajouté."}}, {"@type": "Question", "name": "Supprimer la clé UpdraftCentral arrête-t-il mes sauvegardes ?", "acceptedAnswer": {"@type": "Answer", "text": "Non. Les sauvegardes programmées continuent de fonctionner. Seule la gestion du site à distance depuis UpdraftCentral s'arrête."}}, {"@type": "Question", "name": "Comment reconnaître l'extension piégée ?", "acceptedAnswer": {"@type": "Answer", "text": "Son nom change d'un site à l'autre, mais sa description est toujours la même : « Small maintenance toolkit: keeps option storage tidy. » Le nom « Site Health Cache » revient souvent. Une erreur 500 apparue sur tout le site depuis le 18 octobre peut aussi être un signe."}}, {"@type": "Question", "name": "La double authentification protège-t-elle de cette attaque ?", "acceptedAnswer": {"@type": "Answer", "text": "Non. La porte dérobée connecte l'attaquant en posant directement le cookie de session, sans passer par la page de connexion. La double authentification et les plugins de sécurité ne sont pas sollicités."}}, {"@type": "Question", "name": "Mes données de carte bancaire sont-elles en danger ?", "acceptedAnswer": {"@type": "Answer", "text": "Selon TeamUpdraft, aucune donnée de carte n'était stockée chez eux, les paiements passant par Stripe et PayPal. Les noms, e-mails, adresses, commandes et mots de passe hachés ont en revanche été consultés : méfiez-vous des e-mails qui imitent TeamUpdraft."}}, {"@type": "Question", "name": "UpdraftCentral auto-hébergé est-il concerné ?", "acceptedAnswer": {"@type": "Answer", "text": "Non. Selon l'éditeur, seule la version en ligne d'UpdraftCentral est touchée, car ce sont ses clés qui étaient stockées dans la base clients piratée."}}\]}

---

*Source : [www.newp.fr](https://www.newp.fr/actualites/creation-refonte/web-agency/updraftcentral-backdoor-wordpress-octobre-2026/)*