UpdraftPlus: Gestohlene UpdraftCentral-Schlüssel öffnen WordPress-Websites

Wer WordPress mit UpdraftPlus sichert und je ein teamupdraft.com-Konto verbunden hat, sollte heute jede Website prüfen. Angreifer haben beim Hersteller TeamUpdraft Verbindungsschlüssel für den Cloud-Dienst UpdraftCentral erbeutet und damit seit dem 18. Oktober 2026 Hintertür-Plugins installiert. Die erste Notfallversion 1.26.12 sperrte die alten Schlüssel wegen eines Fehlers nicht, erst 1.26.13 behebt das.

Nicht betroffen sind laut Hersteller kostenlose Installationen ohne teamupdraft.com-Konto und selbst gehostetes UpdraftCentral. Backups auf Google Drive, Dropbox, Amazon S3 oder eigenem Speicher sind nach Herstellerangaben nicht direkt kompromittiert.

Was ist passiert?

TeamUpdraft meldet einen unbefugten Zugriff auf teamupdraft.com am Wochenende vom 17. auf den 18. Oktober. Ausgelesen wurde vermutlich die Kundendatenbank mit Namen, Adressen, Bestellhistorie, Passwort-Hashes, Zwei-Faktor-Einstellungen und den Verbindungsschlüsseln für UpdraftCentral, UpdraftVault und UpdraftClone. Kartendaten speichert der Hersteller nicht.

UpdraftCentral ist ein Fernverwaltungsdienst, dessen Client in jeder UpdraftPlus-Installation steckt. Eine verbundene Website führt korrekt signierte Befehle mit den Rechten des Benutzers aus, der die Verbindung angelegt hat. Laut dem Sicherheitsunternehmen Nethemba und Meldungen an Wordfence luden die Angreifer so per plugin.upload_plugin Plugins mit Hintertür hoch und aktivierten sie. Weil die Befehle gültig signiert waren, halfen weder aktuelle Plugin-Versionen noch musterbasierte Firewalls.

Laut Nethemba meldet eine Variante den Angreifer ohne neues Konto als bestehenden Administrator an, eine andere versteckt sich in der Plugin-Liste.

Wer ist betroffen?

• Websites mit UpdraftPlus Free oder Premium, auf denen ein Schlüssel für das Cloud-UpdraftCentral hinterlegt ist oder während des Vorfalls hinterlegt war.
• Auch ohne bewusste Nutzung: Beim Verbinden mit dem teamupdraft.com-Konto ist „zu UpdraftCentral hinzufügen“ laut Wordfence und Nethemba vorausgewählt.
• Alle teamupdraft.com-Kunden wegen der Kontodaten.

Ob ein Schlüssel existiert, zeigt Einstellungen, UpdraftPlus, Erweiterte Werkzeuge, UpdraftCentral. Steht bei „Manage existing keys“ eine Zahl größer null, gilt die Website als möglicherweise betroffen.

Wie kritisch ist das?

Für Websites mit Cloud-Schlüssel ist das akut kritisch: Ein eingeschleustes Plugin führt beliebigen PHP-Code aus, die Website gilt dann als übernommen. Es geht um gestohlene, gültige Schlüssel, nicht um eine neue CVE. Wordfence blockiert eingehende UpdraftCentral-Befehle auf betroffenen Versionen per Notfallregel, auch in der kostenlosen Version. Bereits Installiertes entfernt die Regel nicht.

Zum Notfallupdate: Laut Changelog auf WordPress.org sollte UpdraftPlus 1.26.12 die alten Cloud-Schlüssel widerrufen, Version 1.26.13 vom selben Tag „wendet den Widerruf aus 1.26.12 korrekt an“. Nethemba hat den Code geprüft und schreibt, 1.26.12 habe keinen einzigen Schlüssel gelöscht. Zudem blieben nach dieser Analyse auch mit 1.26.13 Schlüssel stehen, die am 18. Oktober zwischen 12:07 und 21:00 UTC angelegt wurden. Der Hersteller hat das bisher nicht bestätigt. Sicher ist nur das manuelle Löschen. Auf Versionen bis 1.26.4 bzw. 2.26.4 brauchen Angreifer wegen der älteren Lücke CVE-2026-10795 laut Nethemba nicht einmal einen gültigen Schlüssel.

Was sollten Admins jetzt tun?

• Alle Websites mit UpdraftPlus auflisten und auf jeder direkt im eigenen Dashboard, nicht über UpdraftCentral, nach Schlüsseln sehen, auch auf selten betreuten Kundenseiten.
• Alle UpdraftCentral-Schlüssel auf der Website löschen. Das Entfernen der Website nur im Cloud-Dashboard genügt nicht, entscheidend ist der lokale Schlüssel.
• UpdraftPlus auf 1.26.13 (Free) bzw. 2.26.13 (Premium) oder neuer aktualisieren, nicht nur auf 1.26.12.
• Wordfence-Nutzer die Firewallregeln per „Manually Refresh Rules“ sofort aktualisieren.
• Vor dem Aufräumen Logs sichern. Im UpdraftCentral-Log auf Command received: plugin.upload_plugin und plugin.delete_plugin achten, im Zugriffslog auf die Adressen 43.250.53.42 und 2a09:bac5:4e21:2e3c::49b:9 sowie den User-Agent WordPress/6.4; class-udrpc.php.
• Per SFTP oder SSH wp-content/plugins und wp-content/mu-plugins auf unbekannte Plugins ab dem 18. Oktober prüfen, nicht nur die Plugin-Liste. Benutzerrechte und Anwendungspasswörter in der Datenbank kontrollieren.
• Bei Funden Website und Datenbank aus einem Backup von vor dem 17. Oktober wiederherstellen, statt nur das Plugin zu löschen. Danach Admin-Passwörter, Sitzungen, Salts und Zugänge zu Hosting, Datenbank und Speicher erneuern.
• teamupdraft.com-Passwort und Zwei-Faktor-Einstellung zurücksetzen, Adresse direkt eintippen. Mails, die nach Schlüsseln fragen, sind verdächtig.

Folgen für Backups

TeamUpdraft hat alle Websites von UpdraftVault getrennt. Bis zur Neuverbindung mit dem neuen Kontopasswort laufen keine Backups nach Vault, ein manuelles Backup danach bestätigt den Speicher. Wurde eine Website über UpdraftCentral angegriffen, rät der Hersteller, auch externen Speicher neu zu autorisieren und dessen Zugangsschlüssel zu tauschen. UpdraftClone-Kunden müssen ausgegebene Client-Schlüssel neu verteilen.

Einordnung für Unternehmen

Fernverwaltungsdienste für WordPress halten Schlüssel, die wie ein Generalschlüssel wirken. Wird der Anbieter kompromittiert, helfen aktuelle Plugins und eine Web-Firewall wenig. Unternehmen und Agenturen sollten wissen, welche Dienste auf ihre Websites zugreifen, ungenutzte Verbindungen entfernen und Backups mehrere Wochen aufbewahren, damit ein sauberer Stand von vor einem Vorfall verfügbar bleibt.

Passende Anleitungen auf S-EDV

• UpdraftPlus: automatische Backups auf externen Speicher einrichten
• WordPress nach einem Hack bereinigen, ohne Daten zu verlieren
• WordPress-Backup per Restore-Probe testen

Quellen

• TeamUpdraft: Sicherheitsvorfall, Stand 19. Oktober 2026
• Wordfence: Kompromittierung der UpdraftCentral-Verbindungsschlüssel
• Nethemba: Analyse der UpdraftCentral-Hintertüren
• UpdraftPlus auf WordPress.org mit Changelog