Dans son avis de sécurité actualisé le 21 octobre 2026, TeamUpdraft demande aux utilisateurs d’UpdraftPlus Premium de vérifier leurs sites WordPress, même s’ils ne pensent pas utiliser UpdraftCentral.
Des clés de connexion détournées
L’éditeur avait signalé une intrusion sur teamupdraft.com pendant le week-end des 17 et 18 octobre. Sa base clients a pu être consultée. Des clés UpdraftCentral compromises ont permis de créer des administrateurs et d’installer des extensions malveillantes sur des sites connectés. L’étendue exacte reste inconnue.
TeamUpdraft indique que le plugin et ses téléchargements n’ont pas été compromis. La version auto-hébergée d’UpdraftCentral n’est pas affectée, selon l’entreprise.
La mise à jour ne remplace pas le contrôle
Les versions 1.26.13 gratuite et 2.26.13 Premium, publiées le 19 octobre, révoquent les anciennes connexions. Elles coupent ce vecteur d’accès, sans établir qu’un site est exempt des conséquences d’une intrusion antérieure.
L’éditeur recommande notamment de changer le mot de passe du compte TeamUpdraft et de contrôler les administrateurs et extensions inhabituels.
Ne pas confondre installations et victimes
Search Engine Journal souligne que des utilisateurs limitant leur usage aux sauvegardes peuvent avoir une connexion Cloud activée par défaut. Le parc installé du plugin ne représente pas un décompte des sites piratés. Une mise à jour ne garantit pas, à elle seule, l’élimination de portes dérobées déjà présentes.
