UpdraftPlus: Angreifer nutzen gestohlene Schlüssel für Hintertüren in WordPress

UpdraftPlus ist eines der meistgenutzten Plugins für Backups in WordPress, mit über drei Millionen aktiven Installationen. Seit dem 18. Oktober 2026 nutzen Angreifer gestohlene Schlüssel, um darüber Hintertüren auf WordPress-Websites zu installieren.

Das Wichtigste in Kürze

• Das ist keine Lücke im Code von UpdraftPlus. Angreifer haben beim Hersteller TeamUpdraft Schlüssel gestohlen, mit denen sich Websites aus der Ferne verwalten lassen.
• Mit diesen Schlüsseln legen sie Admin-Konten an und installieren Plugins mit einer Hintertür.
• Das Update auf UpdraftPlus 1.26.13 oder Premium 2.26.13 sperrt die alten Schlüssel. Eine schon installierte Hintertür entfernt es nicht.
• Laut Patchstack laufen die Angriffe noch.

Was ist passiert?

UpdraftCentral ist ein Dienst von TeamUpdraft, mit dem du mehrere WordPress-Websites von einer Stelle aus verwaltest. Dafür bekommt jede verbundene Website einen Schlüssel. Am 17. und 18. Oktober 2026 wurde TeamUpdraft laut eigener Aussage angegriffen. Die Angreifer nutzen die Verbindungen seitdem, um Admin-Konten anzulegen und schädliche Plugins zu installieren.

Patchstack hat die ersten Angriffe am 18. Oktober gesehen und spricht von fast hundert verschiedenen Plugin-Namen, unter denen die Hintertür auftaucht. Patchstack stuft den Vorfall als kritisch ein. Eine CVE-Nummer gibt es nicht, weil es keine Lücke im Code ist.

Bist du betroffen?

Möglicherweise, wenn deine Website UpdraftPlus nutzt und mit dem UpdraftCentral-Dienst in der Cloud von TeamUpdraft verbunden ist. Laut Patchstack entsteht diese Verbindung schon, wenn die Website mit einem Konto bei TeamUpdraft verbunden wurde, und das passiert standardmäßig. Wer UpdraftCentral selbst betreibt, ist laut TeamUpdraft nicht betroffen.

Was du jetzt tun solltest

1. UpdraftPlus aktualisieren auf 1.26.13, Premium auf 2.26.13. WordPress.org hat das Update laut TeamUpdraft an alle Websites verteilt. Prüf trotzdem, ob es angekommen ist.
2. Admin-Konten prüfen. Unter Benutzer, gefiltert nach Administrator: Gibt es Konten, die niemand angelegt hat, besonders ab dem 17. Oktober?
3. Plugins prüfen. Gibt es Plugins, die niemand installiert hat? Die Hintertür versteckt sich laut Patchstack unter wechselnden Namen.
4. Im Zweifel als gehackt behandeln. Ein Update räumt nicht auf, was schon da ist. Was dann zu tun ist: Website gehackt.

Prüf dabei auch die PHP-Version. Seit dem 21. Oktober ist PHP2Shell bekannt, eine kritische Lücke in PHP selbst.

Quellen

• TeamUpdraft: Security incident October 2026
• Patchstack: UpdraftCentral key compromise used to install WordPress backdoors, 19. Oktober 2026
• WordPress.org: UpdraftPlus, Changelog