Un pirate piège des sites WordPress avec les clés volées à l'éditeur de l'extension UpdraftPlus

Le 18 octobre, peu après 15 h 30 (heure universelle), des sites WordPress ont commencé à recevoir des commandes d'installation d'extensions qu'aucun administrateur n'avait passées. Ces ordres étaient pourtant authentiques en apparence : ils étaient signés avec de vraies clés d'UpdraftCentral, la console qui permet de piloter à distance les sites équipés de l'extension de sauvegarde UpdraftPlus.

D'où venaient ces clés ? Le même week-end, TeamUpdraft, l'éditeur d'UpdraftPlus, a détecté un accès non autorisé à son site teamupdraft.com. Dans son avis, il estime que le pirate a probablement obtenu sa base clients : noms, e-mails, adresses de facturation, historique des commandes, empreintes des mots de passe, réglages de double authentification et clés de connexion d'UpdraftCentral, UpdraftVault et UpdraftClone. Les cartes bancaires, gérées par Stripe et PayPal, ne sont pas concernées selon l'éditeur. Les versions correctives sont UpdraftPlus 1.26.13 (gratuite) et 2.26.13 (Premium), publiées le 19 octobre au soir.

Une clé volée suffit pour installer une extension piégée

La société slovaque Nethemba a vu trois de ses propres sites visés dans la nuit du 18 au 19 octobre, et deux ont reçu une extension piégée. Ses sites étaient à jour : l'attaquant n'a exploité aucune faille. Il a envoyé depuis son propre serveur des commandes signées avec les clés de la console, et chaque site les a exécutées avec les droits de l'utilisateur qui avait créé la clé. Selon Nethemba, ces clés n'expirent jamais : certaines, créées en novembre 2025, fonctionnaient encore.

Selon BleepingComputer, Patchstack a recensé au moins 99 extensions malveillantes, déguisées en outils de maintenance ou d'optimisation (« Site Health Cache », par exemple). Une première version, mal programmée, faisait planter les sites. Les suivantes permettent à l'attaquant de se connecter comme administrateur ou de créer un compte administrateur qu'elles tentent, sans succès, de cacher. Le 20 octobre, des requêtes tentaient encore de réveiller des portes dérobées déjà supprimées, a constaté Nethemba.

Combien de sites sont exposés ? TeamUpdraft ne le dit pas. BleepingComputer estime qu'environ 10 % des sites UpdraftPlus disposent d'une clé UpdraftCentral ou Migrator, soit potentiellement 400 000 sites.

Le premier correctif ne supprimait aucune clé

Le 19 octobre, une version 1.26.12/2.26.12 devait effacer les clés antérieures à l'incident. À cause d'un bug, elle n'en supprimait aucune, selon Nethemba. La version 1.26.13/2.26.13 corrige ce défaut le soir même. Mais toujours selon Nethemba, elle n'efface que les clés créées avant 12 h 07 UTC le 18 octobre, alors que l'éditeur fixe la limite à 21 h UTC : les clés créées entre ces deux heures restent à supprimer à la main. Autre piège : à la connexion d'un compte teamupdraft.com dans l'extension, la case qui ajoute le site à UpdraftCentral est cochée par défaut.

Les instances d'UpdraftCentral hébergées par les clients ne sont pas touchées. Les utilisateurs de la version gratuite sans compte n'ont rien à faire, d'après l'éditeur.

Que faire sur vos sites WordPress ?

L'attaque passe par un accès légitime, pas par une faille : mettre l'extension à jour ne suffit donc pas.

1. Installez la 1.26.13 ou la 2.26.13 (pas la 1.26.12).
2. Dans Réglages, UpdraftPlus, Outils avancés, UpdraftCentral, supprimez les clés de connexion existantes, même si vous n'utilisez plus la console. Supprimez aussi les clés Migrator inutiles.
3. Cherchez les extensions inconnues, y compris dans l'onglet des extensions obligatoires (« must-use »), et les comptes administrateurs ou éditeurs créés depuis le 17 octobre.
4. Dans les journaux, cherchez des requêtes dont l'agent utilisateur est « WordPress/6.4; class-udrpc.php » : Nethemba les attribue à l'attaquant, avec d'autres indicateurs.
5. Changez le mot de passe de votre compte teamupdraft.com en tapant l'adresse vous-même, réinitialisez la double authentification et changez les mots de passe des administrateurs.
6. Si une porte dérobée a fonctionné, restaurez une sauvegarde antérieure au 17 octobre et changez les clés d'accès à vos espaces de stockage.

Ce n'est pas la première fois qu'un outil de confiance sert de porte d'entrée cette semaine : l'extension Rank Math PRO a distribué une mise à jour piégée pendant onze heures. TeamUpdraft, qui a prévenu l'ICO, l'autorité britannique de protection des données, n'a toujours pas expliqué comment le pirate est entré.