Clés UpdraftCentral compromises : une checklist site par site pour les agences

Le week-end des 17 et 18 octobre 2026, TeamUpdraft (l’entreprise derrière UpdraftPlus) a détecté un accès non autorisé à teamupdraft.com et constaté que sa base de données clients avait été consultée. Cette base contenait notamment les clés de connexion d’UpdraftCentral, UpdraftVault et UpdraftClone. Le 21 octobre, TeamUpdraft a confirmé que l’attaquant avait utilisé une clé UpdraftCentral compromise pour créer des comptes administrateur et installer des plugins sur des sites ; l’ampleur exacte est encore à l’étude. Si vous gérez des sites clients via UpdraftCentral (cloud), considérez chaque site qui y figurait avant le 18 octobre comme potentiellement touché. Ce guide transforme les consignes officielles en une checklist site par site que vous pouvez confier à n’importe qui dans votre équipe, et ajoute ce qu’il faut dire aux clients.

Tout ce qui concerne l’incident lui-même provient de l’avis de sécurité de TeamUpdraft (publié le 19 octobre, mis à jour pour la dernière fois le 22 octobre au moment de la rédaction). Consultez-le pour connaître l’état le plus récent avant de commencer.

D’abord : êtes-vous concerné ?

• Vous utilisiez UpdraftCentral (cloud) pour gérer des sites : concerné. Ses clés de connexion ont été compromises et au moins une a été utilisée. Traitez aujourd’hui chaque site listé.
• Vous utilisez UpdraftCentral auto-hébergé : pas concerné, selon TeamUpdraft.
• Vous utilisez UpdraftVault : tous les sites ont été déconnectés et de nouveaux identifiants émis. Vous devez reconnecter chaque site (voir plus bas).
• Vous avez partagé des clés UpdraftClone avec des clients : les anciennes clés ne fonctionnent plus ; envoyez les nouvelles à vos clients.
• Vous avez un compte teamupdraft.com, quel qu’il soit : changez ce mot de passe et partout où vous l’avez réutilisé.
• UpdraftPlus gratuit sans compte teamupdraft.com : aucune action requise, mais gardez le plugin à jour.

Les téléchargements du plugin n’ont pas été touchés, pas plus que les sauvegardes envoyées vers votre propre stockage distant (Google Drive, Dropbox, Amazon S3 et similaires). TeamUpdraft ne stockait pas les données de carte. Si un site était accessible via UpdraftCentral, TeamUpdraft conseille de réautoriser son stockage distant et de changer par précaution les clés d’accès au stockage.

Faites une liste avant de toucher à quoi que ce soit

Avec beaucoup de sites clients, le risque est d’en oublier un. Exportez ou copiez d’abord la liste des sites connectés à UpdraftCentral, et donnez une ligne à chaque site : site, qui l’a vérifié, heure, administrateurs OK, plugins OK, clé supprimée, mots de passe changés, reconnecté. Cela prend cinq minutes et c’est ce que vous montrerez au client ensuite.

La checklist pour chaque site connecté

Faites-le depuis le tableau de bord WordPress du site lui-même (connectez-vous directement sur le site), pas via UpdraftCentral. Tapez l’adresse vous-même plutôt que de cliquer sur des liens dans des e-mails.

1. Mettez à jour UpdraftPlus vers 1.26.13 (gratuit) ou 2.26.13 (Premium) ou plus récent. Ces versions révoquent les clés de connexion UpdraftCentral créées avant 13 h 07 BST le 18 octobre. WordPress.org a poussé la mise à jour automatiquement, mais vérifiez la version sur chaque site.
2. Supprimez l’ancienne clé de connexion sous Réglages → UpdraftPlus → Advanced Tools → UpdraftCentral.
3. Vérifiez Utilisateurs. Filtrez sur Administrateur et sur Éditeur, et supprimez tout compte que vous ne reconnaissez pas. Notez son identifiant et sa date de création avant de le supprimer ; vous pourriez en avoir besoin plus tard.
4. Vérifiez Extensions, y compris l’onglet Must-Use. Supprimez tout ce que vous n’avez pas installé. Les attaquants aiment les plugins aux noms anodins, et les plugins must-use n’apparaissent pas dans la liste normale.
5. Changez les mots de passe de tous les comptes administrateur, y compris le compte de votre agence sur ce site.
6. Si quelque chose semble suspect, restaurez une sauvegarde antérieure au 17 octobre, puis refaites les vérifications sur le site restauré.
7. Réautorisez le stockage distant (Google Drive, Dropbox, S3 et similaires) et changez ces clés d’accès si le site figurait dans UpdraftCentral.
8. Reconnectez le site à UpdraftCentral seulement une fois les étapes ci-dessus terminées. Les sites reconnectés ainsi ne seront pas à nouveau déconnectés par la mise à jour.

Regardez un peu au-delà de la liste officielle

Les étapes officielles couvrent les points d’entrée évidents. Sur les sites qui comptent (boutiques, sites membres, tout ce qui contient des données clients), prenez dix minutes de plus :

• Fichiers et dossiers inconnus à la racine web et dans wp-content, et adresses IP inhabituelles dans vos journaux d’accès, en particulier des fichiers PHP modifiés récemment ou des dossiers aux noms aléatoires ou composés uniquement de chiffres.
• Tâches planifiées que vous ne reconnaissez pas (entrées WP-Cron, via un outil comme WP Crontrol ou WP-CLI wp cron event list).
• Mots de passe d’application sur les profils administrateur. Ils survivent à un changement de mot de passe normal.
• Redirections sortantes et spam : ouvrez le site sur un téléphone, déconnecté, et cherchez sur Google site:clientdomain.com pour repérer des pages que vous n’avez jamais créées.
• L’analyse anti-malware de votre plugin de sécurité ou de votre hébergeur, lancée une fois maintenant que vous savez qu’il y a peut-être quelque chose à trouver.

UpdraftVault et UpdraftClone

UpdraftVault : sur chaque site, allez dans Réglages → UpdraftPlus → Settings, choisissez UpdraftVault comme stockage distant, cliquez sur Connect sous « Already got space? », saisissez votre e-mail teamupdraft.com avec le nouveau mot de passe, enregistrez et lancez une sauvegarde manuelle pour prouver que cela fonctionne. Tant que vous ne l’avez pas fait, ces sites n’envoient pas de sauvegardes vers Vault.

UpdraftClone : si vous n’avez jamais créé de clés client, rien à faire. Sinon, copiez les nouvelles clés depuis My Account → UpdraftClone → UpdraftClone Key Management et envoyez-les aux clients qui les utilisent.

Ce qu’il faut dire à vos clients

Les clients apprennent les fuites par les médias ou par un collègue inquiet. Mieux vaut qu’ils l’apprennent par vous, brièvement et avec le travail déjà fait. Un court message suffit :

« Un outil de sauvegarde que nous utilisons a annoncé un incident de sécurité le 19 octobre. Nous avons vérifié votre site : aucun compte administrateur ni plugin inconnu, mots de passe changés, connexion renouvelée. Vous n’avez rien à faire. Nous restons vigilants. »

N’envoyez ce message que lorsqu’il est vrai pour ce site. Si vous avez trouvé quelque chose, dites ce que vous avez trouvé, ce que vous avez restauré et ce que vous surveillez ensuite. Méfiez-vous aussi du phishing : TeamUpdraft indique ne jamais demander de mots de passe ou de clés par e-mail, donc tout message qui le fait ne vient pas d’eux.

La leçon pour tout tableau de bord central

Il ne s’agit pas d’un seul fournisseur. Tout outil qui gère de nombreux sites depuis un seul endroit détient une clé pour chacun d’eux : un tableau de bord de sauvegarde, une console de gestion, un panneau d’hébergement. Quelques habitudes limitent les dégâts quand l’un d’eux est piraté :

• Tenez à jour la liste des outils connectés à chaque site client.
• Utilisez des mots de passe uniques et l’authentification à deux facteurs sur chaque compte fournisseur.
• Gardez des sauvegardes dans un endroit que vous contrôlez, en plus d’un exemplaire, et vérifiez qu’elles se restaurent.
• Préférez les outils qui enregistrent chaque connexion et chaque action sur un site, et que le propriétaire du site peut désactiver depuis WordPress.
• Sachez qui fait quoi dans votre équipe le jour d’un incident, avant que ce jour n’arrive.

Comment Verploy gère cela

Verploy se connecte aux sites clients via un petit plugin connecteur. Les connexions en un clic à WP Admin depuis Verploy sont enregistrées, et le propriétaire du site peut les désactiver dans WordPress (Réglages → Verploy). Chaque mise à jour est vérifiée. Les risquées sont d’abord testées sur une copie. Plus d’infos sur la page maintenance WordPress pour agences .