UpdraftPlus ist eines der meistgenutzten Backup-Plugins für WordPress. Dazu gehört ein Dienst namens UpdraftCentral, mit dem sich viele Websites von einer Stelle aus verwalten lassen: Backups anstossen, Plugins aktualisieren, Plugins installieren. Damit das geht, bekommt jede verbundene Website einen Schlüssel, und der Gegenschlüssel liegt beim Hersteller.
Am 17. und 18. Oktober hatte jemand unbefugt Zugriff auf die Website des Herstellers TeamUpdraft. Laut dessen eigener Mitteilung wurde dabei wahrscheinlich die Kundendatenbank eingesehen, und darin lagen die Verbindungsschlüssel. Ab dem 18. Oktober installierte ein Angreifer damit auf verbundenen Websites Hintertüren. Das haben die Sicherheitsfirmen Nethemba und Patchstack beobachtet.
Kein Fehler im Plugin, ein echter Schlüssel
Das Besondere an diesem Fall: Es gab keine Sicherheitslücke, die man hätte schliessen können. Die Befehle des Angreifers waren korrekt verschlüsselt und mit echten Schlüsseln signiert. Für die Website sahen sie aus wie gewöhnliche Wartung. Jede Prüfung, die das Plugin vornimmt, ging durch.
Die Hintertür legt ein Benutzerkonto mit weitreichenden Rechten an und meldet es über ein Cookie an, am Anmeldeformular vorbei. Zwei-Faktor-Anmeldung und Login-Sperren greifen dabei nicht. Und das Konto bleibt bestehen, auch wenn das Plugin entfernt wird. Das kennen wir aus einem anderen Fall der letzten Woche: das Konto, das in keiner Liste steht.
Das Häkchen war schon gesetzt
Viele Betreiber haben UpdraftCentral nie bewusst eingerichtet. Laut Patchstack ist beim Verbinden eines Kontos bei TeamUpdraft das Kästchen «Add this website to UpdraftCentral» vorausgewählt. Wer ein Premium-Konto verbindet, um Updates zu bekommen, erzeugt so nebenbei einen Fernverwaltungsschlüssel.
Und dieser Schlüssel läuft nicht ab. Patchstack hat Schlüssel aus dem November 2025 gesehen, die im Oktober 2026 noch funktionierten. Eine Verbindung, die vor einem Jahr für einen einzigen Zweck eingerichtet wurde, stand also die ganze Zeit offen.
Was der Hersteller getan hat
TeamUpdraft hat am Abend des 19. Oktober die Versionen 1.26.13 (kostenlos) und 2.26.13 (Premium) veröffentlicht. Sie widerrufen die alten Schlüssel. Das Plugin selbst und seine Downloads waren laut Hersteller nicht betroffen, ebenso wenig selbst betriebene Installationen von UpdraftCentral. Wer die kostenlose Version ohne Konto bei TeamUpdraft nutzt, muss laut Hersteller nichts tun.
Der Widerruf schliesst aber nur die Tür. Ein Konto oder eine Hintertür, die schon angelegt wurde, entfernt er nicht.
Was jetzt zu tun ist
Direkt im Backend anmelden, nicht über UpdraftCentral, und UpdraftPlus auf mindestens 1.26.13 bzw. 2.26.13 aktualisieren. Ältere Versionen bis 1.26.4 haben zudem eine eigene Sicherheitslücke.
Den Schlüssel von Hand löschen, unter «Einstellungen», «UpdraftPlus Backups», «Erweiterte Werkzeuge», «UpdraftCentral». Die Website im UpdraftCentral-Dashboard zu entfernen genügt nicht. Die Backups laufen nach dem Löschen normal weiter.
Nach Spuren suchen. Unter «Benutzer» nach Konten, die niemand kennt, etwa mit einer Adresse auf @example.org oder dem Anzeigenamen «Site Tools». Unter «Plugins», auch im Reiter «Must-Use», nach Einträgen, die niemand installiert hat. Patchstack nennt als häufigsten Namen «Site Health Cache» mit der Beschreibung «Small maintenance toolkit». Ein solches Plugin nicht reparieren, wenn die Seite einen Fehler zeigt: Die Reparatur schaltet die Hintertür ein.
Bei einem Fund nicht selbst aufräumen. Ist ein fremdes Konto oder Plugin da, ist die Website kompromittiert. Dann gilt, was wir in der Ersten Hilfe bei gehackten Websites beschrieben haben, bis hin zur Wiederherstellung aus einem Backup von vor dem 17. Oktober.
Die anderen Fernverwaltungen aufzählen. UpdraftCentral ist nicht der einzige Dienst dieser Art. Für WordPress gibt es ManageWP, MainWP oder InfiniteWP, für Joomla etwa Watchful. Jeder verbundene Dienst ist ein Schlüssel, der irgendwo anders liegt. Die Frage ist dieselbe wie bei jedem Lieferanten: Wird er noch gebraucht? Wenn nicht, gehört die Verbindung gelöscht.