TeamUpdraft, der Hersteller des Backup-Plugins UpdraftPlus, hat am 29. Oktober 2026 seine Warnung zum Sicherheitsvorfall ergänzt: Auf einigen WordPress-Seiten blieb ein Plugin der Angreifer unbemerkt liegen, über das sie später ein neues Administratorkonto anlegten. Zu diesem Zeitpunkt war die Seite schon von UpdraftCentral getrennt.
Prüfen musst du deshalb jede Seite, die irgendwann mit UpdraftCentral Cloud verbunden war, mit der Gratis- wie mit der Premium-Version von UpdraftPlus. Das Update auf die aktuelle Version sperrt nur den alten Zugang. Was die Angreifer schon installiert haben, bleibt auf dem Server.
Was ist bei TeamUpdraft passiert?
Am Wochenende vom 17. auf den 18. Oktober drangen Unbekannte in die Website teamupdraft.com ein. Nach Einschätzung des Herstellers lasen die Angreifer dabei die Kundendatenbank aus: Namen, E-Mail- und Rechnungsadressen, Passwörter als Hashwert und die Verbindungsschlüssel für UpdraftCentral, UpdraftVault und UpdraftClone. Kreditkartendaten speichert TeamUpdraft nicht; das Plugin selbst und seine Downloads blieben unverändert.
Mit den Schlüsseln für UpdraftCentral, das Werkzeug zur Fernverwaltung mehrerer Seiten, schickten die Angreifer Befehle an die verbundenen Seiten. Patchstack zählte laut BleepingComputer mindestens 99 Plugins mit Tarnnamen wie „Site Health Cache“, die eine Hintertür öffneten und Konten mit vollen Rechten anlegten. Nach Schätzung von BleepingComputer hat jede zehnte Seite mit UpdraftPlus einen Schlüssel für UpdraftCentral oder den Migrator, rund 400.000 Seiten. UpdraftPlus 1.26.13 und die Premium-Version 2.26.13 vom 19. Oktober machen die alten Schlüssel ungültig.
Welche Seiten musst du prüfen?
Den Ausschlag gibt die Verbindung zu UpdraftCentral Cloud. Für die Gratisversion ohne Konto bei teamupdraft.com sieht der Hersteller keinen Handlungsbedarf außer dem üblichen Update, selbst gehostetes UpdraftCentral ist nicht betroffen. Mit einem Konto bei teamupdraft.com änderst du dein Passwort und richtest die Zwei-Faktor-Anmeldung neu ein. Premium-Nutzern rät der Hersteller seit dem 21. Oktober, ihre Seiten auch ohne UpdraftCentral auf fremde Plugins und neue Admins zu prüfen.
Musst du deine Seite prüfen?
Einordnung nach dem Hinweis von TeamUpdraft, Stand 29. Oktober 2026
Wie nutzt du UpdraftPlus?
- Seite war je mit UpdraftCentral Cloud verbundenJede Seite einzeln prüfen, auch getrennte
- Premium-Version, ohne UpdraftCentralSeite auf fremde Plugins und Admins prüfen
- Gratisversion ohne Konto bei teamupdraft.comNur das übliche Update einspielen
- Selbst gehostetes UpdraftCentralNicht betroffen
Quelle: TeamUpdraft
Wie findest du versteckte Plugins und Konten?
Einige der Plugins blenden sich in der Plugin-Liste aus und verstecken auch die angelegten Konten in der Benutzerverwaltung. TeamUpdraft empfiehlt diese Schritte:
- UpdraftPlus auf 1.26.13 (Premium: 2.26.13) oder neuer bringen und im Dashboard der Seite selbst unter Einstellungen › UpdraftPlus Sicherungen › Erweiterte Werkzeuge › UpdraftCentral über „Existierende Schlüssel verwalten“ alle Schlüssel löschen.
- Die Ordner wp-content/plugins und wp-content/mu-plugins per SFTP oder im Dateimanager deines Hosters durchsehen. Als Tarnnamen nennt TeamUpdraft etwa Asset Forge 2, Core Smith, Image Forge, Quick Pack, Seo Helper und WP Forge.
- Verdächtige Plugins nicht über das Dashboard löschen, weil einige dabei ihre Spuren beseitigen. Erst deaktivieren, dann den ganzen Ordner per SFTP oder Dateimanager entfernen.
- Administratoren und Redakteure auflisten, ohne Plugins zu laden, etwa per WP-CLI mit wp user list --role=administrator --skip-plugins, und auf zufällig wirkende Namen wie data-ops43 achten.
- Die Sicherheitsschlüssel in der wp-config.php erneuern, damit alle Sitzungen enden, und die Passwörter aller echten Admin-Konten ändern.
Was das für dich bedeutet
Geh jede Seite durch, die je an UpdraftCentral Cloud hing, auch Kundenseiten, die du nur selten öffnest. Ohne SSH-Zugang erledigst du die Dateiprüfung im Dateimanager deines Hosters. Fehlt dir WP-CLI, bitte den Hoster-Support, die Benutzerliste bei abgeschalteten Plugins auszugeben und neue Sicherheitsschlüssel zu setzen.
Findest du ein fremdes Plugin oder Konto, spiel eine Sicherung aus der Zeit vor dem 17. Oktober zurück. Neue Schlüssel und Passwörter brauchst du trotzdem. Wie Updates und Sicherungen in WordPress zusammenspielen, zeigt die Lektion zu Sicherheit und Backups.
Prüf danach, ob du die Fernverwaltung brauchst. Seit UpdraftPlus 1.26.14 vom 26. Oktober ist die Option, eine Seite beim Verbinden automatisch zu UpdraftCentral hinzuzufügen, ab Werk ausgeschaltet; einschalten musst du sie nun selbst. Dein Passwort bei teamupdraft.com änderst du über die selbst eingetippte Adresse, nie über einen Link in einer Mail.
TeamUpdraft hat den Hinweis am 29. Oktober 2026 ergänzt.
Quellen
