Claves de UpdraftCentral robadas: backdoors en sitios WordPress

TeamUpdraft, el desarrollador del plugin de copias de seguridad UpdraftPlus y de los servicios relacionados para WordPress, sufrió un acceso no autorizado a su sitio teamupdraft.com durante el fin de semana del 17 y 18 de octubre de 2026. Según el aviso del fabricante, recogido por BleepingComputer y CSO Online, probablemente se consultó la base de datos de clientes, que contenía también las claves de conexión de los servicios UpdraftCentral, UpdraftVault y UpdraftClone.

El problema no se quedó en el fabricante: según los investigadores de Patchstack, desde el 18 de octubre los atacantes usan las claves robadas para enviar comandos a los sitios WordPress conectados a UpdraftCentral Cloud, el servicio para gestionar varios sitios a distancia, e instalan en ellos plugins con backdoor y cuentas de administrador.

Qué se ha expuesto

Según el fabricante, la base de datos de clientes contenía nombres, direcciones de correo y de facturación, historial de pedidos, hashes de contraseñas, ajustes de la autenticación en dos factores y claves de conexión de los servicios. No había datos de tarjetas: los pagos pasan por Stripe y PayPal.

TeamUpdraft declara no comprometidos los archivos y las descargas del plugin UpdraftPlus, las instancias de UpdraftCentral instaladas por el propio cliente (self-hosted) y las copias guardadas en los espacios remotos de los clientes (Google Drive, Dropbox, Amazon S3). Cerró la vía de acceso, desconectó todas las cuentas, sustituyó las claves y credenciales afectadas, incluidas las de UpdraftVault y UpdraftClone, y añadió monitorización. Según CSO Online, el incidente se notificó a la ICO británica y a las demás autoridades competentes.

No se sabe con certeza cuántos sitios están expuestos. UpdraftPlus supera los 4 millones de instalaciones, pero solo los sitios con una clave de UpdraftCentral activa son alcanzables con este ataque. BleepingComputer, la única fuente que da una estimación, escribe que alrededor del 10 % de los sitios con UpdraftPlus tiene una clave de UpdraftCentral o Migrator: unos 400.000 sitios.

Cómo actúan los atacantes

Las claves de UpdraftCentral sirven para firmar los comandos que la consola de gestión envía a los sitios conectados. Con claves válidas, el atacante no necesita explotar ninguna vulnerabilidad: para el sitio, los comandos llegan por el canal de gestión legítimo.

Según Patchstack, citada por ambos medios:

• los ataques empezaron el 18 de octubre a las 15:32 UTC;
• los comandos sirven para ejecutar código arbitrario y crear cuentas con privilegios completos de administrador;
• los investigadores han contado al menos 99 plugins maliciosos con nombres distintos, disfrazados de herramientas de mantenimiento y optimización, como «Site Health Cache»;
• una primera variante de la backdoor no funcionaba por un error en el código.

La empresa de seguridad Nethemba ha documentado una variante más reciente, que permite crear cuentas privilegiadas o entrar como un administrador existente. Tres sitios WordPress de Nethemba fueron atacados a través de UpdraftCentral y en dos se instaló el plugin malicioso. Según recoge BleepingComputer, los tres sitios tenían WordPress 7.1.3 y UpdraftPlus 2.26.11, ya corregido para la vulnerabilidad de junio CVE-2026-10795: la intrusión no aprovechó ningún fallo ni error de configuración, sino comandos firmados con claves válidas de la consola.

CSO Online añade que algunas variantes están hechas para no aparecer en las pantallas estándar de administración de WordPress y que revocar la clave no elimina los plugins, las cuentas y las sesiones activas creados durante el ataque.

Las fuentes no publican una lista completa de indicadores: remiten a los de TeamUpdraft, Patchstack y Nethemba.

En nuestra lectura, las técnicas MITRE ATT&CK pertinentes son T1199 (Trusted Relationship), T1078 (Valid Accounts), T1505 (Server Software Component), T1136 (Create Account), T1036.005 (Match Legitimate Name or Location) y T1564 (Hide Artifacts).

El problema de la primera corrección

Según Nethemba, recogida solo por BleepingComputer, la primera versión correctiva, 1.26.12 / 2.26.12, debía eliminar las claves de UpdraftCentral Cloud, pero un error lo impedía. Las versiones que hay que instalar son la 1.26.13 (gratuita) y la 2.26.13 (Premium) o posteriores, que según el fabricante revocan las antiguas conexiones a UpdraftCentral Cloud.

Impacto para las empresas europeas e italianas

UpdraftCentral está pensado para quien gestiona muchos sitios: agencias web, proveedores de hosting y departamentos de TI con varios portales. Para ellos, una sola clave robada significa acceso a todos los sitios conectados. Un administrador de WordPress falso puede modificar contenidos, leer los datos de formularios y cuentas de clientes y usar el sitio para distribuir malware.

Para las entidades sujetas a NIS2 es un caso de riesgo en la cadena de suministro: un servicio de gestión remota de terceros se ha convertido en la vía de entrada. Si los sitios tratan datos personales, una intrusión confirmada debe evaluarse también a efectos de la notificación prevista por el RGPD. Los clientes de TeamUpdraft deben considerar además expuestos los hashes de contraseña y los ajustes 2FA de su propia cuenta.

Qué hacer ya

1. Haz inventario de los sitios WordPress con UpdraftPlus y comprueba cuáles están conectados a UpdraftCentral Cloud.
2. Actualiza UpdraftPlus a la 1.26.13 (gratuita) o 2.26.13 (Premium) o posteriores. No te quedes en la 1.26.12 / 2.26.12.
3. Elimina a mano las claves que queden en cada sitio: Ajustes → UpdraftPlus Backups → Advanced Tools → UpdraftCentral → Manage existing keys.
4. Revisa cada sitio directamente, no solo desde la consola: cuentas de administrador, plugins instalados (también los que tienen nombres de mantenimiento como «Site Health Cache»), archivos y registros en busca de los indicadores publicados por TeamUpdraft, Patchstack y Nethemba. Recuerda que algunas variantes se ocultan de las pantallas de administración: revisa también la base de datos y el sistema de archivos.
5. Si encuentras señales de intrusión, restaura el sitio desde una copia verificada anterior al 17 de octubre (indicación recogida por CSO Online), luego cambia las contraseñas de los administradores, cierra todas las sesiones y comprueba la integridad de los archivos.
6. Cambia las credenciales de tu cuenta de TeamUpdraft y restablece la autenticación en dos factores. Si un sitio se gestionaba con UpdraftCentral, vuelve a autorizar el almacenamiento remoto de las copias y cambia sus claves de acceso, como recomienda el fabricante.

Cómo ayuda ARXDOME

En los servidores que alojan los sitios, el agente de ARX Sentry controla la integridad de los archivos en las carpetas elegidas y puede avisar de un plugin nuevo aparecido en wp-content/plugins. ARX Trace muestra los cambios en los archivos por carpeta, útiles para reconstruir qué ha cambiado desde el 18 de octubre, y con ARX Shield se aísla de la red una máquina comprometida a la espera de la limpieza.

Última actualización: 21 de octubre de 2026