Sicherheitswarnung: Gestohlene UpdraftCentral-Schlüssel für Angriffe auf WordPress-Seiten genutzt

Was ist passiert?

TeamUpdraft, das Unternehmen hinter dem Backup-Plugin UpdraftPlus und dem Verwaltungsdienst UpdraftCentral, hat einen unbefugten Zugriff auf seine Website am Wochenende des 17./18. Oktober 2026 gemeldet. Das Unternehmen geht davon aus, dass die Angreifer auf die Kundendatenbank zugegriffen haben – mit Namen, E-Mail- und Rechnungsadressen, Bestellhistorie, Passwort-Hashes, Einstellungen zur Zwei-Faktor-Authentifizierung sowie Verbindungsschlüsseln für UpdraftCentral, UpdraftVault und UpdraftClone.

Wie funktioniert der Angriff?

Laut Wordfence nutzten die Angreifer gültige UpdraftCentral-Verbindungsschlüssel, um Fernbefehle an verbundene WordPress-Seiten zu senden. Damit konnten sie bösartige Plugins hochladen, aktivieren und löschen. Die Befehle werden mit den Rechten jenes WordPress-Benutzers ausgeführt, der die Verbindung ursprünglich eingerichtet hat. Da sie gültig signiert waren, wurden sie von den Seiten als legitim akzeptiert – auch auf Installationen, die gegen eine frühere UpdraftPlus-Schwachstelle bereits gepatcht waren. Der Hoster Levamo spricht von über 100 betroffenen Seiten.

Wer ist betroffen?

Der UpdraftCentral-Client ist sowohl in UpdraftPlus Free als auch Premium enthalten, nimmt aber keine Befehle an, solange auf der Seite kein Verbindungsschlüssel existiert. Im Fokus stehen Seiten, die mit dem cloudbasierten UpdraftCentral-Dienst von TeamUpdraft verbunden sind. Achtung: Ein Schlüssel kann auch unbemerkt entstanden sein – UpdraftPlus 1.26.11 bietet beim Verbinden eines TeamUpdraft-Kontos an, die Seite zu UpdraftCentral hinzuzufügen, und diese Option ist standardmäßig aktiviert. Plugin-Downloads und selbst gehostetes UpdraftCentral sind laut TeamUpdraft nicht betroffen.

Was jetzt zu tun ist

1. Schlüssel prüfen und löschen: Unter Einstellungen > UpdraftPlus > Erweiterte Werkzeuge > UpdraftCentral alle vorhandenen Verbindungsschlüssel löschen.
2. Aktualisieren: TeamUpdraft nennt UpdraftPlus 1.26.13 (Free) und 2.26.13 (Premium) als Versionen, die ältere UpdraftCentral-Verbindungen trennen. Wichtig: Laut Nethemba entfernt 1.26.13 keine Schlüssel, die am 18. Oktober zwischen 12:07 und 21:00 UTC erstellt wurden – diese müssen manuell gelöscht werden.
3. Seite kontrollieren: WordPress Admin  kontrollieren auf unbekannte Benutzer und Plugins und alle Administrator-Passwörter ändern.
4. Wiederherstellung: Im Ernstfall nur aus einem Backup wiederherstellen, das vor dem 17. Oktober 2026 erstellt wurde.

Zusätzlicher Schutz
Patchstack und Wordfence blockieren UpdraftCentral-Befehle inzwischen für ihre Kunden; die Notfall-Firewallregel von Wordfence steht auch Nutzern der Gratisversion zur Verfügung.

Mehr Information: https://teamupdraft.com/blog/security-incident-october-2026/

Melde dich einfach bei mir – gemeinsam stellen wir die Sicherheit deiner WordPress Website schnell und zuverlässig wieder her.