TeamUpdraft, el desarrollador del plugin de copias de seguridad UpdraftPlus para WordPress, informó sobre una brecha de seguridad en su sitio web que expuso claves de gestión remota. Los atacantes utilizaron estas claves para instalar plugins maliciosos en sitios de WordPress conectados, convirtiendo una función de gestión confiable en una vía para ejecutar código dañino. El acceso no autorizado al dominio teamupdraft.com ocurrió entre el 17 y 18 de octubre de 2026.

TeamUpdraft, el desarrollador detrás del plugin de copias de seguridad de WordPress UpdraftPlus, ha revelado una brecha de seguridad en su sitio web que expuso claves de gestión remota. Los atacantes utilizaron esas claves para instalar plugins maliciosos en sitios de WordPress conectados, convirtiendo una función de gestión confiable en una ruta para ejecutar código dañino.

La empresa identificó un acceso no autorizado a teamupdraft.com durante los días 17 y 18 de octubre de 2026. Es probable que los atacantes accedieran a su base de datos de clientes, incluyendo nombres, direcciones de correo electrónico, detalles de facturación, historiales de pedidos, hashes de contraseñas, configuraciones de autenticación de dos factores y claves de conexión para UpdraftCentral, UpdraftVault y UpdraftClone.

Los atacantes instalaron plugins maliciosos de WordPress

UpdraftCentral permite que los administradores gestionen sitios de WordPress desde un único panel de control. Los sitios conectados confían en los comandos firmados con la clave privada del panel y los ejecutan con los permisos del usuario de WordPress que creó la conexión.

Los investigadores de Nethemba documentaron que los atacantes enviaron el comando plugin.upload_plugin con claves válidas. En los casos donde el usuario vinculado podía instalar y activar plugins, WordPress aceptaba la solicitud y cargaba código PHP malicioso. En un sitio investigado, el intento falló porque el usuario vinculado carecía de esos permisos.

Esto no fue una vulneración del parche de seguridad anterior CVE-2026-10795. Los sitios afectados de Nethemba ya ejecutaban UpdraftPlus 2.26.11. Las claves robadas permitieron que las solicitudes pasaran los controles normales sin explotar ese fallo anterior.

Los investigadores encontraron puertas traseras (backdoors) disfrazadas de herramientas de mantenimiento. Las variantes funcionales podían iniciar sesión para los atacantes en cuentas de administrador existentes o crear cuentas nuevas. Algunas se ocultaban de la lista de plugins, mientras que las versiones defectuosas causaban errores de PHP y caídas del sitio web. Por lo tanto, que la lista de administradores parezca normal no descarta que tu sitio esté comprometido.

Tanto los usuarios de la versión gratuita como de la Premium de UpdraftPlus pueden estar expuestos si sus sitios tenían claves de conexión en la nube de UpdraftCentral afectadas. Instalar UpdraftPlus por sí solo no crea esa conexión. Sin embargo, al conectar una cuenta de TeamUpdraft, puede aparecer una opción marcada para añadir el sitio a UpdraftCentral, por lo que vale la pena que revises las conexiones que hayas olvidado.

TeamUpdraft afirma que el plugin en sí y sus paquetes de descarga no fueron alterados. Esto difiere del ataque a la cadena de suministro de GravityForms, donde el código malicioso llegó a los usuarios a través de descargas comprometidas. Una exposición de copias de seguridad de UpdraftPlus anterior también implicó un fallo independiente del plugin, no claves de gestión en la nube robadas.

El proveedor indica que las instalaciones auto-alojadas de UpdraftCentral y las copias de seguridad almacenadas en el Google Drive, Dropbox o Amazon S3 de los propios clientes no se vieron afectadas por la brecha de su sitio web. Aun así, los sitios accedidos a través de UpdraftCentral deberían renovar el acceso al almacenamiento como medida de precaución.

TeamUpdraft dice que ha cerrado la ruta de acceso, ha cerrado las sesiones de las cuentas de clientes, ha rotado las credenciales del servicio y ha informado de la brecha a las autoridades. No almacenan detalles de tarjetas de pago, ya que los pagos se gestionan a través de Stripe y PayPal.

Deberías actualizar a UpdraftPlus 1.26.13 Free o 2.26.13 Premium, o versiones posteriores. El registro de cambios oficial confirma que estas versiones corrigen la eliminación de claves introducida en la 1.26.12. Nethemba también informa de un desajuste en el corte que puede dejar algunas claves expuestas presentes, por lo que las comprobaciones manuales siguen siendo importantes.

Inicia sesión directamente en cada panel de WordPress y ve a Ajustes > UpdraftPlus > Herramientas Avanzadas > UpdraftCentral. Elimina las claves de conexión antiguas, inspecciona los archivos del plugin y los registros del servidor, y revisa si hay usuarios desconocidos. Actualizar o eliminar las claves no puede eliminar las puertas traseras que ya hayan sido instaladas.

Si tienes una cuenta de TeamUpdraft, deberías cambiar tu contraseña, reemplazar las contraseñas que hayas reutilizado en otros sitios y restablecer la autenticación de dos factores. También deberías cambiar las contraseñas de administrador del sitio. Si aparece actividad sospechosa, TeamUpdraft aconseja considerar la restauración de una copia de seguridad realizada antes del 17 de octubre. Reconecta los servicios en la nube solo después de completar las comprobaciones y asegurar tu sitio.