Kurz gesagt: Beim Anbieter des Backup-Plugins UpdraftPlus wurden Verbindungsschlüssel für die Fernverwaltung UpdraftCentral gestohlen. Angreifer nutzten sie, um auf verbundenen WordPress-Seiten Schadcode zu installieren. Ein Update sperrt den Zugang, entfernt aber bereits installierte Hintertüren nicht.
Was ist passiert?
TeamUpdraft, der Hersteller von UpdraftPlus, hat am 19.10.2026 einen Sicherheitsvorfall gemeldet. Am 18.10.2026 wurde ein unbefugter Zugriff auf teamupdraft.com entdeckt, die Kundendatenbank samt Verbindungsschlüsseln für UpdraftCentral wurde wahrscheinlich ausgelesen. UpdraftPlus ist laut Search Engine Journal auf mehr als drei Millionen Websites installiert, betroffen sind aber nur Seiten mit einer Verbindung zur Cloud-Version von UpdraftCentral.
Laut der Sicherheitsfirma Patchstack installierten Angreifer mit den gestohlenen Schlüsseln Schad-Plugins unter 99 verschiedenen Namen, darunter „Site Health Cache“. Diese legen ein verstecktes Konto mit der Rolle „Redakteur“ und zusätzlichen Rechten an und umgehen dabei auch die Zwei-Faktor-Anmeldung. Heikel: Beim Verbinden eines TeamUpdraft-Kontos war die Fernverwaltung laut Patchstack standardmäßig vorausgewählt, Schlüssel können also unbemerkt existieren. Die Versionen 1.26.13 (kostenlos) und 2.26.13 (Premium) vom 19.10.2026 trennen alte Verbindungen und wurden über WordPress.org automatisch verteilt.
Was bedeutet das für Unternehmen in Wien?
Wenn Ihre Website UpdraftPlus nutzt und mit einem TeamUpdraft-Konto verbunden war, sollten Sie sie jetzt prüfen. Das Update verhindert neue Zugriffe, eine bereits eingeschleuste Hintertür bleibt aber bestehen. Nutzer der kostenlosen Version ohne TeamUpdraft-Konto müssen laut Hersteller nichts weiter tun, als das Plugin aktuell zu halten.
Unsere Empfehlung
- Prüfen Sie, ob UpdraftPlus in Version 1.26.13 bzw. 2.26.13 oder neuer installiert ist, und löschen Sie unter „Einstellungen“ → „UpdraftPlus“ → „Advanced Tools“ → „UpdraftCentral“ alte Verbindungsschlüssel.
- Kontrollieren Sie Plugins (auch „Must-Use“) und Benutzerkonten auf Unbekanntes, besonders unerwartete Redakteure.
- Ändern Sie Administrator-Passwörter und das TeamUpdraft-Passwort. Bei einem Befall stellen Sie eine Sicherung von vor dem 17.10.2026 wieder her.
Sie möchten sich nicht selbst um Updates und Sicherheit kümmern? WordPress-Wartung bei Xcubitor →