UpdraftPlus: claves robadas y puertas traseras en WordPress

Lo que se sabe

• El acceso: según TeamUpdraft, lo detectó el 18 de octubre, durante el fin de semana del 17 y 18. Cree que se accedió a su base de clientes: nombres, correos, direcciones de facturación, pedidos, contraseñas cifradas, ajustes de doble factor y las claves de UpdraftCentral, UpdraftVault y UpdraftClone. Dice que no guarda datos de tarjetas.
• Lo que no se tocó: el propio plugin y sus descargas, las copias guardadas en el almacenamiento propio de cada usuario (Google Drive, Dropbox, Amazon S3) y UpdraftCentral instalado en un servidor propio, siempre según el fabricante.
• Los ataques: Patchstack vio a un atacante con claves válidas instalar plugins con puerta trasera a través de UpdraftCentral desde el 18 de octubre a las 15:32 hasta el 19 a las 09:23, unas 18 horas. Contó 99 nombres distintos de plugin; uno, «Site Health Cache», se repetía.
• Qué hace la puerta trasera: crea una cuenta que aparece como «Editor» pero con permiso para cambiar ajustes e instalar plugins, y esa cuenta sigue ahí aunque se borre el plugin, según Patchstack y Nethemba. Nethemba describe además una variante posterior que crea directamente un administrador.
• El arreglo: UpdraftPlus 1.26.13 y 2.26.13 desconectan todas las conexiones de UpdraftCentral hechas antes de las 22:00 BST del 18 de octubre (16:00 en Perú), según TeamUpdraft.
• Lo que matiza Nethemba: la versión anterior, 1.26.12/2.26.12, no borraba ninguna clave por un error, y la 1.26.13 solo borra sola las claves creadas antes de las 12:07 UTC del 18 de octubre (07:07 en Perú); las creadas entre esa hora y las 21:00 UTC hay que borrarlas a mano. Añade que el 20 de octubre el atacante volvió a probar, en al menos tres webs, puertas traseras ya retiradas.
• Cuántas webs: no hay cifra. Nethemba calcula un techo de unas 400.000 webs a partir de una estimación anterior del fabricante, y dice que no sabe a cuántas llegó el atacante.

Qué cambia y qué no

No es un fallo del código del plugin: es un robo de claves, así que actualizar no limpia una web en la que ya entraron. TeamUpdraft dijo el 20 de octubre que el acceso a sus sistemas está resuelto; Nethemba, en cambio, registró intentos ese mismo día contra webs que ya habían sido atacadas. Quien usa UpdraftPlus gratis sin cuenta en teamupdraft.com no tiene que hacer nada especial, según el fabricante, salvo mantenerlo al día.

Cómo saber si te afecta

1. Mira la versión. En WordPress, en «Plugins», busca UpdraftPlus. Instala la 1.26.13 o la 2.26.13. Aunque el aviso del fabricante todavía nombra la 1.26.12 en uno de sus pasos, esa no basta.
2. Busca claves de UpdraftCentral. En los ajustes de UpdraftPlus, pestaña «Herramientas avanzadas» → UpdraftCentral, mira si hay claves y bórralas si no las usas. Nethemba advierte de que puede haber una clave aunque nunca usaras la función, porque la casilla para añadir la web a UpdraftCentral viene marcada al iniciar sesión con la cuenta de TeamUpdraft. Las copias de seguridad siguen funcionando sin ella.
3. Revisa usuarios y plugins. Cuentas que no reconoces, sobre todo con el nombre visible «Site Tools» o correos @example.com o @example.org, y plugins desconocidos, también en la pestaña «Imprescindibles» (Must-Use). Nethemba avisa de que esos correos pueden coincidir con clientes reales de una tienda: una coincidencia sola no prueba nada. Si aparece algo raro, trata la web como comprometida: restaura una copia anterior al 17 de octubre y cambia todas las contraseñas de administrador.
4. Si usas UpdraftVault, vuelve a conectarlo con la contraseña nueva de teamupdraft.com y lanza una copia a mano para comprobarlo. Si usas UpdraftClone y compartiste claves con clientes, las viejas ya no valen: copia las nuevas desde tu cuenta.
5. Cambia la contraseña de teamupdraft.com escribiendo la dirección a mano, no desde un enlace, y desconfía de correos que digan venir de TeamUpdraft.
6. Si otra persona administra tu web, pregúntale tres cosas: qué versión de UpdraftPlus tiene, si la web estaba conectada a UpdraftCentral en la nube y si ya revisó usuarios y plugins.

Relacionado: Rank Math PRO con malware: qué hacer si tu web lo instaló

Fuentes

• TeamUpdraft, «Security incident October 2026», 19 de octubre de 2026, actualizado el 20 (en inglés)
• Patchstack, Dave Jong, 19 de octubre de 2026 (en inglés)
• Nethemba, Pavol Lupták, 19 de octubre de 2026, actualizado el 21 (en inglés)
• BleepingComputer, 20 de octubre de 2026 (en inglés)

Actualizaciones: si TeamUpdraft explica cómo entró el atacante o cuántas webs recibieron una puerta trasera, se añadirá aquí con su enlace.