Ein Einbruch beim britischen WordPress-Anbieter TeamUpdraft hat Zugangsschlüssel in Umlauf gebracht, mit denen sich fremde Websites fernsteuern lassen. Sicherheitsforscher haben beobachtet, wie ein Angreifer damit über rund 18 Stunden Hintertüren auf WordPress-Installationen installiert hat. Betroffen sein könnten bis zu 400.000 Seiten – und ein Update allein reicht nicht, um sie zu bereinigen.
Am Wochenende des 17. und 18. Oktober 2026 ist ein unbekannter Angreifer in die Website von TeamUpdraft eingedrungen, dem britischen Hersteller des WordPress-Backup-Plugins UpdraftPlus. Der Anbieter bestätigt, dass die Kundendatenbank ausgelesen worden sein dürfte: Namen, E-Mail- und Rechnungsadressen, Bestellhistorie, gehashte Passwörter, Zwei-Faktor-Einstellungen sowie die Verbindungsschlüssel für die Dienste UpdraftCentral, UpdraftVault und UpdraftClone 1. Kartendaten seien nicht betroffen, Zahlungen würden ausschließlich über Stripe und PayPal abgewickelt 1.
Vier Millionen Installationen, ein mitgelieferter Client
UpdraftPlus hat nach Angaben von WordPress.org mehr als vier Millionen aktive Installationen und ist damit das meistgenutzte Backup-Plugin 3. TeamUpdraft beziffert die Reichweite seiner Plugins insgesamt auf über fünf Millionen Websites 1.
Entscheidend ist ein Architekturdetail: Der Client für UpdraftCentral, den Fernverwaltungsdienst des Anbieters, steckt in jeder Kopie von UpdraftPlus – in der kostenlosen wie in der Premium-Version 3. Er bleibt so lange inaktiv, bis eine Website einen Verbindungsschlüssel erhält. Ab diesem Moment führt die Seite jeden Befehl aus, der mit dem privaten Schlüssel des Dashboards signiert ist, und zwar mit den Rechten des WordPress-Nutzers, der die Verbindung angelegt hat. Eine Einzelbestätigung sieht das Verfahren nicht vor 3.
Die privaten Schlüssel des Dashboards liegen nicht auf den verbundenen Websites, sondern beim Cloud-Dienst von UpdraftCentral. „Die privaten Schlüssel des Dashboards haben unsere Server nie berührt“, schreibt das slowakische Sicherheitsunternehmen Nethemba, das den Angriff auf den eigenen Systemen entdeckte 2. Genau diese Annahme ist nun gebrochen.
Ein Plugin-Upload, der alle Prüfungen besteht
Der Angreifer schickte einen signierten Befehl vom Typ plugin.upload_plugin über den RPC-Kanal des Plugins, der auf gewöhnliche POST-Anfragen an die Website-Wurzel hört. WordPress installierte das mitgelieferte Plugin anschließend über seinen regulären Installer und aktivierte es 3.
Patchstack, ein auf WordPress spezialisiertes Sicherheitsunternehmen, verzeichnete solche Installationen zwischen dem 18. Oktober um 15:32 UTC und dem 19. Oktober um 09:23 UTC – ein durchgehendes Fenster von rund 18 Stunden. In dieser Zeit wurden 99 unterschiedliche Namen für die eingeschleusten Plugins beobachtet 3.
Bemerkenswert ist, was der Angriff nicht war: keine ausgenutzte Schwachstelle im Code. „Dies ist keine Sicherheitslücke in UpdraftPlus“, betont Patchstack. Die Befehle waren korrekt verschlüsselt und signiert, jede Prüfung des Plugins lief erfolgreich durch, weil die Anweisung aus Sicht der Website legitim war. Auch die aktuellen Versionen 1.26.11 und 2.26.11 waren betroffen 3. Nethemba schloss auf seinen Systemen sämtliche website-seitigen Erklärungen aus: byte-identische Plugin-Dateien, unveränderte Schlüsselfingerabdrücke über Tage, intakte Kryptografie, keine fremden Administratoren in den Logs 2.
Was der Schadcode tut
Die eingeschleusten Plugins sind Hintertüren. Sie hängen sich früh in jeden Aufruf der Website ein und warten auf einen geheimen URL-Parameter mit einem 32-stelligen Token. Wird er übermittelt, legt der Code ein Konto an, das in der Nutzerliste als Editor erscheint, aber zusätzlich die Rechte manage_options und install_plugins erhält. Anschließend meldet er den Besucher per Cookie direkt an – unter Umgehung des Login-Formulars, weshalb Zwei-Faktor-Authentifizierung, Login-Begrenzungen und Schutz-Plugins nicht greifen 2 3.
Das Konto überlebt die Entfernung des Plugins, und das Passwort ist im Code hinterlegt. Wer nur die Administratorliste durchsieht, findet es nicht, weil es als Editor geführt wird 3. Nethemba dokumentiert mehrere Varianten: eine fehlerhafte, die jede Anfrage mit HTTP 500 abstürzen ließ und so die Opfer alarmierte; eine funktionierende, die einen vollwertigen Administrator anlegt; eine minimale, die sich als bestehender Administrator anmeldet und keine Spur in der Datenbank hinterlässt; und eine Variante namens „Site Health Cache“, die sich selbst aus der Plugin-Liste ausblendet 2.
Als wichtigster dateiseitiger Indikator gilt die Beschreibung „Small maintenance toolkit: keeps option storage tidy.“, die in allen Proben der ersten Variante auftaucht 3. Als Ausgangsadressen nennt Patchstack 43.250.53.42 und 2a09:bac5:4e21:2e3c::49b:9 3.
400.000 Websites. Ein gestohlener Generalschlüssel.
Die in Berichten genannte Zahl von bis zu 400.000 gefährdeten Websites ist eine Obergrenze, keine Messung. Sie leitet sich aus einer Angabe des Herstellers her: Für eine frühere Schwachstelle im selben Kanal schätzte TeamUpdraft, dass weniger als zehn Prozent der Nutzer einen UpdraftCentral- oder Migrator-Schlüssel besitzen. Bei über vier Millionen Installationen ergibt das bis zu rund 400.000 Seiten. „Wir wissen nicht, wie viele davon der Angreifer getroffen hat“, schreibt Nethemba ausdrücklich 2.
Erschwerend kommt hinzu, dass viele Betreiber gar nicht wissen, dass ihre Seite verbunden ist. Beim Login in ein TeamUpdraft-Konto innerhalb des Plugins ist das Kästchen „Add this website to UpdraftCentral (remote, centralised control)“ standardmäßig angehakt – im Code fest als checked="checked" hinterlegt. Eine einzige Kontoverbindung genügt, um eine Website zu registrieren, die UpdraftCentral nie bewusst genutzt hat 3. Schlüssel laufen zudem nicht ab: Schlüssel aus November 2025 funktionierten im Oktober 2026 noch, ein anderer Administrator meldet missbrauchte Schlüssel aus dem Jahr 2022 2.
Was Betreiber jetzt tun sollten
Aktualisieren, aber die richtige Version. UpdraftPlus 1.26.13 (kostenlos) beziehungsweise 2.26.13 (Premium) löscht die alten UpdraftCentral-Cloud-Schlüssel automatisch. Die zuvor veröffentlichte Version 1.26.12/2.26.12 enthält laut Nethemba einen Fehler und löscht keinen einzigen Schlüssel 2. WordPress.org hat 1.26.13 nach Angaben des Herstellers automatisch ausgeliefert 1.
Schlüssel von Hand prüfen und löschen. Der Update-Mechanismus erfasst nur Schlüssel, die vor dem 18. Oktober um 12:07 UTC angelegt wurden. Später erzeugte Schlüssel müssen manuell entfernt werden – unter Einstellungen → UpdraftPlus → Werkzeuge → UpdraftCentral oder per wp option delete updraft_central_localkeys 2. Das Entfernen der Website aus dem Dashboard reicht nicht, weil der entscheidende Schlüssel auf der Website selbst liegt 3. Backups funktionieren nach dem Löschen weiter.
Nach Konto und Plugin suchen, nicht nach Namen. Weil die Hintertür-Konten als Editor geführt werden, sollte die Suche über die Rechte laufen, nicht über die Rolle. Nethemba stellt ein read-only-Prüfskript bereit, das Dateien, Datenbankoptionen und Konten auswertet 2. Zusätzlich lohnt der Blick in die Access-Logs: Echte Dashboard-Anfragen tragen eine Bibliotheksversion und URL im User-Agent, die Angreifer-Anfragen nicht 3.
Gefundene Plugins nicht reparieren. Die fehlerhafte Variante stürzt ab, weil ein Programmierfehler den Token-Check nie erreicht. Wer den Fehler behebt, schaltet die Hintertür scharf. Das Plugin muss deaktiviert und aus dem Web-Root entfernt werden 3.
Bei Fund: als Kompromittierung behandeln. Dann hilft nur die Wiederherstellung aus einem Backup von vor dem 17. Oktober, der Abgleich der Dateien mit einer sauberen Installation, der Wechsel aller Administratorpasswörter, das Beenden aller Sitzungen und das Aktivieren von Zwei-Faktor-Authentifizierung 2. Wer die Website über UpdraftCentral angebunden hatte, sollte zusätzlich die Zugangsschlüssel des Remote-Speichers erneuern 1.
Für Betreiber in der EU kommt die Meldepflicht hinzu: Ein erfolgreicher Zugriff auf personenbezogene Daten ist nach Art. 33 DSGVO binnen 72 Stunden der Aufsichtsbehörde zu melden.
Fortsetzung nicht ausgeschlossen
Es ist der zweite Vorfall in diesem Kanal innerhalb von fünf Monaten. Im Juni 2026 schloss TeamUpdraft die Schwachstelle CVE-2026-10795 (CVSS 8,1), über die sich UpdraftCentral-Befehle ganz ohne Schlüssel fälschen ließen. Behoben in 1.26.5 und 2.26.5 – die Exploit-Versuche dauern jedoch an, sodass ältere Installationen beide Probleme gleichzeitig tragen 3.
Der Fall fällt in eine dichte Woche für das WordPress-Ökosystem: Wenige Tage zuvor hatte eine Supply-Chain-Attacke auf das SEO-Plugin Rank Math PRO (CVE-2026-111862, CVSS 9,8) kompromittierte Versionen verteilt 4. Parallel musste die PHP Foundation zwei kritische Lücken in der Sprache schließen, auf der WordPress, Drupal, Joomla und Magento laufen (CVE-2026-109618 und CVE-2026-109619, CVSS 9,2) 4.
Ausblick
Der Angreifer war auch nach dem Notfall-Update noch aktiv: Am Morgen des 21. Oktober gingen erneut UpdraftCentral-Befehle von 43.250.53.42 bei Nethemba ein, gestoppt nur durch eine selbst gebaute Sperre 2. Wie der Angreifer in die Website von TeamUpdraft gelangte, ist weiterhin offen; der Hersteller spricht von einem kompromittierten Schlüssel und hat nach eigenen Angaben eine externe Sicherheitsfirma sowie die Polizei eingeschaltet 1.
Für die betroffenen Betreiber bleibt die unbequeme Lehre, dass zentrale Fernverwaltung die Angriffsfläche bündelt: Ein einzelnes Schlüsselpaar bei einem Dienstleister entscheidet dann über Codeausführung auf Hunderttausenden Websites. Wer die Funktion nicht braucht, sollte die Verbindung dauerhaft kappen – und wer sie braucht, den Schlüssel unter einem Konto anlegen, das keine Plugins installieren darf. Auf einer der untersuchten Seiten verhinderte genau diese eine Einstellung den Angriff 2.
