Sommaire
TeamUpdraft, l’éditeur d’UpdraftPlus — le plugin de sauvegarde installé sur plus de 4 millions de sites WordPress — a révélé ce lundi 19 octobre un accès non autorisé à son site teamupdraft.com pendant le week-end des 17 et 18 octobre. La base de clients aurait été compromise : noms, emails, adresses de facturation, mots de passe hachés, paramètres double facteur et, surtout, les clés de connexion UpdraftCentral, UpdraftVault et UpdraftClone.
Le danger est concret : avec ces clés, un attaquant peut envoyer des ordres à distance aux sites connectés à UpdraftCentral. Les chercheurs de Nethemba et Wordfence ont déjà observé l’installation de plugins backdoor sur des sites WordPress via ce canal. L’éditeur a fermé la brèche, déconnecté tous les comptes, publié UpdraftPlus 1.26.12 (et 2.26.12 Premium) qui coupe automatiquement les anciennes connexions UpdraftCentral, et signale l’incident aux autorités. Si vous gérez des sites WordPress : mettez à jour UpdraftPlus, vérifiez les comptes administrateurs et les plugins inconnus, changez les mots de passe, puis reconnectez vos sites.
Lento dit : Votre plugin de sauvegarde — celui censé vous sauver la mise — devient la porte d’entrée du pirate. Ironique, non ? Si UpdraftCentral pilote vos sites à distance, considérez que ce canal était ouvert ce week-end. Mettez à jour, nettoyez, et reconnectez proprement. Les sauvegardes, c’est bien ; des sauvegardes dont les clés traînent sur un serveur compromis, beaucoup moins.
