TL;DR. Nach dem Einbruch beim UpdraftPlus-Hersteller installieren Angreifer über gestohlene UpdraftCentral-Schlüssel Hintertüren – erst Version 1.26.13 sperrt die alten Schlüssel, und auch die nicht vollständig.
| Was ist passiert? | Am 17./18. Oktober wurde die Kundendatenbank von teamupdraft.com kompromittiert – inklusive der Verbindungsschlüssel für UpdraftCentral, UpdraftVault und UpdraftClone. Seit dem 18. Oktober installiert ein Angreifer damit Hintertür-Plugins auf verbundenen WordPress-Websites. |
| Wer ist gefährdet? | Jede Website mit UpdraftPlus (kostenlos oder Premium), die einen UpdraftCentral-Schlüssel gespeichert hat – bei der Premium-Version ist das Häkchen dafür bei der Lizenz-Aktivierung vorab gesetzt. UpdraftPlus zählt über 4 Millionen aktive Installationen. |
| Welches Update hilft? | Nur Version 1.26.13 (Free) bzw. 2.26.13 (Premium). Das erste Notfall-Update 1.26.12 löschte laut Nethemba wegen eines Programmierfehlers keinen einzigen Schlüssel. Schlüssel vom 18. Oktober zwischen 14:07 und 23:00 Uhr (MESZ) müssen Sie zusätzlich von Hand löschen. |
| Keine Zeit dafür? | Im Rahmen unserer WordPress-Wartung prüfen und patchen wir betroffene Websites umgehend – inklusive Hintertür-Check. |
Veröffentlicht: 20.10.2026 · Letzte Aktualisierung: 20.10.2026
Es ist der zweite Supply-Chain-Vorfall im WordPress-Ökosystem innerhalb einer Woche: Nach dem Schadcode-Update bei Rank Math Pro (CVE-2026-111862) trifft es nun Team Updraft, den Hersteller des Backup-Plugins UpdraftPlus mit über 4 Millionen aktiven Installationen. Angreifer verschafften sich am Wochenende des 17./18. Oktober Zugang zur Kundendatenbank des Herstellers – und nutzen die dort gespeicherten Fernwartungs-Schlüssel seither aktiv aus, um Hintertüren auf fremden Websites zu installieren.
Was ist passiert?
Team Updraft hat den Vorfall am 19. Oktober offiziell bestätigt: Ein Unbefugter griff auf die Website teamupdraft.com und die dort liegende Kundendatenbank zu. Darin gespeichert waren Namen, E-Mail- und Rechnungsadressen, Bestellhistorien, Passwörter (als Hash), Einstellungen der Zwei-Faktor-Anmeldung – und die Verbindungsschlüssel für die Dienste UpdraftCentral, UpdraftVault und UpdraftClone. Kreditkartendaten speichert der Hersteller nach eigenen Angaben nicht; Zahlungen laufen über Stripe und PayPal. Der Vorfall wurde der britischen Datenschutzbehörde ICO gemeldet.
Kritisch sind vor allem die UpdraftCentral-Schlüssel: UpdraftCentral ist der Fernwartungsdienst von Team Updraft, dessen Client in jeder UpdraftPlus-Installation steckt. Wer einen gültigen Schlüssel besitzt, kann auf der verbundenen Website Befehle ausführen – zum Beispiel Plugins installieren. Genau das geschieht seit dem 18. Oktober: Das Sicherheitsunternehmen Nethemba dokumentierte auf eigenen Websites den Befehl plugin.upload_plugin, über den der Angreifer Hintertür-Plugins einschleuste. Patchstack zählte binnen rund 18 Stunden 99 verschiedene Namen solcher Plugins und bewertet den Vorfall mit 9,8 von 10 Punkten (CVSS, kritisch).
Besonders perfide: Weil die Befehle mit gültigen, beim Hersteller gestohlenen Schlüsseln signiert sind, schlagen klassische Schutzmechanismen nicht an. Bei einem betroffenen Administrator hielten laut Nethemba weder Wordfence noch Patchstack noch Cloudflare den Angriff auf.
Warum das erste Notfall-Update wirkungslos war
Am 19. Oktober veröffentlichte Team Updraft die Notfall-Versionen 1.26.12 (Free) und 2.26.12 (Premium). Sie sollten alle UpdraftCentral-Verbindungen trennen, die vor dem 18. Oktober, 23:00 Uhr MESZ entstanden waren. Nethemba prüfte den Code und stellte fest: Wegen eines Programmierfehlers löschte das Update keinen einzigen Schlüssel. Betreiber, die brav aktualisiert hatten, wähnten sich in Sicherheit – waren es aber nicht.
Noch am selben Abend folgte Version 1.26.13 bzw. 2.26.13. Erst damit greift die Sperre. Aber auch sie ist unvollständig: Gelöscht werden nur Schlüssel, die vor dem 18. Oktober, 14:07 Uhr MESZ erstellt wurden. Schlüssel aus dem Zeitfenster zwischen 14:07 und 23:00 Uhr bleiben auf der Website bestehen, obwohl der Hersteller sie selbst als gefährdet einstuft. Diese Schlüssel müssen Betreiber von Hand entfernen.
Und der Angreifer macht weiter: Nethemba registrierte die letzten Befehle auf den eigenen Websites am 19. Oktober um 20:27 Uhr – also nachdem der Hersteller den Einbruch bereits bestätigt und den Zugangsweg geschlossen hatte. Gestohlene Schlüssel funktionieren so lange, bis die Website selbst sie löscht.
Betroffen, ohne es zu wissen: das vorab gesetzte Häkchen
Viele Betreiber gehen davon aus, nicht betroffen zu sein, weil sie UpdraftCentral nie eingerichtet haben. Das ist ein Trugschluss: Beim Verknüpfen eines teamupdraft.com-Kontos – etwa zur Aktivierung einer Premium-Lizenz – ist das Kästchen „Add this website to UpdraftCentral“ standardmäßig angekreuzt. Der Schlüssel entsteht dann nebenbei, ohne bewusste Entscheidung. Nethemba bestätigt den Fall eines Administrators, der UpdraftCentral nach eigener Aussage nie aktiviert hatte und dennoch angegriffen wurde. Prüfen Sie deshalb jede Website, auf der UpdraftPlus läuft.
So prüfen Sie Ihre Website auf Befall
- UpdraftCentral-Log prüfen: In den UpdraftPlus-Einstellungen unter „Erweiterte Werkzeuge“ im Abschnitt „UpdraftCentral“ die letzten Log-Einträge ansehen. Verdächtig sind die Befehle
plugin.upload_pluginundplugin.delete_plugin. - Plugin-Liste durchsehen: Die erste Hintertür-Variante trägt die Beschreibung „Small maintenance toolkit: keeps option storage tidy.“ und Namen wie „Load Stack 35C“ oder „Query Shelf“. Spätere Varianten heißen z. B. „Boost Kit“, „Cache Smith“ oder „Site Health 364F“.
- Achtung, versteckte Varianten: Mindestens eine Variante („Site Health Cache“) blendet sich aus der Plugin-Liste im Backend aus. Verlassen Sie sich nicht allein auf das Dashboard – prüfen Sie das Plugin-Verzeichnis direkt auf dem Server (per SFTP/SSH).
- Benutzerkonten kontrollieren: Verdächtig sind ein Konto namens „Site Tools“, Konten mit E-Mail-Adressen auf @example.org/@example.com sowie Redakteure mit Administratorrechten. Eine Variante meldet den Angreifer zudem als vorhandenen Administrator an, ohne Spuren in der Datenbank zu hinterlassen – prüfen Sie daher auch das Server-Zugriffsprotokoll.
Diese Schritte sollten Sie jetzt gehen
- Aktualisieren Sie UpdraftPlus auf 1.26.13 bzw. 2.26.13 – und zwar im Dashboard jeder einzelnen Website, nicht über UpdraftCentral. Version 1.26.12 reicht nicht aus.
- Löschen Sie verbliebene Schlüssel von Hand: In den UpdraftPlus-Einstellungen unter „Erweiterte Werkzeuge“ den Abschnitt „UpdraftCentral“ öffnen und dort vorhandene Schlüssel löschen. Per WP-CLI:
wp option delete updraft_central_localkeys. Das Entfernen der Website aus dem UpdraftCentral-Dashboard allein genügt nicht. - Suchen Sie nach Hintertüren (siehe Checkliste oben). Bei einem Fund: zuerst den Schlüssel löschen, dann das Plugin aus dem Web-Verzeichnis verschieben statt es im Backend zu löschen, Backup aus der Zeit vor dem 17. Oktober einspielen und alle Administrator-Passwörter erneuern.
- Sichern Sie Ihr teamupdraft.com-Konto: Passwort ändern (Adresse selbst eintippen, keinem E-Mail-Link folgen), dasselbe Passwort überall sonst ebenfalls ändern, Zwei-Faktor-Anmeldung zurücksetzen. UpdraftVault-Nutzer verbinden ihre Websites mit den neuen Zugangsdaten neu.
- DSGVO im Blick behalten: Sind über eine kompromittierte Website Kunden- oder Mitgliederdaten abgeflossen, prüfen Sie die Meldepflicht nach Art. 33 DSGVO (72-Stunden-Frist).
Die gute Nachricht: Ihre Backups selbst sind nicht betroffen. Sicherungen in eigenen Speichern wie Google Drive, Dropbox oder Amazon S3 blieben laut Hersteller unberührt, und die Datensicherung läuft auch nach dem Löschen des UpdraftCentral-Schlüssels normal weiter. UpdraftPlus müssen Sie nicht deinstallieren. Wurde Ihre Website allerdings über UpdraftCentral fremdgesteuert, sollten Sie vorsorglich auch die Zugangsschlüssel Ihrer Cloud-Speicher erneuern.
Parallele: Rank Math Pro lieferte in derselben Woche Schadcode per Update
Der UpdraftPlus-Vorfall ist kein Einzelfall, sondern der zweite Angriff derselben Kategorie innerhalb weniger Tage: eine kompromittierte Hersteller-Infrastruktur als Einfallstor (Supply-Chain-Angriff). Am 17. Oktober wurde bekannt, dass das SEO-Plugin Rank Math SEO PRO über seinen eigenen Update-Server Schadcode verteilte – geführt als CVE-2026-111862 mit einem CVSS-Wert von 9,8 (kritisch). Betroffen waren ausschließlich Downloads der Pro-Version 3.0.123 aus einem rund elfstündigen Zeitfenster vom 15. Oktober, 22:02 Uhr, bis 16. Oktober, 9:12 Uhr (MESZ); die kostenlose Version blieb verschont. Die Schadsoftware konnte Zugangsdaten und API-Schlüssel auslesen, legte versteckte Administratorkonten mit dem Namensanfang „wpsupport_“ an und tarnte sich als WordPress-Systemdatei class-wp-cache-util.php im Ordner wp-includes. Die bereinigte Version 3.0.124 erschien am 16. Oktober.
Das Muster ist in beiden Fällen identisch: Premium-Plugins beziehen ihre Updates nicht aus dem geprüften Plugin-Verzeichnis von wordpress.org, sondern direkt vom Server des Herstellers – und Fernwartungsdienste wie UpdraftCentral führen signierte Befehle des Herstellers ungefragt aus. Wer diese Infrastruktur kompromittiert, erreicht alle verbundenen Websites auf einmal, unabhängig davon, wie gut die einzelne Website gepflegt ist. Prüfen Sie als Rank-Math-Pro-Nutzer deshalb, wann Ihre Website die Version 3.0.123 geladen hat, suchen Sie nach den genannten Spuren und aktualisieren Sie auf 3.0.124 oder neuer. Wie schon beim Rank-Math-Support-Agent-Vorfall im September gilt: Je mehr Hersteller-Fernzugriff ein Plugin mitbringt, desto wichtiger ist die laufende Kontrolle.
Einordnung: Fernwartung bündelt Risiko
Der Fall zeigt ein strukturelles Problem: Fernwartungs- und Update-Kanäle bündeln das Risiko beim Hersteller. Wer dessen Schlüssel-Tresor knackt, erreicht jede verbundene Website – unabhängig davon, wie gut die einzelne Website abgesichert ist. Nethemba betont, dass die eigenen Websites vollständig gepatcht waren (WordPress 7.1.3, UpdraftPlus 2.26.11); der Angriff kam ausschließlich über den legitimen, signierten Befehlskanal. Für Agenturen und Website-Betreiber heißt das: Jede dauerhaft hinterlegte Fernzugriffs-Verbindung ist ein Asset, das inventarisiert, regelmäßig hinterfragt und im Zweifel getrennt gehört.
Wenn Sie unsicher sind, ob Ihre Website betroffen ist, oder die Prüfung nicht selbst übernehmen möchten: Im Rahmen unserer WordPress-Wartung kümmern wir uns um Updates, Sicherheits-Checks und Backups – und bei einem Befall hilft unser Notfall-Service für gehackte WordPress-Websites.
Häufige Fragen
Reicht das Update auf UpdraftPlus 1.26.12?
Nein. Version 1.26.12 löscht wegen eines Programmierfehlers keinen einzigen UpdraftCentral-Schlüssel. Erst 1.26.13 (Free) bzw. 2.26.13 (Premium) setzt die Sperre korrekt um – und auch dann müssen Schlüssel vom 18. Oktober zwischen 14:07 und 23:00 Uhr MESZ manuell gelöscht werden.
Ich nutze die kostenlose Version ohne Konto – muss ich handeln?
Laut Hersteller nicht: Eine Verbindung zu UpdraftCentral entsteht erst beim Verknüpfen eines teamupdraft.com-Kontos. Ein kurzer Blick in den UpdraftCentral-Bereich der Einstellungen schadet trotzdem nicht – ist dort kein Schlüssel hinterlegt, ist die Website von diesem Angriff nicht betroffen.
Sind meine Backups kompromittiert?
Backups in eigenen Remote-Speichern (Google Drive, Dropbox, Amazon S3 usw.) sind laut Hersteller nicht betroffen. Wurde Ihre Website über UpdraftCentral angegriffen, sollten Sie die Speicher-Zugangsdaten dennoch vorsorglich erneuern. UpdraftVault wurde herstellerseitig getrennt und sichert erst nach erneutem Verbinden wieder.
Schützt mich meine Firewall?
Nur eingeschränkt. Die Angriffs-Befehle sind mit gültigen Schlüsseln signiert und wirken dadurch wie legitime Fernwartung. Bei einem dokumentierten Fall versagten Wordfence, Patchstack und Cloudflare gleichzeitig. Zuverlässigen Schutz bietet nur das Löschen der Schlüssel auf der Website selbst.
Woher weiß ich, ob meine Website einen Schlüssel hat?
In den UpdraftPlus-Einstellungen finden Sie unter „Erweiterte Werkzeuge“ im Abschnitt „UpdraftCentral“ den Punkt „Manage existing keys“. Steht dort kein Schlüssel, nimmt die Website keine Fernwartungsbefehle an. Denken Sie daran: Bei Premium-Lizenzen kann der Schlüssel durch das vorab gesetzte Häkchen unbemerkt entstanden sein.