Mettre à jour un plugin est un réflexe essentiel, mais cela ne garantit pas qu’un site déjà compromis soit redevenu sain. L’incident qui a touché TeamUpdraft en octobre 2026 le rappelle : des clés d’accès UpdraftCentral potentiellement dérobées ont permis à des attaquants d’envoyer des commandes à des sites WordPress connectés, notamment pour y installer des extensions malveillantes et créer des comptes non autorisés.
La réponse ne consiste donc pas seulement à cliquer sur « Mettre à jour ». Les agences, prestataires et responsables de sites doivent vérifier chaque installation concernée, révoquer les accès distants, examiner les comptes et extensions, puis décider s’il faut restaurer une sauvegarde. Voici une procédure pratique pour organiser ces contrôles sans confondre mise à jour préventive et nettoyage après incident.
Ce qui s’est passé : des clés légitimes utilisées à mauvais escient
Une compromission de clés, pas simplement un plugin défectueux
TeamUpdraft a indiqué avoir détecté un accès non autorisé à son site durant le week-end des 17 et 18 octobre 2026. L’entreprise estime que sa base de données clients a pu être consultée. Elle contenait notamment des informations de compte et des clés de connexion pour des services tels qu’UpdraftCentral. Ces clés servent à authentifier les commandes envoyées depuis le tableau de gestion à distance vers les sites associés.
La nuance est importante : selon l’analyse publiée par Search Engine Journal, les attaquants ont pu se faire passer pour le service de gestion en utilisant des clés authentiques. Les vérifications du plugin pouvaient donc accepter une commande qui semblait légitime. Les sites WordPress connectés pouvaient recevoir des instructions visant à installer et activer des extensions malveillantes. Certains de ces composants étaient ensuite capables de créer un compte utilisateur et de lui accorder des privilèges élevés.
TeamUpdraft a publié des versions d’UpdraftPlus qui révoquent les anciennes connexions UpdraftCentral : la version gratuite 1.26.13 et la version Premium 2.26.13, ou toute version ultérieure. L’éditeur précise que ces mises à jour déconnectent les connexions concernées. Cela bloque cette voie d’accès à l’avenir, mais ne supprime pas forcément une extension déjà installée ni un compte ajouté avant la mise à jour.
Pour le contexte et les recommandations de l’éditeur, consultez l’avis de sécurité de TeamUpdraft et l’analyse de Search Engine Journal sur la compromission UpdraftPlus.
Tous les sites équipés d’UpdraftPlus ne sont pas nécessairement touchés
La présence du plugin ne signifie pas automatiquement que le site a été compromis. Le risque décrit concerne les installations disposant d’une connexion cloud UpdraftCentral active et potentiellement affectée. À l’inverse, un propriétaire peut ignorer qu’une connexion distante existe : l’option de gestion pouvait être activée lors de la liaison à un compte TeamUpdraft. L’éditeur indique que les installations UpdraftCentral auto-hébergées ne sont pas concernées par cet incident.
Les agences doivent donc éviter deux raccourcis : déclarer tous les sites compromis sur la seule base de la présence du plugin, ou considérer qu’un site est sûr parce que son équipe n’a jamais utilisé consciemment le tableau distant. Il faut vérifier l’état de chaque site, y compris ceux qui sont peu entretenus ou confiés à un ancien prestataire.
Étape 1 : établir le périmètre et mettre à jour chaque site
Partez d’un inventaire, pas d’un seul tableau de bord
Si vous gérez plusieurs clients, commencez par dresser la liste des installations WordPress qui utilisent UpdraftPlus, puis relevez pour chacune la version du plugin et l’existence d’une connexion UpdraftCentral. N’oubliez pas les sites secondaires : environnement de préproduction, microsite, ancien domaine, boutique peu active ou site dont les sauvegardes sont centralisées.
Un tableau de suivi peut contenir ces colonnes : site, client, personne responsable, version installée, connexion distante identifiée, contrôle des utilisateurs réalisé, extensions vérifiées, résultat de l’analyse et actions restantes. Cette liste évite qu’un site oublié reste exposé après le traitement des installations les plus visibles.
Installez la version corrective, puis confirmez son numéro
Connectez-vous directement à l’administration WordPress de chaque site et vérifiez qu’UpdraftPlus est en version 1.26.13 ou ultérieure pour l’édition gratuite, ou 2.26.13 ou ultérieure pour Premium. Ne vous fiez pas seulement à une notification ou au tableau centralisé : ouvrez la fiche du plugin et confirmez le numéro effectivement installé. Si la mise à jour automatique a déjà été appliquée, consignez-le tout de même dans votre suivi.
Pour les opérations sensibles, vérifiez d’abord qu’une sauvegarde récente et exploitable existe. Cela ne remplace pas l’investigation : une copie créée après une intrusion pourrait contenir les éléments malveillants. Évitez aussi d’effectuer une restauration précipitée avant d’avoir préservé les journaux et les éléments utiles à l’analyse.
Une équipe qui souhaite renforcer ses procédures générales de maintenance peut également consulter la formation WordPress d’Enovatic, consacrée à la création et à la gestion d’un site professionnel.
Étape 2 : révoquer les accès distants et sécuriser les comptes
Examinez les clés UpdraftCentral depuis chaque administration
La mise à jour corrective déconnecte les anciennes connexions concernées. TeamUpdraft recommande néanmoins de vérifier chaque site directement et de supprimer toute clé UpdraftCentral résiduelle. Dans le tableau de bord WordPress, le chemin indiqué par l’éditeur est : Réglages > UpdraftPlus > Outils avancés > UpdraftCentral. Si votre interface affiche des libellés légèrement différents, recherchez la section dédiée au contrôle distant dans les réglages avancés du plugin.
Si la gestion centralisée reste nécessaire, ne la réactivez qu’après les vérifications du site. Reconnectez ensuite l’installation au tableau de bord avec une nouvelle connexion et consignez qui en est propriétaire. Une agence devrait aussi revoir les personnes autorisées à accéder à son compte TeamUpdraft et s’assurer que les accès des collaborateurs ou prestataires sortants ont été retirés.
Vérifiez les comptes WordPress sans vous limiter au rôle affiché
Ouvrez Utilisateurs et examinez tous les comptes ayant le rôle Administrateur. Vérifiez les noms, adresses e-mail, dates de création si elles sont disponibles et personnes responsables. Un compte inconnu ou récemment ajouté doit être traité comme un signal à investiguer, pas supprimé sans examen si des journaux ou une enquête de sécurité sont en cours.
Les observations publiées sur l’incident décrivent des comptes pouvant apparaître avec un rôle ordinaire tout en disposant de capacités inhabituelles. Ne vous contentez donc pas du nom de rôle visible : si vous avez les compétences nécessaires, vérifiez également les capacités effectives des utilisateurs et comparez la liste aux comptes attendus. En cas de doute, demandez à votre hébergeur ou à un spécialiste WordPress de contrôler la base et les journaux.
Une fois les comptes légitimes confirmés, changez les mots de passe des administrateurs du site. TeamUpdraft recommande également aux titulaires d’un compte TeamUpdraft de changer le mot de passe associé, ainsi que tout mot de passe réutilisé ailleurs. Si le compte dispose de l’authentification à deux facteurs, vérifiez et réinitialisez ses paramètres selon les consignes de l’éditeur.
Étape 3 : repérer les extensions et autres signes de persistance
Inspectez les extensions actives, inactives et obligatoires
Dans Extensions, recherchez les composants que vous ne reconnaissez pas, ceux installés récemment et les extensions dont le nom évoque un outil de cache, de maintenance ou de santé du site sans correspondre à un ajout validé. L’analyse de l’incident rapporte que des extensions malveillantes ont utilisé des noms pouvant paraître ordinaires, dont « Site Health Cache ». Un nom familier n’est donc pas une preuve de légitimité.
Vérifiez les extensions actives et désactivées, ainsi que l’onglet des extensions obligatoires (« Must-Use ») lorsqu’il est disponible. Comparez la liste à l’inventaire du projet, aux factures ou au dépôt de code de l’agence. En cas de composant suspect, notez son nom, son emplacement et sa date de modification avant de le retirer, si cela peut être fait sans altérer des éléments nécessaires à l’investigation. Ne téléchargez pas une extension de remplacement depuis une source non vérifiée.
Ne vous arrêtez pas à l’écran Extensions
Une extension suspecte peut n’être qu’un élément visible d’une compromission plus large. Si un compte inconnu ou un plugin non autorisé est trouvé, faites examiner le site : fichiers WordPress, extensions obligatoires, tâches planifiées, journaux du serveur et activité récente. Contrôlez aussi que les sauvegardes, les accès à l’hébergement, les comptes FTP ou SSH et les identifiants de stockage distant n’ont pas besoin d’être renouvelés.
TeamUpdraft précise que les espaces de stockage de sauvegarde personnels, tels que Google Drive, Dropbox ou Amazon S3, ne sont pas eux-mêmes affectés par la compromission de sa base de données. Toutefois, si un site a été accédé via UpdraftCentral, l’éditeur recommande, par précaution, de réautoriser le stockage distant et de renouveler les clés d’accès correspondantes. Les mots de passe et secrets de stockage ne doivent jamais être copiés dans un ticket client ou un document partagé non sécurisé.
Que faire si vous trouvez des indices de compromission ?
Contenir, documenter, puis nettoyer
Si vous découvrez un compte administrateur inconnu, une extension malveillante ou des modifications inexpliquées, traitez le site comme potentiellement compromis. Prévenez le propriétaire du site et, si vous êtes prestataire, désignez un responsable unique pour coordonner les actions. Conservez les informations utiles : heure de découverte, version du plugin, noms de comptes et extensions, journaux disponibles et actions déjà réalisées. Cela permet d’éviter les interventions contradictoires et facilite le dialogue avec l’hébergeur.
Ne supposez pas qu’une simple suppression dans l’interface suffit à éliminer toutes les traces. Faites analyser les fichiers et la base de données, sécurisez les accès, puis vérifiez que le site fonctionne normalement et qu’aucun utilisateur ou composant inattendu ne réapparaît. Si vous n’avez pas de procédure de réponse à incident, sollicitez un professionnel plutôt que d’improviser sur un site de production.
Envisagez une restauration depuis une copie antérieure à l’incident
TeamUpdraft conseille d’envisager une restauration à partir d’une sauvegarde réalisée avant le 17 octobre si des signes de compromission sont découverts. Cette date doit être comprise comme un repère de l’incident, pas comme une garantie qu’une copie antérieure est propre. Choisissez une sauvegarde dont l’intégrité est vérifiée, restaurez-la dans des conditions maîtrisées et appliquez ensuite les mises à jour ainsi que les changements d’identifiants nécessaires.
Après restauration, contrôlez à nouveau les administrateurs, les extensions, les accès distants et les connexions au stockage. Une sauvegarde ne corrige pas, à elle seule, une clé d’accès encore active ou un compte compromis. Pour structurer durablement les mises à jour, sauvegardes et contrôles WordPress, découvrez aussi nos services de création et de gestion de sites web.
Encadré pratique — contrôle express pour chaque site
- ☐ UpdraftPlus est en version 1.26.13 ou ultérieure (gratuit) ou 2.26.13 ou ultérieure (Premium).
- ☐ La connexion UpdraftCentral a été vérifiée et les anciennes clés ont été révoquées.
- ☐ Tous les comptes administrateurs sont connus et validés ; les rôles et capacités inhabituels ont été examinés.
- ☐ Les extensions, y compris les extensions obligatoires, correspondent à l’inventaire autorisé.
- ☐ Les mots de passe des administrateurs et les accès pertinents ont été renouvelés.
- ☐ En cas d’indice suspect, le site a été documenté et confié à une analyse approfondie ; la restauration est évaluée à partir d’une copie antérieure au 17 octobre 2026.
Questions fréquentes
Mon site utilise UpdraftPlus : est-il forcément compromis ?
Non. L’incident vise les sites disposant d’une connexion cloud UpdraftCentral active et potentiellement affectée, pas automatiquement chaque installation d’UpdraftPlus. Vérifiez néanmoins la version, la présence d’une connexion distante, les comptes et les extensions, même si vous n’avez jamais volontairement utilisé UpdraftCentral.
La mise à jour suffit-elle à supprimer une porte dérobée ?
Non. La mise à jour corrige la gestion des connexions concernées et révoque les anciennes connexions selon les indications de l’éditeur. Elle ne garantit pas l’effacement d’un plugin malveillant ou d’un utilisateur créé avant son installation. Il faut donc inspecter le site après la mise à jour.
Dois-je supprimer UpdraftPlus ?
Pas nécessairement. L’incident rapporté concerne la compromission de clés UpdraftCentral, et l’éditeur a publié des versions correctives. Mettez le plugin à jour, vérifiez les connexions et recherchez des signes de modification non autorisée. La suppression du plugin ne remplace pas ces contrôles et peut interrompre vos sauvegardes.
Que faire si je gère les sites d’un client ?
Informez le client, inventoriez toutes ses installations, attribuez un responsable à chaque contrôle et consignez les résultats. Ne supposez pas qu’un tableau de bord central couvre les sites oubliés : connectez-vous directement aux administrations WordPress et coordonnez avec l’hébergeur ou un spécialiste si vous trouvez un élément suspect.
Conclusion : traiter l’incident comme une vérification de site, pas comme une simple mise à jour
La leçon opérationnelle est simple : une mise à jour ferme une voie connue, mais ne prouve pas qu’aucune action malveillante n’a déjà eu lieu. Pour les PME et les agences, la réponse doit associer inventaire des sites, vérification de la version, révocation des accès distants, examen des utilisateurs et des extensions, renouvellement des identifiants et analyse des indices suspects. Si une compromission est plausible, la restauration depuis une sauvegarde antérieure au 17 octobre 2026 doit être envisagée avec méthode.
Vous souhaitez sécuriser ou remettre à niveau un site WordPress professionnel ? Découvrez nos services web ou contactez l’équipe Enovatic pour discuter de votre situation et de vos prochaines étapes.
Sources
- teamupdraft.com — https://teamupdraft.com/blog/security-incident-october-2026/
- www.searchenginejournal.com — https://www.searchenginejournal.com/updraftplus-wordpress-plugin-security-breach-enables-backdoor-attacks/593909/
- www.patchstack.com — https://www.patchstack.com/articles/updraftcentral-key-compromise-wordpress-backdoors/
Besoin d’un accompagnement sur mesure ?
Nos experts en design, développement web et référencement accompagnent les entreprises belges au quotidien. Découvrez nos services de création de site web, nos formations professionnelles et nos réalisations.
Contactez-nous pour un devis gratuit.
Photo d'illustration : Stephen Phillips - Hostreviews.co.uk sur Unsplash.
