UpdraftPlus: Erst Version 1.26.13 sperrt die gestohlenen Schlüssel

Markus Seyfferth

Autor Dr. Web

20. Okt. 2026

3 Min. Lesezeit

Das Notfall-Update 1.26.12 für UpdraftPlus sollte gestohlene Fernwartungsschlüssel sperren, löschte laut Nethemba wegen eines Programmierfehlers aber keinen. Erst Version 1.26.13 vom Abend des 19. Oktober wirkt, erfasst aber nicht alle Schlüssel. Zugleich bestätigt Team Updraft einen Einbruch in die eigene Kundendatenbank.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Am 17. und 18. Oktober verschaffte sich ein Unbefugter Zugang zur Website teamupdraft.com, schreibt der Hersteller.^[1] In der Kundendatenbank lagen auch die Schlüssel für UpdraftCentral, über die ein Angreifer Hintertüren auf WordPress-Websites installiert, wie Dr. Web am 19. Oktober berichtete. Damals galt das Leck nur als Vermutung.

Das Wichtigste in Kürze

Team Updraft hat den Zugriff auf seine Kundendatenbank bestätigt und der britischen Datenschutzbehörde ICO gemeldet.
Erst UpdraftPlus 1.26.13 und 2.26.13 (Premium) löschen alte UpdraftCentral-Schlüssel.
Schlüssel vom 18. Oktober zwischen 14:07 und 23 Uhr müssen Betreiber von Hand löschen.

Was erbeutete der Angreifer bei Team Updraft?

Zylinderschloss mit Schlüssel, Schild „Ausgetauscht“ und kleinem Schraubenschlüssel — Gehackte Datenbank mit Namen, E-Mails, Bestellungen und Passwort-Hashes. Kreditkartendaten nicht betroffen. Hersteller beendete Sitzungen und trennte Websites von UpdraftVault

Die Datenbank enthielt Namen, E-Mail- und Rechnungsadressen, Bestellungen, Passwörter als Hashwert und Einstellungen der Zwei-Faktor-Anmeldung. Kreditkartendaten speichert Team Updraft nicht. Plugin und Downloads blieben unberührt.^[1] Der Hersteller beendete alle Sitzungen, trennte jede Website von UpdraftVault und ersetzte die Schlüssel von UpdraftClone. Welche Schwachstelle der Angreifer nutzte, nennt Team Updraft nicht.^[1]

Mit den erbeuteten Schlüsseln greift der Angreifer weiter an. Bei Nethemba trafen die ersten Befehle erst ein, nachdem der Hersteller den Zugang geschlossen hatte, der letzte am 19. Oktober um 20:27 Uhr. Weil der Angreifer die Befehle mit gültigen Schlüsseln signiert, hielten bei einem Betroffenen weder Wordfence noch Patchstack oder Cloudflare sie auf.^[2] Nach dem Schadcode-Update von Rank Math Pro am 17. Oktober dient binnen einer Woche zum zweiten Mal die Infrastruktur eines Herstellers als Einfallstor.

Warum wirkt das Notfall-Update nicht?

Mit UpdraftPlus 1.26.12 und der Premium-Fassung 2.26.12 wollte Team Updraft am 19. Oktober alle Verbindungen zu UpdraftCentral trennen, die vor dem 18. Oktober um 23 Uhr entstanden.^[1] Nethemba prüfte den Code: Wegen eines Fehlers löscht die Version keinen Schlüssel.^[2] Um 22:57 Uhr folgte 1.26.13, laut Änderungsprotokoll greift die Sperre aus 1.26.12 erst damit korrekt.^[3]

Auch die neue Version erfasst laut Nethemba nur Schlüssel von vor 14:07 Uhr am 18. Oktober. Jüngere Schlüssel bis 23 Uhr bleiben auf der Website, obwohl der Hersteller sie selbst für gefährdet hält.^[2] Die eilig verteilte Firewall-Regel von Wordfence sperrt UpdraftCentral-Befehle bis Version 1.26.11 und in der Premium-Fassung vor 2.26.12.^[4] Eine Website auf 1.26.12 fällt nicht unter die Regel, behält aber ihre Schlüssel.

Einen Schlüssel haben auch Websites, deren Betreiber UpdraftCentral nie bewusst einschalteten: Bei der Aktivierung der Lizenz kreuzt die Premium-Fassung das Kästchen dafür vorab an.^[2] UpdraftPlus zählt laut wordpress.org mehr als 4 Millionen aktive Installationen (Stand 20. Oktober).^[3]

Einbruch und Notfall-Update im Steckbrief

Was bei Team Updraft geschah und welche Version wirkt, Stand 20. Oktober 2026

4 Mio.+

aktive Installationen von UpdraftPlus laut wordpress.org

Schlüssel löschte das Notfall-Update 1.26.12 laut Nethemba

1.26.13

bzw. 2.26.13 (Premium) sperrt alte Verbindungen zu UpdraftCentral

14:07 bis 23 Uhr

Schlüssel aus diesem Zeitfenster am 18. Oktober bleiben auch nach 1.26.13 bestehen

Vom Einbruch bis zum zweiten Notfall-Update

17./18. Oktober

Einbruch

Ein Unbefugter greift auf teamupdraft.com und die Kundendatenbank zu

18. Oktober

Hintertüren

Über gestohlene Schlüssel installiert der Angreifer Plugins auf verbundenen Websites

19. Oktober

Bestätigung

Team Updraft bestätigt den Vorfall und veröffentlicht UpdraftPlus 1.26.12

19. Oktober, 20:27 Uhr

Angriffe laufen

Nethemba registriert den letzten Befehl auf den eigenen Websites

19. Oktober, 22:57 Uhr

Korrektur

Version 1.26.13 setzt die Sperre um, erfasst aber nicht alle Schlüssel

Ein Notfall-Update ohne Wirkung wiegt Betreiber in falscher Sicherheit.
Michael Dobler, Herausgeber Dr. Web

Was müssen Betreiber jetzt tun?

Aktualisieren: Spielen Sie UpdraftPlus 1.26.13 oder 2.26.13 ein, im Dashboard jeder Website, nicht über UpdraftCentral.^[2]
Schlüssel löschen: Löschen Sie danach jeden verbliebenen Schlüssel von Hand, unter „Erweiterte Werkzeuge“ im Abschnitt UpdraftCentral.^[2]
Spuren suchen: Eine Variante der Hintertür versteckt laut Wordfence ein Administratorkonto oder meldet den Angreifer als vorhandenen Administrator an. Prüfen Sie Plugin-Ordner und Zugriffsprotokoll direkt auf dem Server.^[4]
Konto sichern: Ändern Sie das Passwort bei teamupdraft.com und bei jedem Dienst mit demselben Passwort, setzen Sie die Zwei-Faktor-Anmeldung zurück und verbinden Sie UpdraftVault neu.^[1]
Melden: Gelangten Kunden- oder Mitgliederdaten Ihrer Website an Fremde, prüfen Sie die Meldung nach Art. 33 DSGVO binnen 72 Stunden.^[5]

Agenturen aktualisieren jede Kunden-Website, auch selten betreute. Nach Passwort oder Schlüsseln fragt Team Updraft laut eigener Warnung nie per Mail.^[1] Hilfe bei befallenen Websites listet der Vergleich von Agenturen für gehackte WordPress-Websites. Viele Tarife im WordPress-Hosting-Vergleich sichern Websites zusätzlich auf dem Server.

FAQ: UpdraftPlus: Erst Version 1.26.13 sperrt die gestohlenen Schlüssel

Reicht das Update auf UpdraftPlus 1.26.12?

Nein. Laut Nethemba löscht 1.26.12 wegen eines Fehlers keinen einzigen Schlüssel. Erst 1.26.13 und die Premium-Fassung 2.26.13 vom Abend des 19. Oktober sperren alte Verbindungen. Schlüssel vom 18. Oktober zwischen 14:07 und 23 Uhr bleiben auch dann bestehen, Betreiber müssen sie von Hand löschen.

Welche Daten erbeutete der Angreifer bei Team Updraft?

Laut Hersteller enthielt die Kundendatenbank Namen, E-Mail- und Rechnungsadressen, Bestellungen, Passwörter als Hashwert, Einstellungen der Zwei-Faktor-Anmeldung und die Schlüssel für UpdraftCentral, UpdraftVault und UpdraftClone. Kreditkartendaten speichert Team Updraft nicht.

Müssen Nutzer der kostenlosen Version ohne Konto handeln?

Laut Team Updraft nicht. Eine Verbindung zu UpdraftCentral entsteht erst beim Verknüpfen eines Kontos von teamupdraft.com. Weil das Kästchen dafür vorab angekreuzt sein kann, lohnt der Blick in den Bereich UpdraftCentral trotzdem auf jeder Website.

Sind die Backups betroffen?

Sicherungen in eigenen Speichern wie Google Drive, Dropbox oder Amazon S3 blieben laut Hersteller unberührt. Hat jemand über UpdraftCentral auf die Website zugegriffen, rät Team Updraft trotzdem, die Speicher neu zu verbinden und deren Zugangsschlüssel zu ändern. UpdraftVault speichert erst nach erneutem Verbinden.

Schützt eine Firewall vor den Befehlen?

Nur eingeschränkt, denn der Angreifer signiert die Befehle mit gültigen Schlüsseln. Wordfence sperrt den Befehlskanal per Firewall-Regel bis Version 1.26.11 und in der Premium-Fassung vor 2.26.12. Auf einer Website hielten laut Nethemba weder Wordfence noch Patchstack oder Cloudflare den Befehl auf.