UpdraftPlus: Ein Angreifer installiert über die Fernwartung Hintertüren

Michael Dobler

Autor Dr. Web

19. Okt. 2026

3 Min. Lesezeit

Über den Fernwartungsdienst UpdraftCentral installiert ein Angreifer seit dem 18. Oktober Hintertüren auf WordPress-Websites. Gefährdet sind Websites, deren Backup-Plugin UpdraftPlus mit diesem Dienst verbunden ist. Ein Update schützt nicht, denn auch die aktuelle Version 1.26.11 führt die signierten Befehle aus.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Am 19. Oktober um 5:38 Uhr meldete WordPress dem IT-Sicherheitsunternehmen Nethemba einen Fehler im Plugin „Load Stack 35C“, das niemand installiert hatte.^[1] Patchstack zählte 99 Namen solcher Hintertür-Plugins und bewertet den Vorfall ohne CVE-Nummer mit 9,8 Punkten nach CVSS, der Stufe kritisch.^[2]

Das Wichtigste in Kürze

Laut Patchstack läuft die Angriffswelle, ein Patch des Herstellers fehlt (Stand 19. Oktober).
Schutz bietet das Löschen der UpdraftCentral-Schlüssel auf jeder Website, die Datensicherung läuft weiter.
Das eingeschleuste Konto tarnt sich als Redakteur und umgeht die Zwei-Faktor-Anmeldung.

Wie gelangt die Hintertür auf die Website?

Weißer Tresor mit Tastatur und orangefarbener Fernbedienung mit Aufschrift „Nur für Backups“ — Fernwartungsdienst in UpdraftPlus ermöglicht Befehlsausführung per signiertem Schlüssel. Sicherheitsleck möglicherweise im Cloud-Dienst des Herstellers

Der Fernwartungsdienst steckt in jeder Installation von UpdraftPlus. Mit einem Schlüssel führt die Website jeden Befehl aus, den die Verwaltungsoberfläche von Team Updraft signiert.^[2] Nethemba schließt eine Ursache auf den eigenen Servern aus und vermutet ein Leck im Cloud-Dienst des Herstellers.^[1] Team Updraft äußerte sich bis Redaktionsschluss nicht.

Viele Betreiber wissen nichts von ihrem Schlüssel. Beim Verbinden eines Kontos von teamupdraft.com ist das Kästchen für UpdraftCentral vorab angekreuzt, wie der Quellcode von Version 1.26.11 zeigt.^[3] Ablaufen kann der Schlüssel nicht: Patchstack sah Schlüssel vom November 2025, die im Oktober 2026 noch funktionierten.^[2]

Die Hintertür legt ein Konto an, das als Redakteur erscheint, aber Plugins installieren darf. Die Anmeldung per direkt gesetztem Cookie umgeht Zwei-Faktor-Anmeldung und Sperren nach Fehlversuchen. Die bisher untersuchten Exemplare scheitern an einem Programmierfehler und lösen HTTP-Fehler 500 aus. Reparieren dürfen Betreiber ein solches Plugin nicht: Die Korrektur schaltet die Hintertür scharf.^[2]

Warum hilft kein Update?

Gegen gültige Schlüssel hilft keine neue Version. Für UpdraftCentral ist der Angriff der zweite Vorfall binnen fünf Monaten: Im Juni schloss Team Updraft mit Version 1.26.5 die Lücke CVE-2026-10795, über die Angreifer Befehle ohne Schlüssel fälschen konnten.^[4] Den Anteil der damals betroffenen Nutzer schätzte der Hersteller auf unter 10 Prozent. Bei mehr als 4 Millionen aktiven Installationen laut wordpress.org hätten rechnerisch bis zu 400.000 Websites eine Verbindung zu UpdraftCentral.^[5] Wie viele davon der Angreifer erreichte, ist offen.

Am 17. Oktober berichtete Dr. Web, wie Rank Math Pro über ein Update Schadcode verteilte. Fernwartung bündelt das Risiko solcher Angriffe über Update- und Wartungskanäle, denn mit den Schlüsseln des Cloud-Dienstes erreicht ein Angreifer laut Nethemba jede verbundene Website.^[1]

Die UpdraftCentral-Angriffswelle im Steckbrief

Reichweite, Schweregrad und Ablauf, Stand 19. Oktober 2026

4 Mio.+

aktive Installationen von UpdraftPlus laut wordpress.org, jede enthält den Fernwartungsdienst UpdraftCentral

9,8

Punkte nach CVSS vergibt Patchstack, eine CVE-Nummer fehlt

Namen von Hintertür-Plugins zählte Patchstack binnen rund 18 Stunden

Kein Patch

vom Hersteller bis Redaktionsschluss, Schutz bietet nur das Löschen der Schlüssel

Von der Juni-Lücke bis zur Angriffswelle

5. Juni

Lücke geschlossen

UpdraftPlus 1.26.5 schließt CVE-2026-10795 im selben Befehlskanal

18. Oktober

Erste Hintertür

Patchstack registriert die erste Installation über UpdraftCentral

19. Oktober, früh

Fund

Nethemba entdeckt Hintertüren auf zwei eigenen Websites und meldet den Fall dem Hersteller

19. Oktober

Abwehr

Patchstack sperrt UpdraftCentral-Befehle auf den Websites seiner Kunden

Stand 19. Oktober

Welle läuft

Weder ein Patch noch eine Erklärung von Team Updraft liegt vor

Ein Backup-Plugin mit eingebauter Fernsteuerung ist nur so sicher wie der Tresor, in dem der Hersteller die Schlüssel verwahrt.
Markus Seyfferth, Chefredakteur Dr. Web

Was müssen Betreiber jetzt tun?

Verbindung kappen: Löschen Sie im Bereich UpdraftCentral der UpdraftPlus-Einstellungen jeden Schlüssel, auch falls Sie den Dienst nie bewusst genutzt haben. Die Website nur aus der Verwaltungsoberfläche zu entfernen, genügt nicht.^[2]
Spuren suchen: Verdächtig sind Plugins mit der Beschreibung „Small maintenance toolkit: keeps option storage tidy.“, ein Konto namens „Site Tools“ und Redakteure mit Administratorrechten.^[1]
Richtig aufräumen: Löschen Sie bei einem Fund zuerst den Schlüssel und verschieben Sie das Plugin aus dem Web-Verzeichnis, statt im Backend auf Löschen zu klicken. Anschließend helfen eine Sicherung aus der Zeit vor dem 18. Oktober und neue Passwörter.^[2]
Melden: Gelangten Kunden- oder Mitgliederdaten an Fremde, prüfen Sie die Meldung nach Art. 33 DSGVO binnen 72 Stunden.^[6]

Agenturen prüfen alle Kunden-Websites, bevor sie neu verbinden. Patchstack rät, damit bis zu einer Erklärung des Herstellers zu warten.^[2] Hilfe bei befallenen Websites listet der Vergleich von Agenturen für gehackte WordPress-Websites, Alternativen der Vergleich der Backup-Plugins für WordPress. Viele Tarife im WordPress-Hosting-Vergleich bieten tägliche Server-Backups.

FAQ: UpdraftPlus: Ein Angreifer installiert über die Fernwartung Hintertüren

Ist jede Website mit UpdraftPlus betroffen?

Nein. Gefährdet sind Websites, auf denen UpdraftPlus einen Schlüssel für UpdraftCentral gespeichert hat. Ohne Schlüssel nimmt das Plugin keine Fernwartungsbefehle an. Weil das Kästchen dafür beim Verbinden eines Kontos von teamupdraft.com vorab angekreuzt ist, haben viele Betreiber unbemerkt einen Schlüssel.

Schützt das Update auf Version 1.26.11?

Nein. Der Angreifer signiert seine Befehle mit gültigen Schlüsseln, deshalb führen auch die aktuellen Versionen 1.26.11 und 2.26.11 sie aus. Ein Patch des Herstellers fehlte am 19. Oktober. Schutz bietet laut Patchstack und Nethemba nur das Löschen aller UpdraftCentral-Schlüssel auf der Website.

Laufen die Backups nach dem Löschen des Schlüssels weiter?

Ja. Geplante Sicherungen laufen laut Patchstack und Nethemba weiter, nur die Fernwartung über UpdraftCentral endet. UpdraftPlus müssen Betreiber dafür nicht deinstallieren.

Woran erkennen Betreiber einen Befall?

Hinweise sind ein unbekanntes Plugin mit der Beschreibung „Small maintenance toolkit: keeps option storage tidy.“, ein Konto namens „Site Tools“, Redakteure mit Administratorrechten und plötzliche HTTP-Fehler 500. Im Protokoll von UpdraftCentral steht dann zudem der Befehl plugin.upload_plugin.

Was tun Betreiber bei einem Fund?

Zuerst den UpdraftCentral-Schlüssel löschen, sonst kann der Angreifer eine reparierte Hintertür nachschieben. Danach das Plugin aus dem Web-Verzeichnis verschieben und das Konto entfernen. Patchstack rät, von einer kompromittierten Website auszugehen, eine ältere Sicherung einzuspielen und alle Passwörter zu erneuern.