WordPress: UpdraftPlus-Angriff ermöglicht Backdoors

Ein Sicherheitsvorfall beim bekannten WordPress-Backup-Anbieter TeamUpdraft sorgt aktuell für große Aufmerksamkeit. Angreifer konnten gestohlene Verbindungsschlüssel missbrauchen, um auf WordPress-Websites zuzugreifen, zusätzliche Benutzerkonten anzulegen und schädliche Plugins zu installieren. Solche Plugins können als Backdoor dienen und Kriminellen einen dauerhaften Zugang ermöglichen.

Der Hersteller hat den Vorfall am 19. Oktober 2026 bestätigt und Sicherheitsupdates für UpdraftPlus rausgebracht. Mittlerweile gibt’s mit Version 1.26.14 noch eine weitere Aktualisierung. Allerdings reicht ein Plugin-Update allein nicht, wenn eine Website schon kompromittiert wurde. Wir zeigen Dir, welche WordPress-Installationen betroffen sein können und wie Du Deine Website überprüfst.

Was ist beim UpdraftPlus-Sicherheitsvorfall passiert?

Am Wochenende des 17. und 18. Oktober 2026 bemerkte TeamUpdraft einen unbefugten Zugriff auf seine Website. Nach Angaben des Unternehmens konnten Angreifer auf Kundendaten zugreifen. Dazu gehörten Namen, E-Mail-Adressen, Rechnungsinformationen und Verbindungsschlüssel für verschiedene Dienste.

Die Passwörter waren nach Herstellerangaben ausschließlich als Hashwerte gespeichert. Kreditkartendaten befanden sich nicht in der betroffenen Datenbank.

Besonders kritisch waren die Verbindungsschlüssel von UpdraftCentral. Über diesen Dienst lassen sich mehrere WordPress-Websites zentral verwalten. Mit einem gültigen Schlüssel können auch administrative Befehle an verbundene Websites übertragen werden.

Die Angreifer nutzten solche Verbindungen nachweislich aus. Sie erstellten zusätzliche Benutzerkonten und installierten schädliche Plugins. Wie viele Websites tatsächlich kompromittiert wurden, ist bislang nicht abschließend bekannt.

Welche WordPress-Websites sind gefährdet?

UpdraftPlus läuft auf mehr als drei Millionen WordPress-Websites. Das heißt aber nicht, dass alle davon von diesem Angriff betroffen sind.

Ein besonderes Risiko hatten Websites, die mit dem cloudbasierten UpdraftCentral-Dienst verbunden waren. Der Hersteller empfiehlt außerdem allen Nutzern der Premium-Version, ihre Websites auf ungewöhnliche Aktivitäten zu checken – auch wenn sie UpdraftCentral nicht bewusst benutzt haben.

Die selbst gehostete UpdraftCentral-Variante war laut Hersteller nicht betroffen. Wer die kostenlose UpdraftPlus-Version ohne TeamUpdraft-Konto und ohne entsprechende Cloudverbindung nutzt, muss wegen dieses Vorfalls keine zusätzlichen Maßnahmen ergreifen.

UpdraftPlus Sicherheitsupdate: Welche Version ist sicher?

TeamUpdraft hat am 19. Oktober 2026 die Versionen 1.26.13 für die kostenlose Ausgabe und 2.26.13 für Premium veröffentlicht. Diese Aktualisierungen widerrufen ältere UpdraftCentral-Verbindungsschlüssel und unterbrechen damit den missbrauchten Zugriffsweg.

Am 26. Oktober erschien zusätzlich die kostenlose Version 1.26.14. Sie enthält die vorherige Sicherheitskorrektur und bringt weitere Verbesserungen bei Backups, Wiederherstellungen und der Verbindung mit UpdraftCentral.

Prüfe trotzdem, ob auf Deiner Website bereits Veränderungen vorgenommen wurden. Ein Update verhindert den weiteren Zugriff über die widerrufenen Schlüssel, entfernt aber keine zuvor installierte Backdoor.

WordPress auf Backdoors überprüfen: Schritt für Schritt

Wenn Du UpdraftPlus Premium oder UpdraftCentral verwendest, solltest Du Deine Website möglichst bald kontrollieren. Dafür brauchst Du zunächst nur Zugriff auf das WordPress-Dashboard.

Schritt 1: UpdraftPlus aktualisieren

Öffne im WordPress-Dashboard den Bereich Plugins und dann Installierte Plugins. Schau nach der Versionsnummer von UpdraftPlus und installiere die aktuell verfügbare Version. Bei der Premium-Version läuft das Update über Deinen bestehenden Herstellerzugang.

Schritt 2: Unbekannte Benutzer suchen

Öffne Benutzer und danach Alle Benutzer. Achte besonders auf unbekannte Administratoren und Redakteure. Der Hersteller berichtet ausdrücklich von verdächtigen Konten mit der Rolle Redakteur.

Unbekannte Konten solltest Du zunächst dokumentieren und ihre Herkunft überprüfen. Ist ein Konto eindeutig unberechtigt, muss der Zugriff gesperrt beziehungsweise das Konto entfernt werden.

Schritt 3: Installierte Plugins kontrollieren

Geh zu Plugins und schau Dir alle Erweiterungen an. Besonders verdächtig sind Plugins, die Du nicht selbst installiert hast oder deren Herkunft sich nicht nachvollziehen lässt.

Kontrolliere außerdem die Must-Use-Plugins im Verzeichnis wp-content/mu-plugins. Die werden automatisch geladen und tauchen nicht immer in der normalen Pluginübersicht auf.

Schritt 4: UpdraftCentral-Verbindungen überprüfen

Öffne Einstellungen, UpdraftPlus, Erweiterte Werkzeuge und anschließend UpdraftCentral. Entferne alte Verbindungsschlüssel, falls noch welche vorhanden sind.

Prüfe außerdem im UpdraftCentral-Konto, ob seit dem 19. Oktober unbekannte Websites hinzugefügt wurden. Eine neue Verbindung solltest Du erst herstellen, nachdem Du Deine WordPress-Installation kontrolliert hast.

Schritt 5: Passwörter und Protokolle prüfen

Ändere die Passwörter aller WordPress-Administratoren und Deines TeamUpdraft-Kontos. Setze auch dessen Zwei-Faktor-Authentifizierung zurück und richte sie erneut ein. Weitere Hinweise findest Du in unserer Anleitung zur Zwei-Faktor-Authentifizierung.

Kontrolliere anschließend die Zugriffsprotokolle Deines Webhosters auf unbekannte IP-Adressen und auffällige Anmeldungen. Besonders relevant sind Aktivitäten seit dem 17. Oktober 2026.

Was tun, wenn Deine WordPress-Website bereits gehackt wurde?

Wenn Du verdächtige Benutzer oder unbekannte Plugins findest, solltest Du nicht einfach nur einzelne Dateien löschen. Sichere zuerst die vorhandenen Protokolle und dokumentiere die Veränderungen. Bei geschäftlich genutzten Websites ist die Unterstützung durch den Hoster oder einen Sicherheitsexperten sinnvoll.

Danach kann eine Wiederherstellung aus einem nachweislich sauberen Backup vor dem 17. Oktober nötig sein. Achte darauf, anschließend alle Passwörter und möglicherweise kompromittierte Zugangsschlüssel zu ersetzen.

Wie sich regelmäßige Sicherungen einrichten lassen, erklären wir im Beitrag Automatisierte Backups von WordPress-Websites erstellen.

Der Vorfall ist übrigens unabhängig von den kürzlich entdeckten PHP2Shell-Schwachstellen. Die entsprechenden PHP-Sicherheitsupdates behandeln wir in unserem Beitrag PHP2Shell: Sicherheitsupdates jetzt verfügbar.

FAQ: Häufige Fragen zum UpdraftPlus-Sicherheitsvorfall

Ist jede Website mit UpdraftPlus betroffen?

Nein. Das besondere Risiko bestand bei UpdraftCentral-Cloudverbindungen. Trotzdem empfiehlt TeamUpdraft auch Premium-Anwendern ohne bewusst eingerichtete Central-Verbindung eine Überprüfung.

Reicht das Update auf UpdraftPlus 1.26.14 aus?

Es verhindert den Zugriff über die bereits widerrufenen alten Verbindungsschlüssel. Eine möglicherweise zuvor installierte Backdoor wird dadurch jedoch nicht automatisch entfernt.

Gibt es eine CVE-Nummer für diesen Angriff?

Für den beschriebenen Schlüsselkompromiss nennt der Hersteller keine eigene CVE-Kennung. Es handelt sich um einen bestätigten Sicherheitsvorfall mit missbrauchten Zugangsdaten und nicht um eine neu bewertete Plugin-Sicherheitslücke mit eigenem CVSS-Wert.

Fazit: WordPress-Betreiber sollten ihre Websites kontrollieren

Der UpdraftPlus-Sicherheitsvorfall zeigt, was gestohlene Verwaltungsschlüssel alles anrichten können. TeamUpdraft hat den missbrauchten Zugriffsweg nach eigenen Angaben dichtgemacht und betroffene Verbindungsschlüssel widerrufen. Trotzdem können Benutzerkonten, die vorher angelegt wurden, oder schädliche Plugins weiterhin bestehen bleiben.

Wer UpdraftCentral oder UpdraftPlus Premium verwendet, sollte deshalb die eigene Website überprüfen und nicht allein auf das automatische Update vertrauen. Die aktuellen Empfehlungen und weitere Entwicklungen findest Du in der offiziellen Sicherheitswarnung von TeamUpdraft.