| 0 | 0 |
Ein Sicherheitsvorfall beim Anbieter des beliebten WordPress-Backup-Plugins UpdraftPlus entwickelt sich zu einem ernsthaften Problem für Webseitenbetreiber. Unbekannte haben sich am Wochenende des 17. und 18. Oktober 2026 Zugriff auf die Infrastruktur des Herstellers TeamUpdraft verschafft. Dabei könnten neben Kundendaten auch wichtige Verbindungsschlüssel abgeflossen sein. Besonders kritisch: Sicherheitsforscher haben bereits Angriffe auf WordPress-Webseiten beobachtet, bei denen solche Schlüssel zur Installation von Hintertüren missbraucht wurden.
UpdraftPlus gehört mit mehr als vier Millionen aktiven Installationen zu den meistgenutzten Backup-Lösungen für WordPress. Das Plugin erstellt Sicherungskopien von Dateien und Datenbanken und kann diese beispielsweise bei Google Drive, Dropbox oder Amazon S3 ablegen. Wer mehrere Webseiten betreibt, kann diese über den zusätzlichen Dienst UpdraftCentral zentral verwalten. Genau diese Fernverwaltung ist nun zum Einfallstor geworden.
Was ist bei UpdraftPlus passiert?
Nach Angaben von TeamUpdraft wurde ein unbefugter Zugriff auf die Webseite und mutmaßlich auch auf die Kundendatenbank festgestellt. Der Hersteller hat daraufhin bestehende Sitzungen beendet, Zugangsdaten erneuert und betroffene Verbindungsschlüssel ausgetauscht.
In der möglicherweise kompromittierten Datenbank befanden sich unter anderem Namen, E-Mail-Adressen, Rechnungsanschriften, Bestellhistorien und gehashte Passwörter. Auch Einstellungen für die Zwei-Faktor-Authentifizierung sowie Verbindungsschlüssel für UpdraftCentral, UpdraftVault und UpdraftClone gehörten zu den gespeicherten Informationen.
Vollständige Zahlungsdaten sollen nicht betroffen sein, da TeamUpdraft die Zahlungsabwicklung über Stripe und PayPal erledigt. Ebenso betont das Unternehmen, dass das eigentliche WordPress-Plugin und dessen Download-Dateien nicht manipuliert wurden.
Das klingt zunächst nach einem gewöhnlichen Datenleck. Die Sache hat allerdings einen ziemlich unangenehmen Haken: Mit den gestohlenen Verwaltungsschlüsseln lassen sich unter bestimmten Voraussetzungen Befehle an fremde WordPress-Installationen schicken. Und genau das passiert offenbar bereits.
Angreifer installieren Hintertüren auf WordPress-Seiten
Die Sicherheitsforscher von Nethemba entdeckten verdächtige Aktivitäten auf drei eigenen WordPress-Installationen. Über die UpdraftCentral-Schnittstelle versuchte ein Angreifer, ein zusätzliches Plugin hochzuladen und zu aktivieren. Auf zwei Webseiten funktionierte die Installation, auf einer dritten scheiterte sie an fehlenden Berechtigungen.
Das eingeschleuste Plugin sollte als Hintertür dienen und dem Angreifer einen versteckten administrativen Zugang ermöglichen. Durch einen Programmierfehler funktionierte die Schadsoftware in den untersuchten Fällen allerdings nicht wie vorgesehen. Stattdessen verursachte sie Fehler beim Aufruf der betroffenen Webseiten.
Der Sicherheitsdienstleister Patchstack bestätigte unabhängig davon eine Angriffskampagne und registrierte entsprechende Aktivitäten seit dem 18. Oktober. Besonders problematisch ist die technische Umsetzung: Die Angreifer verwenden offenbar gültige kryptografische Schlüssel. Für WordPress sehen die übermittelten Befehle deshalb wie reguläre Verwaltungsaktionen aus.
Ein aktuelles Plugin allein schützt nicht zwangsläufig vor einem Angreifer, der bereits einen gültigen Verwaltungsschlüssel besitzt. Es handelt sich beim aktuellen Vorfall nicht um eine klassische Sicherheitslücke im Programmcode, sondern um den Missbrauch kompromittierter Zugangsdaten.
Welche Gefahren drohen betroffenen Webseiten?
Die Installation einer Hintertür ist wesentlich gefährlicher als ein gestohlenes Kundenpasswort. Sobald ein Angreifer die Kontrolle über eine WordPress-Installation erlangt, stehen ihm abhängig von den vorhandenen Berechtigungen zahlreiche Möglichkeiten offen.
Denkbar sind beispielsweise manipulierte Webseiteninhalte, eingeschleuste Werbung, Weiterleitungen auf betrügerische Angebote oder der Diebstahl von Kundendaten. Auch die Installation weiterer Schadsoftware, die Einrichtung versteckter Administratorkonten und der Zugriff auf vertrauliche Informationen sind mögliche Folgen.
Besonders kritisch wäre eine erfolgreiche Kompromittierung bei Onlineshops oder Webseiten mit Benutzerkonten. Hier könnten Angreifer versuchen, personenbezogene Daten abzugreifen oder Besucher auf gefälschte Zahlungsseiten umzuleiten.
Hinzu kommt ein Problem, das häufig unterschätzt wird: Eine erfolgreiche Wiederherstellung aus einem Backup garantiert nicht, dass die Webseite anschließend sicher ist. Solange kompromittierte Verwaltungsschlüssel gültig bleiben, könnte ein Angreifer erneut versuchen, auf die Installation zuzugreifen.
Wichtig ist allerdings die Unterscheidung zwischen tatsächlichen Angriffen und möglichen Folgen. Die Installation schädlicher Plugins wurde dokumentiert. Dass sämtliche genannten Missbrauchsszenarien bereits im Rahmen dieser Angriffskampagne stattgefunden haben, ist dagegen nicht belegt.
Notfall-Update veröffentlicht, aber nicht alle Probleme gelöst
Inzwischen hat TeamUpdraft reagiert und mehrere Notfallversionen veröffentlicht. Allerdings lief dabei offenbar nicht alles glatt. Die zunächst bereitgestellte Version 1.26.12 beziehungsweise 2.26.12 für Premium-Nutzer sollte gefährdete UpdraftCentral-Verbindungen automatisch entfernen. Nach Analysen von Nethemba funktionierte dieser Mechanismus aufgrund eines Programmierfehlers jedoch nicht.
Erst die nachgeschobenen Versionen 1.26.13 und 2.26.13 korrigierten diesen Fehler. Laut den Sicherheitsforschern werden damit allerdings nicht sämtliche potenziell gefährdeten Schlüssel entfernt. Insbesondere bestimmte am 18. Oktober neu angelegte Verbindungen könnten bestehen bleiben.
Das bedeutet: Ein Update ist dringend notwendig, ersetzt aber nicht die manuelle Kontrolle und gegebenenfalls das Entfernen bestehender UpdraftCentral-Verbindungen.
Was sollten WordPress-Betreiber jetzt tun?
Wer UpdraftPlus verwendet, sollte zunächst prüfen, ob die eigene Installation überhaupt mit UpdraftCentral verbunden ist. Eine gewöhnliche UpdraftPlus-Installation ohne entsprechende Verbindung ist nach den bisherigen Erkenntnissen nicht von diesem konkreten Fernverwaltungsangriff betroffen.
Für betroffene Webseiten empfiehlt sich folgendes Vorgehen:
-
UpdraftPlus aktualisieren: Mindestens Version 1.26.13 beziehungsweise 2.26.13 installieren und prüfen, ob inzwischen weitere Sicherheitsupdates vorliegen.
-
UpdraftCentral-Verbindung entfernen: Im WordPress-Dashboard unter Einstellungen → UpdraftPlus → Erweiterte Werkzeuge → UpdraftCentral vorhandene Verbindungsschlüssel löschen.
-
Administratorkonten kontrollieren: Unter Benutzer nach unbekannten Konten oder unerwarteten Änderungen an Berechtigungen suchen.
-
Installierte Plugins überprüfen: Auch die sogenannten Must-Use-Plugins kontrollieren. Unbekannte Erweiterungen sollten untersucht und verdächtige Komponenten sicher entfernt werden.
-
Passwörter erneuern: Das TeamUpdraft-Kontopasswort sowie bei betroffenen Webseiten die WordPress-Administratorpasswörter ändern. Wiederverwendete Passwörter auch bei anderen Diensten ersetzen.
-
Backups und Protokolle prüfen: Auffällige Plugin-Installationen, Änderungen und Aktivitäten seit dem 17. Oktober untersuchen. Bei bestätigtem Befall kann eine Wiederherstellung aus einer älteren, nachweislich sauberen Sicherung erforderlich sein.
Wer UpdraftVault verwendet, muss zusätzlich beachten, dass TeamUpdraft bestehende Verbindungen getrennt hat. Nach der erneuten Einrichtung sollte unbedingt eine manuelle Sicherung durchgeführt werden. Andernfalls könnte man erst beim nächsten Ernstfall feststellen, dass seit Tagen keine Backups mehr erstellt wurden.
Auch eine aktivierte Zwei-Faktor-Authentifizierung ersetzt diese Maßnahmen nicht. Sie schützt zwar den normalen Anmeldevorgang, verhindert aber nicht automatisch den Missbrauch bereits gestohlener Verwaltungsschlüssel.
Das eigentliche Problem liegt tiefer
Der Vorfall zeigt eine unangenehme Schwachstelle moderner Webseitenverwaltung. Um Administratoren die Arbeit zu erleichtern, erhalten zentrale Dienste weitreichende Berechtigungen. Das ist praktisch, solange die Infrastruktur des Anbieters sicher bleibt. Wird sie kompromittiert, kann aus einer komfortablen Verwaltungsfunktion ein Zugang zu zahlreichen fremden Webseiten werden.
Besonders problematisch ist dabei das Vertrauen in kryptografisch signierte Befehle. Die Signatur bestätigt technisch, dass ein Befehl mit einem gültigen Schlüssel erstellt wurde. Sie beweist aber nicht, dass der rechtmäßige Besitzer diesen Befehl tatsächlich autorisiert hat.
Hinzu kommt, dass TeamUpdraft bereits im Juni 2026 eine andere schwerwiegende Sicherheitslücke in der Fernverwaltung schließen musste. Damals ging es um einen Fehler, der unter bestimmten Voraussetzungen ebenfalls die Übernahme von Webseiten ermöglichen konnte. Der aktuelle Vorfall ist davon technisch zu unterscheiden. Er zeigt allerdings erneut, wie sensibel solche Verwaltungsfunktionen sind.
Muss UpdraftPlus jetzt von der Webseite verschwinden?
Ein vollständiger Wechsel des Backup-Plugins ist aufgrund der bisher bekannten Fakten nicht zwingend erforderlich. Die eigentliche Backup-Funktion wurde nach Herstellerangaben nicht kompromittiert. Auch Sicherungen auf selbst verwalteten Cloud-Speichern sollen unberührt geblieben sein.
Wer UpdraftPlus ausschließlich für lokale Sicherungen oder Backups auf Google Drive, Dropbox und ähnliche Dienste verwendet, muss deshalb nicht automatisch seine gesamte Backup-Strategie über den Haufen werfen.
Anders sieht es bei der Fernverwaltung aus. Hier sollte man grundsätzlich hinterfragen, ob eine dauerhafte externe Verwaltungsverbindung tatsächlich notwendig ist. Jede zusätzliche Schnittstelle vergrößert die potenzielle Angriffsfläche.
Meine Einordnung: Ein Backup-Plugin soll im Ernstfall die letzte Rettung sein. Wenn ausgerechnet das Werkzeug zur Absicherung der eigenen Webseite zum möglichen Einfallstor wird, ist das ein massives Vertrauensproblem. TeamUpdraft muss deshalb nicht allein die unmittelbaren Sicherheitsprobleme beheben, sondern auch nachvollziehbar erklären, wie die sensiblen Schlüssel in fremde Hände gelangen konnten.
Bis diese Fragen geklärt sind, würde ich die Fernverwaltung nur dann wieder aktivieren, wenn sie wirklich benötigt wird und die jeweilige Installation zuvor gründlich kontrolliert wurde. Regelmäßige Backups bleiben unverzichtbar. Sie sollten allerdings unabhängig von der WordPress-Installation aufbewahrt und gelegentlich durch eine tatsächliche Wiederherstellung getestet werden.
Quellen
Torsten "Pixelaffe" Schmitt
Geboren 1976 im schönen Schwetzingen und nicht weggekommen. Ich habe somit den Aufstieg des Internet miterlebt und beruflich auch vorangetrieben. Hier schreibe ich über all die Technologien die mir auf meiner Reise durch das "Neuland" auffallen.
