Actualizado el 23 de octubre de 2026 · Seguridad de WordPress · AXR Global
La empresa detrás de UpdraftPlus confirmó un acceso no autorizado a su sitio web durante el fin de semana del 17 y 18 de octubre. El atacante utilizó claves de conexión de UpdraftCentral para enviar comandos a sitios WordPress, crear cuentas e instalar plugins maliciosos.
TeamUpdraft, la empresa que desarrolla el plugin de copias de seguridad UpdraftPlus, informó que cree que el atacante accedió a su base de datos de clientes. La empresa publicó actualizaciones de seguridad, pero los administradores deben comprobar cada instalación que pudo estar conectada a UpdraftCentral: actualizar el plugin no garantiza que se hayan eliminado todos los rastros de una intrusión.
Qué pasó en la filtración de TeamUpdraft
Según el comunicado oficial de TeamUpdraft, la base de datos potencialmente afectada contenía nombres, correos electrónicos, direcciones de facturación, historial de pedidos, contraseñas almacenadas como hashes, configuración de autenticación en dos pasos y claves de conexión de UpdraftCentral, UpdraftVault y UpdraftClone.
La empresa aclara que no almacena datos de tarjetas de pago: las transacciones se procesan a través de Stripe y PayPal.
UpdraftCentral permite administrar varios sitios WordPress desde un panel central. Cuando un sitio se conecta al servicio en la nube, acepta comandos autenticados mediante una clave de conexión. Quien dispone de una clave válida puede enviar instrucciones que el sitio interpreta como legítimas.
Según los análisis de Wordfence y Nethemba, el atacante aprovechó ese canal para subir, activar y eliminar plugins maliciosos. Los investigadores también documentaron mecanismos destinados a mantener el acceso al sitio y dificultar la detección de la actividad.
El alcance total de la actividad maliciosa todavía no está establecido.
Qué sitios WordPress están en riesgo
El riesgo principal afecta a las instalaciones conectadas a UpdraftCentral Cloud que pudieron tener claves comprometidas.
Tener UpdraftPlus instalado no significa, por sí solo, que un sitio haya estado conectado al servicio. Sin embargo, Nethemba advirtió que, al iniciar sesión con una cuenta de TeamUpdraft desde el plugin, la opción para agregar el sitio a UpdraftCentral puede aparecer marcada de forma predeterminada.
Por eso, algunos administradores podrían tener una conexión que no recuerdan haber habilitado.
El 21 de octubre, TeamUpdraft pidió a los usuarios de UpdraftPlus Premium que revisaran sus sitios, aunque nunca hubieran usado UpdraftCentral.
Además, en su actualización del 22 de octubre, la empresa recomendó a todos los usuarios entrar a UpdraftCentral desde My Account y revisar la lista de sitios. Si aparece alguno que se conectó sin conocimiento de su propietario desde el 19 de octubre, conviene investigarlo.
TeamUpdraft también señaló que observa un patrón de cuentas inesperadas con rol de editor y recomendó revisar los plugins desconocidos y las direcciones IP no reconocidas en los registros.
La empresa indica que los usuarios de la versión gratuita que no tienen una cuenta en teamupdraft.com no necesitan realizar acciones específicas por este incidente.
Como recomendación general de mantenimiento, AXR Global aconseja mantener UpdraftPlus actualizado y comprobar periódicamente que las copias de seguridad puedan restaurarse correctamente.
TeamUpdraft afirma que UpdraftPlus y sus descargas no fueron afectados. Tampoco las copias almacenadas en servicios remotos propios del usuario, como Google Drive, Dropbox o Amazon S3. La versión autoalojada de UpdraftCentral no está afectada por este incidente.
Sin embargo, si un sitio fue accedido a través de UpdraftCentral, la empresa recomienda volver a autorizar el almacenamiento remoto y cambiar sus claves de acceso.
Qué versiones de UpdraftPlus instalar
TeamUpdraft publicó UpdraftPlus 1.26.13 para la versión gratuita y 2.26.13 para Premium el 19 de octubre de 2026, poco después de las 22:00 BST (hora británica).
Estas versiones corrigen un problema relacionado con la revocación de claves introducida en la versión 1.26.12 y su equivalente Premium. El registro de cambios de UpdraftPlus en WordPress.org documenta las actualizaciones.
Hay, sin embargo, una limitación importante.
TeamUpdraft indica que las versiones 1.26.13 y 2.26.13 desconectan automáticamente las conexiones de UpdraftCentral creadas antes de las 13:07 BST del 18 de octubre. El análisis técnico de Nethemba señala que las claves creadas después de ese corte y antes de las 22:00 BST pueden permanecer en el sitio.
Por eso, no alcanza con instalar la actualización. Es necesario comprobar manualmente si quedan claves de UpdraftCentral y eliminar las que puedan estar comprometidas.
La actualización bloquea parte del acceso utilizado en el incidente, pero no elimina necesariamente las cuentas, los plugins maliciosos ni otros mecanismos de persistencia que el atacante haya instalado previamente.
Cómo revisar un sitio conectado a UpdraftCentral
El siguiente procedimiento combina las indicaciones de TeamUpdraft con las recomendaciones técnicas de Wordfence y Nethemba. Debe aplicarse a cada instalación que pudo estar conectada a UpdraftCentral.
- Ingresar directamente a WordPress. Acceder al escritorio del sitio que se va a revisar, sin utilizar UpdraftCentral para realizar las comprobaciones.
- Actualizar UpdraftPlus. Instalar la versión 1.26.13 (gratuita), 2.26.13 (Premium) o una posterior.
- Comprobar y eliminar las claves de UpdraftCentral. La ruta oficial en inglés es Settings > UpdraftPlus > Advanced Tools > UpdraftCentral. Revisar las claves existentes y eliminar las que permanezcan y puedan estar comprometidas. Los nombres pueden variar según el idioma y la versión de WordPress.
- Revisar las cuentas de usuario. En Usuarios, buscar administradores que no se reconozcan. Comprobar también las cuentas con rol de editor y cualquier cambio de permisos inesperado.
- Inspeccionar los plugins. Revisar la lista de plugins instalados, incluida la pestaña Must-Use si está disponible. Investigar y retirar los componentes desconocidos una vez evaluada su relación con el incidente.
- Cambiar las contraseñas administrativas. Actualizar las credenciales de las cuentas administrativas y comprobar que no existan accesos desconocidos.
- Revisar los registros. Buscar actividad inesperada, solicitudes relacionadas con la administración remota y direcciones IP que no correspondan al uso habitual del sitio.
- Evaluar la restauración. Si se encuentra actividad sospechosa, considerar restaurar los archivos y la base de datos desde una copia limpia anterior al 17 de octubre.
- Reconectar UpdraftCentral cuando corresponda. Hacerlo solamente después de revisar la instalación y comprobar que las claves anteriores fueron eliminadas.
La revisión debe realizarse en cada sitio, incluidos aquellos que no se administran diariamente.
Por qué no alcanza con mirar el escritorio de WordPress
Una de las dificultades de este incidente es que algunos componentes maliciosos buscan ocultar su actividad.
Wordfence describe variantes capaces de ocultar un administrador de la lista habitual de usuarios o autenticar al atacante como un administrador existente sin crear una cuenta nueva. También advierte que algunos mecanismos pueden alterar los permisos efectivos de una cuenta que aparece con un rol menos privilegiado.
Nethemba, por su parte, examinó muestras en las que los intentos de ocultar usuarios no funcionaban como pretendían sus autores. Este hallazgo no descarta las técnicas descritas por Wordfence: los resultados corresponden a muestras y mecanismos diferentes.
Por eso, una revisión limitada a las pantallas de Usuarios y Plugins no permite confirmar que el sitio esté limpio.
Si hay indicios de compromiso, conviene revisar también:
- Los archivos del sitio por SFTP, SSH o desde el panel del alojamiento, prestando especial atención a
wp-content/pluginsywp-content/mu-plugins. - Los usuarios y sus permisos directamente en la base de datos.
- Los registros del servidor web y los registros de acceso disponibles.
- Los cambios recientes en archivos, plugins y configuraciones.
- Las copias de seguridad disponibles y la posibilidad real de restaurarlas.
La ausencia de elementos sospechosos visibles no demuestra que la instalación sea segura. Si no se puede confirmar su integridad, la opción más prudente es evaluar una restauración de archivos y base de datos desde una copia limpia anterior al incidente, seguida de una actualización y una revisión de credenciales.
Qué hacer con las cuentas de TeamUpdraft, UpdraftVault y UpdraftClone
El incidente también exige tomar medidas con las cuentas y los servicios asociados.
Cuentas de teamupdraft.com
Todos los usuarios con una cuenta en teamupdraft.com deben cambiar la contraseña, escribiendo la dirección del sitio directamente en el navegador en lugar de seguir un enlace recibido por correo electrónico.
Si se reutilizó esa contraseña en otros servicios, también debe cambiarse allí. Quienes utilicen autenticación en dos pasos deben restablecerla desde My Account.
TeamUpdraft recomienda desconfiar de correos inesperados que soliciten contraseñas o claves de acceso. La empresa aclara que nunca pide contraseñas ni claves.
UpdraftVault
TeamUpdraft desconectó los sitios de UpdraftVault y emitió nuevas credenciales. Por eso, las copias no llegarán a ese almacenamiento hasta que se vuelva a autorizar la conexión.
Para hacerlo, hay que ingresar al escritorio de WordPress, abrir Ajustes > UpdraftPlus > Ajustes y volver a conectar UpdraftVault con las credenciales nuevas. Después conviene ejecutar una copia manual para comprobar que el proceso funciona.
UpdraftClone
TeamUpdraft reemplazó las claves de cliente de UpdraftClone. Quienes hayan compartido claves con sus propios clientes deben obtener las nuevas desde My Account > UpdraftClone > UpdraftClone Key Management y distribuirlas nuevamente.
Las indicaciones completas están disponibles en el aviso oficial del incidente.
Qué deben revisar las agencias que administran sitios WordPress
Para las agencias que administran múltiples sitios, el incidente exige revisar cada instalación por separado, incluidas las que no se gestionan a diario.
Conviene registrar qué sitios tenían una conexión con UpdraftCentral, cuáles fueron actualizados, si quedaban claves después de la actualización y qué resultados arrojó la inspección de usuarios, plugins y registros.
También es importante comprobar que las copias de seguridad estén disponibles y que puedan restaurarse. Una copia existente no garantiza por sí sola que sea íntegra ni que permita recuperar el servicio correctamente.
Desde AXR Global, que instala, configura y mantiene servidores Linux y brinda soporte de Apache, PHP, MySQL y PostgreSQL, recomendamos revisar los sitios potencialmente afectados, mantener copias de seguridad fuera del servidor principal y comprobar periódicamente los procedimientos de restauración.
En incidentes de este tipo, actualizar es solamente una parte de la respuesta. También hay que comprobar qué ocurrió antes de la actualización y verificar que no hayan quedado mecanismos de acceso no autorizado.