Roban llaves de UpdraftCentral: así revisas tu sitio WordPress

21 octubre, 20264 min de lectura

Si administras sitios de WordPress con UpdraftPlus y los conectas a UpdraftCentral, hoy te toca revisarlos. TeamUpdraft, la empresa detrás de estos plugins de respaldo, confirmó que alguien entró a su sitio y se llevó, entre otras cosas, las llaves que conectan tus sitios con su panel en la nube.

Con esas llaves, según BleepingComputer, ya se instalaron plugins maliciosos en sitios reales. La buena noticia es que la solución está a tu alcance y toma pocos minutos por sitio.

¿Qué pasó?

TeamUpdraft publicó un aviso el 19 de octubre de 2026 y lo actualizó el 20. Ahí explica que detectó un acceso no autorizado a teamupdraft.com durante el fin de semana del 17 y 18 de octubre, y que cree que el atacante consultó su base de datos de clientes.

Esa base incluía nombres, correos, direcciones de facturación, historial de pedidos, contraseñas guardadas como hash (es decir, cifradas de forma que no se leen a simple vista), ajustes de verificación en dos pasos y las llaves de conexión de UpdraftCentral, UpdraftVault y UpdraftClone.

UpdraftCentral es un panel para administrar muchos sitios de WordPress desde un solo lugar. Quien tiene la llave de un sitio puede darle órdenes a distancia. BleepingComputer reporta que el atacante usó llaves válidas para ejecutar código y crear cuentas de administrador, y que instaló plugins con nombres que parecen de mantenimiento normal.

La empresa aclara que no guarda datos de tarjetas, que el plugin UpdraftPlus y sus descargas no fueron alterados, que los respaldos guardados en tu propio almacenamiento (como Google Drive o Dropbox) no se vieron afectados y que la versión de UpdraftCentral que instalas en tu propio servidor tampoco.

¿Por qué te importa?

Aquí el problema no es una falla en el código de tu sitio. El atacante entró por la puerta de administración remota con una llave legítima, así que tener WordPress y los plugins al día no basta para frenarlo.

Un plugin escondido con nombre inofensivo puede pasar semanas sin que nadie lo note. Si das soporte a varios clientes, conviene revisar cada sitio conectado, no solo el tuyo.

UpdraftPlus 1.26.13 (gratis) y 2.26.13 (Premium) revocan las llaves de UpdraftCentral en la nube. Ambas fuentes coinciden en que esas son las versiones que debes tener.

¿Qué puedes hacer?

Actualiza UpdraftPlus a la versión 1.26.13 (gratis) o 2.26.13 (Premium) o posterior desde el escritorio de cada sitio.
Borra la llave de conexión en Ajustes > UpdraftPlus > Herramientas avanzadas > UpdraftCentral y vuelve a conectar el sitio solo cuando termines la revisión.
Revisa Usuarios y elimina administradores que no reconozcas; luego revisa Plugins, incluida la pestaña de plugins obligatorios (Must-Use), y quita lo que no instalaste tú.
Cambia las contraseñas de todos los administradores y la de tu cuenta de teamupdraft.com, escribiendo la dirección a mano y no desde un enlace de correo.
Si algo se ve sospechoso, restaura un respaldo de antes del 17 de octubre y vuelve a autorizar tu almacenamiento remoto con llaves nuevas.

Si usas la versión gratuita sin cuenta

TeamUpdraft dice que quien usa UpdraftPlus gratis y no tiene cuenta en teamupdraft.com no necesita hacer nada más que mantener el plugin actualizado. Aun así, revisar usuarios y plugins de vez en cuando es un buen hábito de mantenimiento.

Sigue leyendo

Fuentes

TeamUpdraft: TeamUpdraft security incident: What customers need to know
BleepingComputer: Stolen UpdraftCentral keys used to backdoor WordPress sites