Angreifer haben bei Teamupdraft Verbindungsschlüssel gestohlen und steuern damit verbundene WordPress-Websites aus der Ferne. Nethemba schätzt die mögliche Obergrenze auf 400 000 Websites. Die korrigierten Versionen 1.26.13 und 2.26.13 machen die Schlüssel ungültig. Bei Verdacht hilft ein Backup von vor dem 17. Oktober.
Bis zu 400 000 Websites könnten nach dem Angriff auf Teamupdraft gefährdet sein. Du erfährst, wie Du Deine Seite prüfst und was Du bei Verdacht tust.
Das Wichtigste in Kürze
- Gestohlene Schlüssel öffnen fremde Websites. Angreifer steuern damit verbundene WordPress-Installationen aus der Ferne und installieren schädliche Plugins.
- Bis zu 400 000 Websites sind möglich. Das ist eine Obergrenze. Wie viele wirklich betroffen sind, ist unbekannt.
- Version 1.26.13 oder 2.26.13 einspielen. Das Update macht die Verbindungsschlüssel ungültig. Verbliebene Schlüssel löschst Du von Hand.
- Bei Verdacht ein altes Backup zurückspielen. Nimm eine Kopie von vor dem 17. Oktober und setze Passwörter sowie Zwei-Faktor-Anmeldung zurück.
Was bei Teamupdraft passiert ist
Netzwoche hat den Fall am 22. Oktober 2026 veröffentlicht. Ein späteres Aktualisierungsdatum nennt die Quelle nicht. Teamupdraft ist die Firma hinter dem Backup-Plugin Updraftplus. Sie bemerkte am Wochenende des 17. und 18. Oktober einen unbefugten Zugriff auf ihre Website.
Die Firma geht davon aus, dass die Angreifer die Kundendatenbank einsehen konnten. Darin liegen Namen, E-Mail- und Rechnungsadressen und Bestellhistorien. Dazu kommen Passwort-Hashes, Daten zur Zwei-Faktor-Anmeldung und Verbindungsschlüssel für mehrere Dienste. Kreditkartendaten speichert Teamupdraft nach eigener Aussage nicht. Das berichtet auch BleepingComputer.
So nutzen die Angreifer die Schlüssel
Der Angriff nutzt keine neue Lücke im Plugin. Die Täter verwenden gültige Schlüssel des Fernverwaltungsdienstes Updraftcentral. Mit ihnen lassen sich verbundene Websites aus der Ferne steuern. Die Installationen halten die signierten Befehle für echt.
Dabei gehen die Angreifer laut dem Sicherheitsunternehmen Patchstack seit dem 18. Oktober vor. Sie installieren schädliche Plugins, die sich als Wartungs- oder Optimierungswerkzeuge tarnen. Solche Hintertüren tragen mindestens 99 verschiedene Namen. Einer davon lautet "Site Health Cache".
Einige Varianten legen Konten mit weitreichenden Rechten an. Andere melden sich über bestehende Administrationskonten an. Das slowakische Unternehmen Nethemba berichtet von drei eigenen Testumgebungen, die ins Visier gerieten. Auf zwei davon gelang die Installation schädlicher Plugins.
Wie gross ist der Kreis der Betroffenen?
Die Zahl von 400 000 ist eine Rechnung von Nethemba. Sie stützt sich auf eine frühere Schätzung von Teamupdraft.
| Kennzahl | Wert | Bedeutung |
|---|---|---|
| Aktive Updraftplus-Installationen | mehr als 4 Millionen | Das Plugin ist weit verbreitet. |
| Anteil mit Updraftcentral- oder Migrator-Schlüssel | weniger als 10 Prozent | So lautet die frühere Schätzung von Teamupdraft. |
| Mögliche Obergrenze | rund 400 000 Websites | Die Zahl der echten Opfer ist unbekannt. |
| Schädliche Plugin-Namen | mindestens 99 | Die Tarnung ist breit gefächert. |
| Korrigierte Versionen | 1.26.13 und 2.26.13 | Sie trennen alte Verbindungen. |
Zudem gab es ein Problem bei einer ersten Aktualisierung. Wegen eines Fehlers wurden die Schlüssel nicht sicher entfernt. Deshalb rät Teamupdraft, die installierte Version zu prüfen.
Das solltest Du jetzt tun
Teamupdraft hat den genutzten Zugangsweg nach eigenen Angaben geschlossen. Für Betreiber bleiben mehrere Aufgaben:
- Prüfe, ob Version 1.26.13 oder 2.26.13 von Updraftplus läuft.
- Lösche verbliebene Verbindungsschlüssel von Hand.
- Kontrolliere Plugins auf unbekannte Einträge, etwa mit harmlos klingenden Wartungsnamen.
- Prüfe die Konten auf neue Administratoren.
- Sieh die Zugriffsprotokolle auf verdächtige Aktivität durch.
Findest Du Anzeichen für einen Angriff, spiele ein sauberes Backup ein. Es muss aus der Zeit vor dem 17. Oktober stammen. Setze danach Passwörter und die Zwei-Faktor-Anmeldung zurück.
Damit ist der Fall nicht der einzige seiner Art. Auch ein anderer Backup-Anbieter geriet ins Visier: Über manipulierte AOMEI-Updates kam Schadsoftware auf Rechner, auch in der Schweiz. Backup-Werkzeuge haben weitreichenden Zugriff und sind darum ein Ziel.
Einordnung: Was das für Betreiber von WordPress-Seiten in der Schweiz heisst
Wer Updraftplus mit Fernverwaltung nutzt, sollte sofort die Version prüfen. Die Quelle nennt keine Frist, aber die Angriffe laufen schon seit dem 18. Oktober. Das Update kostet laut Quelle nichts, es braucht nur Zeit für die Kontrolle. Teams mit mehreren Kundenwebsites müssen jede Installation einzeln prüfen. Wer schon Anzeichen findet, braucht eine Kopie aus der Zeit vor dem 17. Oktober. Fehlt sie, wird die Bereinigung aufwendig, die Quelle nennt dazu aber keine Kosten.
Fazit
Du weisst jetzt, wie der Angriff abläuft und woran Du schädliche Plugins erkennst. Der nächste Schritt ist die Prüfung der Version und der Verbindungsschlüssel. Danach folgt der Blick auf Plugins, Konten und Protokolle. Bei Auffälligkeiten hilft ein sauberes Backup aus der Zeit vor dem Angriff.
Quellen: Netzwoche. Foto: haalkab / Pixabay. Stand: 22. Oktober 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.