--- title: "UpdraftPlus hackeado: qué hacer si tiene una clave de UpdraftCentral" description: "¿UpdraftPlus hackeado? Si su sitio tiene una clave de UpdraftCentral en la nube, elimínela y actualice a Free 1.26.12 o Premium 2.26.12. Después revise usuarios y plugins." url: "https://webleveling.com/es/blog/wordpress-hackeado-updraftplus-que-hacer/" lang: "es" published: "2026-10-19" modified: "2026-10-19" author: "Cal Hewitt" tags: ["website-security","wordpress","small-business"] image: "https://webleveling.com/og/blog-updraftplus-updraftcentral-hack-what-to-do.jpg" alternates: en: "https://webleveling.com/blog/updraftplus-updraftcentral-hack-what-to-do.md" --- # UpdraftPlus hackeado: qué hacer si tiene una clave de UpdraftCentral ¿UpdraftPlus hackeado? Si su sitio tiene una clave de UpdraftCentral en la nube, elimínela y actualice a Free 1.26.12 o Premium 2.26.12. Después revise usuarios y plugins. ![Una sola llave de latón descansando sobre una laptop cerrada, en un escritorio de madera ordenado y con luz suave de ventana.](https://webleveling.com/blog/updraftplus-updraftcentral-hack-what-to-do/updraftcentral-key-featured.jpg) No todos los sitios de WordPress que usan UpdraftPlus quedaron expuestos a este ataque. Los sitios que usan UpdraftPlus Free o Premium con una clave de conexión de UpdraftCentral en la nube son los que podían recibir los comandos de los atacantes. [TeamUpdraft dice](https://teamupdraft.com/blog/security-incident-october-2026/) que los usuarios gratuitos sin una cuenta de teamupdraft.com no necesitan tomar ninguna medida. Si sí tiene una clave, la revisión toma unos diez minutos y solo necesita su propio inicio de sesión en WordPress. Vaya a Settings (Ajustes) > UpdraftPlus > Advanced Tools > UpdraftCentral y busque «Manage existing keys» (administrar claves existentes). Si aparece una clave en la lista, elimínela, actualice a Free 1.26.12 o Premium 2.26.12, y luego revise sus plugins y usuarios. TeamUpdraft, Wordfence y Nethemba publicaron sus hallazgos el 19 de octubre de 2026. No necesita desinstalar UpdraftPlus ni reemplazar su sitio web por esta noticia, pero si había una clave, la actualización por sí sola no termina el trabajo. **Puntos clave** **Quién está incluido** UpdraftPlus Free o Premium con una clave de conexión de UpdraftCentral en la nube. Los usuarios gratuitos sin una cuenta de teamupdraft.com no necesitan tomar ninguna medida, según TeamUpdraft. **La revisión de diez minutos** Inicie sesión directamente en WordPress, abra Settings > UpdraftPlus > Advanced Tools > UpdraftCentral y lea «Manage existing keys». **Lo que hace la actualización** Free 1.26.12 y Premium 2.26.12 desconectan las conexiones hechas antes de las 22:00 BST del 18 de octubre, pero no eliminan nada que ya estaba instalado. **De dónde restaurar** Use solo una copia hecha antes del 17 de octubre de 2026 en la que pueda confiar razonablemente, y luego reinstale WordPress core, plugins y tema desde fuentes de confianza. **Cuándo pedir ayuda** Ante algo sospechoso en los registros, los plugins o los usuarios, o si no tiene forma de revisar los archivos y la base de datos fuera de WordPress. ## Averigüe en diez minutos si su sitio está incluido en el incidente Empiece desde su propio sitio, no desde el panel de UpdraftCentral. Use el inicio de sesión normal de WordPress que siempre usa, porque el punto es ver lo que el sitio mismo guarda. [El anuncio público de servicio de Wordfence](https://www.wordfence.com/blog/2026/10/updraftcentral-connection-key-compromise/) describe la misma ruta de revisión que TeamUpdraft. 1. **Inicie sesión directamente**: Abra su propia dirección de wp-admin, no un enlace de un correo ni de un panel remoto. 2. **Abra la lista de claves**: Vaya a Settings > UpdraftPlus > Advanced Tools > UpdraftCentral y busque «Manage existing keys». 3. **Lea el número**: Un número mayor que cero significa que existe una clave de conexión en la nube en este sitio. 4. **Anote su versión**: Free debe ser 1.26.12 y Premium debe ser 2.26.12. 5. **Revise la lista de plugins**: Busque cualquiera que usted no haya instalado, incluidos los plugins Must-Use, si su hosting los muestra. ¿Por qué existiría una clave si nunca quiso crear una? Wordfence señala que UpdraftPlus 1.26.11 ofrece agregar el sitio a UpdraftCentral cuando usted conecta una cuenta de TeamUpdraft, y que esa opción viene seleccionada por defecto. Es fácil pasar de largo ese paso y olvidarlo. ![Un pequeño anillo de llaves de latón sin etiqueta colgando de un gancho de pared de madera, junto a una laptop cerrada.](https://webleveling.com/blog/updraftplus-updraftcentral-hack-what-to-do/old-keys-on-a-hook.jpg) Una llave que olvidó haber creado todavía abre la puerta. ## Aclare las fechas para saber cuáles de sus sitios revisar primero Los hechos son breves y las horas importan. TeamUpdraft informó un acceso no autorizado a teamupdraft.com durante el fin de semana del 17 al 18 de octubre de 2026, y dice que su base de datos de clientes incluía claves de conexión de UpdraftCentral, UpdraftVault y UpdraftClone. Luego, los atacantes usaron claves válidas de UpdraftCentral para enviar comandos a sitios de WordPress conectados. El incidente de un vistazo | Cuándo | Qué pasó | Informado por | | --- | --- | --- | | 17 al 18 de octubre de 2026 | Acceso no autorizado a teamupdraft.com; las claves de conexión estaban en la base de datos de clientes | TeamUpdraft | | Fin de semana del 17 al 18 de octubre | Los comandos firmados de UpdraftCentral, incluido plugin.upload\_plugin, instalaron plugins maliciosos en sitios conectados | Wordfence | | 22:00 BST, 18 de octubre | Límite: Free 1.26.12 y Premium 2.26.12 desconectan toda conexión hecha antes de este momento | TeamUpdraft | | 19 de octubre de 2026 | Ataques observados contra Premium 2.26.11 actual; hay versiones corregidas disponibles | Nethemba, TeamUpdraft | Wordfence vio las subidas maliciosas en Premium 2.26.11 y en Free 1.26.10 y 1.26.11. [El análisis técnico de Nethemba](https://nethemba.com/updraftcentral-backdoor-analysis/) documenta los comandos y los plugins que instalaron. Revise la versión de cada sitio que administra, no solo la del sitio principal. Este es un evento distinto de CVE-2026-10795 de junio de 2026, que involucró comandos falsificados en versiones anteriores. Este incidente trata de claves de conexión robadas, así que no tome un parche de junio como prueba de que está libre de este. ## Cierre las puertas en el orden correcto TeamUpdraft y Wordfence enumeran órdenes un poco distintos, y ambos terminan en el mismo lugar. Trabaje con esta secuencia, que deja al principio la eliminación de claves y la evidencia. 1. **Inicie sesión directamente** en el sitio, como en la revisión anterior. 2. **Elimine cada clave** en «Manage existing keys». Wordfence lo pone primero. 3. **Cambie su contraseña de teamupdraft.com** desde un dispositivo de confianza, y restablezca la autenticación de dos factores en esa cuenta si la tiene. 4. **Guarde los registros** antes de limpiar nada. Copie los eventos del registro de UpdraftCentral y anote cualquier nombre de archivo sospechoso. 5. **Actualice** a Free 1.26.12 o Premium 2.26.12. 6. **Revise usuarios y plugins**, y escanee el sitio. 7. **Restaure si algo parece mal**, usando los pasos de recuperación de las secciones siguientes. 8. **Cambie las contraseñas de administrador** y cierre las sesiones activas. 9. **Reconecte al final**, con una clave nueva, y solo si todavía usa UpdraftCentral. La actualización importa, pero es un paso, no la solución completa. Desconecta las conexiones hechas antes de las 22:00 BST del 18 de octubre. No elimina un plugin que ya estaba instalado, y no prueba que el sitio esté limpio. ## Mantenga sus copias de seguridad utilizables Empiece por dónde viven sus copias de seguridad. TeamUpdraft dice que el plugin UpdraftPlus en sí y sus descargas no se vieron afectados, que las copias guardadas en su propio Google Drive, Dropbox o Amazon S3 no se vieron afectadas, y que UpdraftCentral autoalojado no formó parte de este incidente. Como precaución, TeamUpdraft recomienda volver a autorizar su almacenamiento y cambiar las claves de almacenamiento de cualquier sitio al que se haya accedido a través de UpdraftCentral. Hágalo después de que el sitio esté limpio, para que una credencial nueva no caiga en un sitio comprometido. Dos notas de producto del aviso. Si usa UpdraftVault, vuelva a conectarlo con las credenciales nuevas y haga una copia manual para confirmar que funciona. Si usa UpdraftClone, reemplace las claves de cliente anteriores por nuevas. ![Un cofre metálico cerrado con su propia llavecita, junto a una carpeta en blanco sobre un estante de madera.](https://webleveling.com/blog/updraftplus-updraftcentral-hack-what-to-do/backups-in-your-own-box.jpg) Las copias guardadas en su propio almacenamiento no formaron parte de este incidente. ## Detecte un compromiso aunque la lista de usuarios se vea normal Hay cuatro cosas que vale la pena atender. En el registro de UpdraftCentral, busque eventos que digan «Command received: plugin.upload\_plugin» y referencias a probe.central.updraftplus.com. TeamUpdraft documenta [cómo ver el registro de eventos](https://teamupdraft.com/docs/updraftcentral/how-to/view-event-log-for-managed-sites/). Luego revise los plugins, incluidos los Must-Use, y las cuentas de administrador. No se detenga en la lista de usuarios. Nethemba documenta una variante que dejó entrar al atacante como un administrador existente, sin crear un usuario nuevo. Una lista que se ve igual no resuelve la duda, así que lea también el registro y la carpeta de plugins. Si necesita un repaso para revisar cuentas, nuestra publicación sobre [cómo agregar o quitar un usuario administrador en WordPress](https://webleveling.com/es/blog/como-agregar-un-usuario-o-administrador-a-su-sitio-de-wordpress/) explica la pantalla paso a paso. Qué encuentra y qué hacer después | Lo que encuentra | Lo que puede significar | Siguiente paso | | --- | --- | --- | | Ninguna clave listada, sin plugins ni usuarios desconocidos | Fuera del alcance de este incidente | Mantenga UpdraftPlus actualizado; no se necesita nada más | | Una clave listada, nada raro en el registro, plugins y usuarios coinciden | Conectado, sin señal de uso todavía | Elimine la clave, actualice y cambie las contraseñas de administrador; el sitio no queda comprobado como limpio hasta que termine los pasos | | plugin.upload\_plugin o probe.central.updraftplus.com en el registro | Llegaron comandos remotos | Trátelo como un compromiso; guarde la evidencia primero | | Un plugin o administrador que usted no agregó | Posible compromiso | Trátelo como un compromiso; guarde la evidencia primero | ## Recupere el sitio sin que el atacante vuelva Si aparece algo sospechoso, deje de tratar esto como una actualización de plugin común. Guarde primero los registros y los archivos sospechosos, porque borrarlos elimina la evidencia de hasta dónde llegó el ataque. Desconecte UpdraftCentral y ponga el sitio fuera de línea si lo necesita. Un punto de restauración es una copia hecha antes del 17 de octubre de 2026, y solo una cuya integridad usted pueda establecer razonablemente. Después de la restauración, reinstale WordPress core, cada plugin y el tema desde fuentes de confianza. Borrar el único plugin malicioso visible y seguir adelante deja la puerta abierta. Luego rote las credenciales: contraseñas de administrador, hosting, base de datos, almacenamiento y credenciales de API, y las claves de seguridad de WordPress (salts). [La guía de WordPress.org para sitios hackeados](https://wordpress.org/documentation/article/faq-my-site-was-hacked/) pone la documentación antes que la limpieza, por eso los registros van primero. Su [página de fortalecimiento](https://developer.wordpress.org/advanced-administration/security/hardening/) plantea parte del trabajo como «containing the damage done if there is a successful attack» (contener el daño causado si el ataque tiene éxito). ![Varios sobres de papel en blanco sellados, apilados junto a una libreta sencilla y un lápiz sobre un escritorio limpio.](https://webleveling.com/blog/updraftplus-updraftcentral-hack-what-to-do/sealed-envelopes-for-the-logs.jpg) Guarde copias de los registros antes de limpiar nada. ## Sepa cuándo entregarlo a un profesional Entregarlo a un profesional es la decisión correcta en algunas situaciones: encontró algo sospechoso, no puede revisar los archivos y la base de datos fuera de WordPress, o el sitio guarda datos de clientes, recibe pagos, ejecuta código personalizado o es uno de varios que usted administra. También aplica si los registros sugieren que un atacante entró como administrador existente. Vale la pena pagar por la recolección de evidencia, un criterio sobre qué restaurar y la rotación de credenciales hecha entre hosting, base de datos y almacenamiento a la vez. No es razón para asumir que todos los sitios de UpdraftPlus fueron hackeados. Nuestra guía sobre [cuánto cuesta eliminar malware](https://webleveling.com/es/blog/costo-de-eliminar-malware-de-un-sitio-web/) explica cómo se cotiza ese trabajo, y [las primeras 24 horas después de un hackeo](https://webleveling.com/es/blog/hackearon-mi-sitio-web-que-hacer/) cubre los pasos generales de emergencia. ## Corte las conexiones que no usa, en cualquier plugin Esto no significa que otros proveedores hayan sido vulnerados. La lección es más estrecha y práctica: cualquier plugin que acepta comandos a través de una cuenta de proveedor es una puerta que su sitio abre hacia esa cuenta. Los paneles de administración remota, los conectores de copias de seguridad y las herramientas de administración de sitios funcionan así. Reserve veinte minutos y audítelas: - **Liste los plugins** que se conectan a un panel externo. - **Nombre la cuenta del proveedor** a la que se conecta cada uno. - **Abra ese panel** y revise los sitios y las claves que guarda. - **Elimine lo que ya no use** en el panel y en la configuración del plugin. - **Confirme que la clave local desapareció**, porque quitar un sitio en el panel del proveedor puede no borrar la credencial del sitio. [La guía propia de TeamUpdraft](https://teamupdraft.com/docs/updraftcentral/getting-started/add-site-to-updraftcentral/) muestra cómo se agrega un sitio a UpdraftCentral, lo que le dice qué buscar al quitar uno. Acompañe esto con el hábito de [revisar sus plugins de WordPress en busca de actualizaciones urgentes de seguridad](https://webleveling.com/es/blog/revisar-plugins-de-wordpress-actualizaciones-de-seguridad/), y mantenga la lista dentro de la rutina de [mantenimiento](https://webleveling.com/es/servicios/mantenimiento-de-sitios-web/) de su sitio. Un sitio sin plugins que parchear es otra opción. Un sitio estático en Next.js, como los que construimos como parte del [diseño web](https://webleveling.com/es/servicios/diseno-web/), no tiene ningún receptor de comandos de plugins, así que esta exposición específica no le aplica. Sus credenciales de hosting, despliegue y CI siguen siendo riesgos aparte y necesitan su propio cuidado. ![Una bandeja de madera poco profunda con varios candados de distintos tamaños sobre una mesa de trabajo, algunos con llaves todavía puestas.](https://webleveling.com/blog/updraftplus-updraftcentral-hack-what-to-do/unused-padlocks-in-a-tray.jpg) Cada candado que ya no usa es una cosa menos que cuidar. **Cuestionario: Repaso rápido: ¿su sitio está incluido en el incidente de la clave de UpdraftCentral?** 1. ¿Dónde revisa si existe una clave de conexión de UpdraftCentral en la nube? - En el panel de UpdraftCentral en teamupdraft.com - En su propio inicio de sesión de WordPress, en Settings > UpdraftPlus > Advanced Tools > UpdraftCentral **(respuesta correcta)** - Solo en el panel de control de su hosting - En la carpeta de Google Drive donde guarda las copias de seguridad 2. ¿Qué hace actualizar a Free 1.26.12 o Premium 2.26.12? - Elimina cualquier plugin malicioso que ya esté instalado - Prueba que el sitio está limpio - Desconecta las conexiones hechas antes de las 22:00 BST del 18 de octubre, pero no elimina nada que ya estaba instalado **(respuesta correcta)** - Borra todas sus copias de seguridad 3. ¿Qué copia de seguridad es un punto de restauración seguro si encuentra un compromiso? - Una hecha el 18 de octubre de 2026 - Una hecha antes del 17 de octubre de 2026 cuya integridad pueda establecer razonablemente **(respuesta correcta)** - Cualquier copia, mientras sea reciente - Ninguna copia es segura nunca ## Preguntas frecuentes sobre el hackeo de UpdraftPlus **¿Afectó a todos los sitios de UpdraftPlus?** No. El incidente involucraba sitios con una clave de conexión de UpdraftCentral en la nube. TeamUpdraft dice que los usuarios gratuitos sin una cuenta de teamupdraft.com no necesitan tomar ninguna medida. **¿Dónde reviso si hay una clave de conexión?** Inicie sesión en su propio panel de WordPress y abra Settings > UpdraftPlus > Advanced Tools > UpdraftCentral. Lea «Manage existing keys». **¿Están a salvo mis copias de Google Drive, Dropbox o S3?** TeamUpdraft dice que las copias guardadas en su propio almacenamiento no se vieron afectadas. Aun así, recomienda volver a autorizar el almacenamiento y cambiar las claves de almacenamiento de cualquier sitio al que se haya accedido a través de UpdraftCentral. **¿Basta con actualizar a 1.26.12 o 2.26.12?** No. La actualización desconecta las conexiones anteriores, pero no elimina nada que ya estaba instalado. Revise también sus plugins, usuarios y registros. **¿Debo eliminar UpdraftPlus?** No. Elimine las claves de conexión, actualice el plugin y quite solo lo que ya no usa. **¿Qué hago si encuentro un plugin que no instalé?** Guarde los registros y los archivos sospechosos, trate el sitio como comprometido, restaure desde una copia hecha antes del 17 de octubre de 2026 si puede confiar en ella, y recurra a un profesional. ## Para cerrar Si su sitio tiene una clave de conexión de UpdraftCentral en la nube, el trabajo es iniciar sesión directamente, eliminar la clave, actualizar, revisar plugins y usuarios, y restaurar solo desde una copia hecha antes del 17 de octubre de 2026. Si no tiene clave, Wordfence señala que UpdraftPlus no acepta comandos de UpdraftCentral en absoluto. En cualquiera de los dos casos, TeamUpdraft dice que UpdraftPlus en sí y las copias en su propio almacenamiento no fueron afectados. Dedicar diez minutos ahora significa una credencial desconocida menos y una conexión olvidada menos en cada sitio que usted cuida. Haga la misma auditoría para cualquier plugin ligado a una cuenta de proveedor, y sabrá exactamente quién puede enviar comandos a su sitio. Si la revisión muestra algo que no puede explicar, [Web Leveling](https://webleveling.com/es/) puede revisarlo con usted, desde los registros hasta las credenciales, mediante nuestra [auditoría de seguridad del sitio web](https://webleveling.com/es/servicios/auditoria-de-seguridad-web/). Trabajamos con pequeñas y medianas empresas de todo el país y del extranjero. [Envíenos lo que encontró en su sitio](https://webleveling.com/es/contacto/), y juntos podemos definir qué restaurar y qué rotar. ## Términos Palabras usadas en esta publicación Toque un término para ver qué significa. **UpdraftPlus.** Un plugin de WordPress que se usa para hacer copias de seguridad y restaurar un sitio web. **UpdraftCentral.** Un panel remoto que permite a una cuenta administrar muchos sitios de WordPress que usan UpdraftPlus. **Clave de conexión.** Una credencial que vincula un sitio con una cuenta de UpdraftCentral para que la cuenta pueda enviarle comandos. **plugin.upload\_plugin.** El comando remoto que usaron los atacantes para instalar un plugin en un sitio conectado. **Plugin Must-Use.** Un plugin que se carga automáticamente y no aparece en la lista normal de plugins. **Claves de seguridad (salts).** Cadenas aleatorias en la configuración de WordPress que protegen las sesiones de inicio de sesión; cambiarlas cierra la sesión de todos. - [Vulnerabilidad Click2Shell de WordPress: qué es y la corrección](https://webleveling.com/es/blog/vulnerabilidad-click2shell-de-wordpress/): Click2Shell es una falla del núcleo de WordPress corregida en la 7.1.1. Vea qué necesita, en qué se diferencia del incidente ClickFix de Brevo, y qué revisar ahora. - [Los nuevos términos de Meta pueden rastrear su sitio web de negocio: qué hacer](https://webleveling.com/es/blog/terminos-comerciales-meta-rastreo-sitio-web/): Los nuevos términos comerciales de Meta empiezan el 30 de octubre y cubren su sitio web. Vea la redacción actual, qué cambió el 17 de octubre y cuatro opciones que tiene. - [¿Hackeada su cuenta de WhatsApp Business? Cómo protegerla](https://webleveling.com/es/blog/cuenta-whatsapp-business-hackeada/): ¿Le hackearon la cuenta de WhatsApp Business, o teme que pase? Active la verificación en dos pasos, revise los dispositivos vinculados y aprenda a recuperarla y avisar a sus clientes.