UpdraftPlus hackeado: qué hacer si tiene una clave de UpdraftCentral

No todos los sitios de WordPress que usan UpdraftPlus quedaron expuestos a este ataque. Los sitios que usan UpdraftPlus Free o Premium con una clave de conexión de UpdraftCentral en la nube son los que podían recibir los comandos de los atacantes. TeamUpdraft dice que los usuarios gratuitos sin una cuenta de teamupdraft.com no necesitan tomar ninguna medida.

Si sí tiene una clave, la revisión toma unos diez minutos y solo necesita su propio inicio de sesión en WordPress. Vaya a Settings (Ajustes) > UpdraftPlus > Advanced Tools > UpdraftCentral y busque «Manage existing keys» (administrar claves existentes). Si aparece una clave en la lista, elimínela, actualice a Free 1.26.12 o Premium 2.26.12, y luego revise sus plugins y usuarios.

TeamUpdraft, Wordfence y Nethemba publicaron sus hallazgos el 19 de octubre de 2026. No necesita desinstalar UpdraftPlus ni reemplazar su sitio web por esta noticia, pero si había una clave, la actualización por sí sola no termina el trabajo.

Averigüe en diez minutos si su sitio está incluido en el incidente

Empiece desde su propio sitio, no desde el panel de UpdraftCentral. Use el inicio de sesión normal de WordPress que siempre usa, porque el punto es ver lo que el sitio mismo guarda. El anuncio público de servicio de Wordfence describe la misma ruta de revisión que TeamUpdraft.

1. Inicie sesión directamente: Abra su propia dirección de wp-admin, no un enlace de un correo ni de un panel remoto.
2. Abra la lista de claves: Vaya a Settings > UpdraftPlus > Advanced Tools > UpdraftCentral y busque «Manage existing keys».
3. Lea el número: Un número mayor que cero significa que existe una clave de conexión en la nube en este sitio.
4. Anote su versión: Free debe ser 1.26.12 y Premium debe ser 2.26.12.
5. Revise la lista de plugins: Busque cualquiera que usted no haya instalado, incluidos los plugins Must-Use, si su hosting los muestra.

¿Por qué existiría una clave si nunca quiso crear una? Wordfence señala que UpdraftPlus 1.26.11 ofrece agregar el sitio a UpdraftCentral cuando usted conecta una cuenta de TeamUpdraft, y que esa opción viene seleccionada por defecto. Es fácil pasar de largo ese paso y olvidarlo.

Aclare las fechas para saber cuáles de sus sitios revisar primero

Los hechos son breves y las horas importan. TeamUpdraft informó un acceso no autorizado a teamupdraft.com durante el fin de semana del 17 al 18 de octubre de 2026, y dice que su base de datos de clientes incluía claves de conexión de UpdraftCentral, UpdraftVault y UpdraftClone. Luego, los atacantes usaron claves válidas de UpdraftCentral para enviar comandos a sitios de WordPress conectados.

Wordfence vio las subidas maliciosas en Premium 2.26.11 y en Free 1.26.10 y 1.26.11. El análisis técnico de Nethemba documenta los comandos y los plugins que instalaron. Revise la versión de cada sitio que administra, no solo la del sitio principal.

Este es un evento distinto de CVE-2026-10795 de junio de 2026, que involucró comandos falsificados en versiones anteriores. Este incidente trata de claves de conexión robadas, así que no tome un parche de junio como prueba de que está libre de este.

Cierre las puertas en el orden correcto

TeamUpdraft y Wordfence enumeran órdenes un poco distintos, y ambos terminan en el mismo lugar. Trabaje con esta secuencia, que deja al principio la eliminación de claves y la evidencia.

1. Inicie sesión directamente en el sitio, como en la revisión anterior.
2. Elimine cada clave en «Manage existing keys». Wordfence lo pone primero.
3. Cambie su contraseña de teamupdraft.com desde un dispositivo de confianza, y restablezca la autenticación de dos factores en esa cuenta si la tiene.
4. Guarde los registros antes de limpiar nada. Copie los eventos del registro de UpdraftCentral y anote cualquier nombre de archivo sospechoso.
5. Actualice a Free 1.26.12 o Premium 2.26.12.
6. Revise usuarios y plugins, y escanee el sitio.
7. Restaure si algo parece mal, usando los pasos de recuperación de las secciones siguientes.
8. Cambie las contraseñas de administrador y cierre las sesiones activas.
9. Reconecte al final, con una clave nueva, y solo si todavía usa UpdraftCentral.

La actualización importa, pero es un paso, no la solución completa. Desconecta las conexiones hechas antes de las 22:00 BST del 18 de octubre. No elimina un plugin que ya estaba instalado, y no prueba que el sitio esté limpio.

Mantenga sus copias de seguridad utilizables

Empiece por dónde viven sus copias de seguridad. TeamUpdraft dice que el plugin UpdraftPlus en sí y sus descargas no se vieron afectados, que las copias guardadas en su propio Google Drive, Dropbox o Amazon S3 no se vieron afectadas, y que UpdraftCentral autoalojado no formó parte de este incidente.

Como precaución, TeamUpdraft recomienda volver a autorizar su almacenamiento y cambiar las claves de almacenamiento de cualquier sitio al que se haya accedido a través de UpdraftCentral. Hágalo después de que el sitio esté limpio, para que una credencial nueva no caiga en un sitio comprometido.

Dos notas de producto del aviso. Si usa UpdraftVault, vuelva a conectarlo con las credenciales nuevas y haga una copia manual para confirmar que funciona. Si usa UpdraftClone, reemplace las claves de cliente anteriores por nuevas.

Detecte un compromiso aunque la lista de usuarios se vea normal

Hay cuatro cosas que vale la pena atender. En el registro de UpdraftCentral, busque eventos que digan «Command received: plugin.upload_plugin» y referencias a probe.central.updraftplus.com. TeamUpdraft documenta cómo ver el registro de eventos. Luego revise los plugins, incluidos los Must-Use, y las cuentas de administrador.

No se detenga en la lista de usuarios. Nethemba documenta una variante que dejó entrar al atacante como un administrador existente, sin crear un usuario nuevo. Una lista que se ve igual no resuelve la duda, así que lea también el registro y la carpeta de plugins. Si necesita un repaso para revisar cuentas, nuestra publicación sobre cómo agregar o quitar un usuario administrador en WordPress explica la pantalla paso a paso.

Recupere el sitio sin que el atacante vuelva

Si aparece algo sospechoso, deje de tratar esto como una actualización de plugin común. Guarde primero los registros y los archivos sospechosos, porque borrarlos elimina la evidencia de hasta dónde llegó el ataque. Desconecte UpdraftCentral y ponga el sitio fuera de línea si lo necesita.

Un punto de restauración es una copia hecha antes del 17 de octubre de 2026, y solo una cuya integridad usted pueda establecer razonablemente. Después de la restauración, reinstale WordPress core, cada plugin y el tema desde fuentes de confianza. Borrar el único plugin malicioso visible y seguir adelante deja la puerta abierta.

Luego rote las credenciales: contraseñas de administrador, hosting, base de datos, almacenamiento y credenciales de API, y las claves de seguridad de WordPress (salts). La guía de WordPress.org para sitios hackeados pone la documentación antes que la limpieza, por eso los registros van primero. Su página de fortalecimiento plantea parte del trabajo como «containing the damage done if there is a successful attack» (contener el daño causado si el ataque tiene éxito).

Sepa cuándo entregarlo a un profesional

Entregarlo a un profesional es la decisión correcta en algunas situaciones: encontró algo sospechoso, no puede revisar los archivos y la base de datos fuera de WordPress, o el sitio guarda datos de clientes, recibe pagos, ejecuta código personalizado o es uno de varios que usted administra. También aplica si los registros sugieren que un atacante entró como administrador existente.

Vale la pena pagar por la recolección de evidencia, un criterio sobre qué restaurar y la rotación de credenciales hecha entre hosting, base de datos y almacenamiento a la vez. No es razón para asumir que todos los sitios de UpdraftPlus fueron hackeados. Nuestra guía sobre cuánto cuesta eliminar malware explica cómo se cotiza ese trabajo, y las primeras 24 horas después de un hackeo cubre los pasos generales de emergencia.

Corte las conexiones que no usa, en cualquier plugin

Esto no significa que otros proveedores hayan sido vulnerados. La lección es más estrecha y práctica: cualquier plugin que acepta comandos a través de una cuenta de proveedor es una puerta que su sitio abre hacia esa cuenta. Los paneles de administración remota, los conectores de copias de seguridad y las herramientas de administración de sitios funcionan así.

Reserve veinte minutos y audítelas:

• Liste los plugins que se conectan a un panel externo.
• Nombre la cuenta del proveedor a la que se conecta cada uno.
• Abra ese panel y revise los sitios y las claves que guarda.
• Elimine lo que ya no use en el panel y en la configuración del plugin.
• Confirme que la clave local desapareció, porque quitar un sitio en el panel del proveedor puede no borrar la credencial del sitio.

La guía propia de TeamUpdraft muestra cómo se agrega un sitio a UpdraftCentral, lo que le dice qué buscar al quitar uno. Acompañe esto con el hábito de revisar sus plugins de WordPress en busca de actualizaciones urgentes de seguridad, y mantenga la lista dentro de la rutina de mantenimiento de su sitio.

Un sitio sin plugins que parchear es otra opción. Un sitio estático en Next.js, como los que construimos como parte del diseño web, no tiene ningún receptor de comandos de plugins, así que esta exposición específica no le aplica. Sus credenciales de hosting, despliegue y CI siguen siendo riesgos aparte y necesitan su propio cuidado.

Preguntas frecuentes sobre el hackeo de UpdraftPlus

¿Afectó a todos los sitios de UpdraftPlus?

No. El incidente involucraba sitios con una clave de conexión de UpdraftCentral en la nube. TeamUpdraft dice que los usuarios gratuitos sin una cuenta de teamupdraft.com no necesitan tomar ninguna medida.

¿Dónde reviso si hay una clave de conexión?

Inicie sesión en su propio panel de WordPress y abra Settings > UpdraftPlus > Advanced Tools > UpdraftCentral. Lea «Manage existing keys».

¿Están a salvo mis copias de Google Drive, Dropbox o S3?

TeamUpdraft dice que las copias guardadas en su propio almacenamiento no se vieron afectadas. Aun así, recomienda volver a autorizar el almacenamiento y cambiar las claves de almacenamiento de cualquier sitio al que se haya accedido a través de UpdraftCentral.

¿Basta con actualizar a 1.26.12 o 2.26.12?

No. La actualización desconecta las conexiones anteriores, pero no elimina nada que ya estaba instalado. Revise también sus plugins, usuarios y registros.

¿Debo eliminar UpdraftPlus?

No. Elimine las claves de conexión, actualice el plugin y quite solo lo que ya no usa.

¿Qué hago si encuentro un plugin que no instalé?

Guarde los registros y los archivos sospechosos, trate el sitio como comprometido, restaure desde una copia hecha antes del 17 de octubre de 2026 si puede confiar en ella, y recurra a un profesional.

Para cerrar

Si su sitio tiene una clave de conexión de UpdraftCentral en la nube, el trabajo es iniciar sesión directamente, eliminar la clave, actualizar, revisar plugins y usuarios, y restaurar solo desde una copia hecha antes del 17 de octubre de 2026. Si no tiene clave, Wordfence señala que UpdraftPlus no acepta comandos de UpdraftCentral en absoluto. En cualquiera de los dos casos, TeamUpdraft dice que UpdraftPlus en sí y las copias en su propio almacenamiento no fueron afectados.

Dedicar diez minutos ahora significa una credencial desconocida menos y una conexión olvidada menos en cada sitio que usted cuida. Haga la misma auditoría para cualquier plugin ligado a una cuenta de proveedor, y sabrá exactamente quién puede enviar comandos a su sitio.

Si la revisión muestra algo que no puede explicar, Web Leveling puede revisarlo con usted, desde los registros hasta las credenciales, mediante nuestra auditoría de seguridad del sitio web. Trabajamos con pequeñas y medianas empresas de todo el país y del extranjero. Envíenos lo que encontró en su sitio, y juntos podemos definir qué restaurar y qué rotar.

Términos