Hack bij UpdraftPlus zet backdoors op WordPress-sites

Aanvallers hebben via UpdraftPlus, een van de meest gebruikte backupplugins voor WordPress, een backdoor op websites gezet. Dat bevestigt maker TeamUpdraft in een incidentbericht dat op 19 oktober 2026 verscheen. Ze kwamen in het weekend van 17 en 18 oktober binnen op de website van TeamUpdraft en namen daar sleutels mee waarmee je een site op afstand beheert. Met die sleutels installeerden ze een eigen plugin op gekoppelde sites. UpdraftPlus staat volgens de pluginpagina op wordpress.org op meer dan 4 miljoen sites. Niet elke site met de plugin is geraakt: het gaat om sites die gekoppeld waren aan UpdraftCentral, de beheerdienst van TeamUpdraft.

Wat er gebeurde

Volgens TeamUpdraft (bijgewerkt op 19 oktober 2026 om 19:03 Britse tijd) hebben de aanvallers waarschijnlijk de klantendatabase ingezien. Daarin staan namen, e-mailadressen, factuuradressen, gehashte wachtwoorden en de koppelsleutels voor UpdraftCentral, UpdraftVault en UpdraftClone. De plugin zelf en de downloads waren volgens de maker niet aangetast. Backups op je eigen opslag, zoals Google Drive of Dropbox, ook niet.

Het probleem zit in die koppelsleutels. Wie zo’n sleutel heeft, kan een gekoppelde site opdrachten geven, en dus ook een plugin laten installeren. Beveiligingsbedrijf Patchstack analyseerde de aanval op 19 oktober 2026. Volgens hun analyse wacht de geplaatste plugin op een geheime parameter in een webadres. Komt die langs, dan maakt de plugin een account aan met beheerrechten en logt de aanvaller direct in, zonder wachtwoord of tweestapsverificatie. Patchstack zag 99 verschillende pluginnamen. De naam “Site Health Cache” kwam het vaakst terug, en elke variant had dezelfde omschrijving: “Small maintenance toolkit: keeps option storage tidy.”

Patchstack schrijft ook dat een site een UpdraftCentral-sleutel kan hebben zonder dat de eigenaar dat zelf zo instelde. Wie de plugin aan een account bij TeamUpdraft koppelt, ziet een vinkje “Add this website to UpdraftCentral” dat standaard aan staat.

TeamUpdraft bracht op 19 oktober 2026 versie 1.26.12 (gratis) en 2.26.12 (Premium) uit. Die versies schakelen alle UpdraftCentral-koppelingen uit die vóór 18 oktober 22:00 Britse tijd zijn gemaakt. De gratis versie staat volgens wordpress.org sinds die middag in de pluginbibliotheek. Hoeveel sites er geraakt zijn, is nog niet bekend.

Wat betekent dit voor jouw website

De eerste vraag is of je UpdraftPlus gebruikt. Weet je dat niet, kijk dan in WordPress onder Plugins, of vraag het je webbouwer. Gebruik je de gratis plugin zonder account bij TeamUpdraft, dan hoef je volgens de maker niets te doen behalve bijwerken. Heb je wel een account, of beheert een bureau je site via UpdraftCentral, doe dan zo snel mogelijk het volgende:

1. Log in op je eigen WordPress-dashboard, niet via UpdraftCentral, en werk UpdraftPlus bij naar 1.26.12 of 2.26.12, de versies die TeamUpdraft op 19 oktober 2026 uitbracht.
2. Ga naar Instellingen, UpdraftPlus, Advanced Tools, UpdraftCentral en verwijder de koppelsleutel.
3. Kijk onder Plugins, ook op het tabblad Must-Use, of er iets staat dat je niet kent. Let vooral op een plugin met de omschrijving hierboven.
4. Kijk onder Gebruikers of er beheerders of redacteuren bij zijn gekomen die je niet kent. Volgens Patchstack hebben ze vaak een nep-e-mailadres op een voorbeelddomein en de weergavenaam “Site Tools”. Zo’n account blijft bestaan als je de plugin weghaalt, dus verwijder het apart.
5. Verander de wachtwoorden van alle beheerders, en dat van je account bij TeamUpdraft.

Vind je zo’n plugin, probeer hem dan niet te repareren. Patchstack zag dat sommige versies je site laten vastlopen met een foutmelding. Wie die fout herstelt, zet de backdoor juist aan. Behandel een vondst als een volledige inbraak: laat iemand de bestanden naast een schone installatie leggen, of zet een backup terug van vóór 17 oktober 2026, zoals TeamUpdraft adviseert.

Over opnieuw koppelen verschillen de bronnen. TeamUpdraft zegt dat je na deze stappen weer kunt koppelen, Patchstack raadt aan te wachten tot de oorzaak bekend is. Gebruik je UpdraftCentral niet actief, dan is er geen reden om de koppeling terug te zetten. Bekijk je site al een paar dagen niet zelf? Kijk dan ook of je hem nog gewoon kunt openen, want een site die op elke pagina een foutmelding geeft, is hier het eerste teken van.

Dit incident laat zien wat elke plugin met beheerrechten betekent: wie de sleutel van de maker in handen krijgt, kan op je site. Dat geldt ook voor een plugin die je juist voor de veiligheid installeerde. Kijk daarom eens kritisch naar je pluginlijst en haal weg wat je niet meer gebruikt.

Wat FWRD hiermee doet

Een FWRD-site draait niet op WordPress en heeft geen plugins van derden die iemand op afstand kan aansturen. Op de vergelijking met WordPress staat wat dat verder betekent. Wil je van WordPress af, dan bouwt de startchat sinds 8 oktober 2026 tot twaalf pagina’s van je oude site na, zo staat in de changelog. Eerder schreven we over de laatste beveiligingsupdate van WordPress zelf. Wil je weten hoe je eigen site ervoor staat, doe dan de gratis websitecheck.

Bronnen

• TeamUpdraft: Security incident on teamupdraft.com, 19 oktober 2026
• Patchstack: UpdraftCentral key compromise, 19 oktober 2026
• Nethemba: analyse van de UpdraftCentral-backdoor, 19 oktober 2026
• WordPress.org: UpdraftPlus, versie 1.26.12 van 19 oktober 2026
• Tweakers: WordPress-sites lopen risico op backdoor door hack bij plug-inmaker TeamUpdraft, 19 oktober 2026