La règle habituelle de la sécurité WordPress tient en une phrase : tenez vos extensions à jour. L'incident UpdraftCentral la met en défaut. Les sites compromis le week-end du 17 octobre tournaient sur la dernière version de WordPress et sur une version d'UpdraftPlus corrigée contre toutes les failles connues. L'attaquant n'a exploité aucune faiblesse des sites, il a utilisé des clés légitimes.
UpdraftPlus est l'extension de sauvegarde la plus installée de WordPress, avec plus de quatre millions de sites. Elle embarque un client UpdraftCentral, une console qui permet de gérer plusieurs sites depuis un seul tableau de bord : mises à jour, sauvegardes, installation d'extensions. C'est précisément cette fonction d'installation à distance qui a été retournée contre les sites.
Ce qui s'est passé
Selon le communiqué de TeamUpdraft, un attaquant a accédé au site de l'éditeur les 17 et 18 octobre et a probablement copié la base clients : noms, adresses électroniques, historiques de commandes, mots de passe sous forme chiffrée, réglages de double authentification et, surtout, les clés de connexion UpdraftCentral, UpdraftVault et UpdraftClone.
Avec ces clés, l'attaquant pouvait signer des commandes que les sites acceptaient comme venant de leur propriétaire. Il a envoyé l'ordre d'installer et d'activer une extension. Patchstack a recensé 99 noms d'extensions malveillantes différents entre l'après-midi du 18 octobre et le matin du 19, déguisées en outils de maintenance ou d'optimisation. Certaines variantes créaient un compte administrateur et cherchaient à le masquer.
L'éditeur a publié le 19 octobre les versions 1.26.13 (gratuite) et 2.26.13 (Premium), qui déconnectent automatiquement les sites de la console en révoquant les anciennes clés.
Qui est concerné
Avoir UpdraftPlus installé ne suffit pas à être exposé. Le risque concerne les sites reliés à UpdraftCentral dans sa version hébergée par l'éditeur, c'est-à-dire ceux qui possèdent une clé UpdraftCentral. Les consoles UpdraftCentral auto-hébergées ne sont pas concernées, et les sauvegardes envoyées sur votre propre stockage, Google Drive, Dropbox ou S3, ne sont pas touchées.
Le piège est ailleurs : la clé a pu être créée sans que personne s'en souvienne. Les analyses publiées par Nethemba montrent que la case « ajouter ce site à UpdraftCentral » est cochée par défaut lorsque l'on se connecte à son compte TeamUpdraft depuis l'extension, typiquement pour activer une licence Premium. Un prestataire qui a configuré la sauvegarde il y a trois ans a donc pu connecter le site à la console sans que le propriétaire le sache.
La procédure de vérification
L'éditeur recommande la démarche suivante, site par site, en se connectant directement à l'administration de chaque site plutôt qu'en passant par la console :
- Mettre à jour UpdraftPlus en 1.26.13 ou 2.26.13 au minimum.
- Supprimer la clé UpdraftCentral dans Réglages, UpdraftPlus, Outils avancés, UpdraftCentral.
- Passer en revue les utilisateurs et supprimer tout administrateur inconnu.
- Passer en revue les extensions, y compris l'onglet des extensions obligatoires (must-use) s'il apparaît, et supprimer ce que vous ne reconnaissez pas.
- Changer les mots de passe de tous les comptes administrateurs et du compte TeamUpdraft.
- Restaurer une sauvegarde antérieure au 17 octobre si un élément suspect apparaît, puis seulement reconnecter le site à la console si vous en avez besoin.
Côté serveur, les indicateurs publiés incluent des requêtes de commande plugin.upload_plugin, l'agent utilisateur WordPress/6.4; class-udrpc.php et un auteur d'extension « StoneDock Tools ». Si vous avez accès aux journaux, une recherche sur ces chaînes depuis le 17 octobre lève le doute.
La vraie leçon : les consoles de gestion
UpdraftCentral n'est pas un cas isolé. ManageWP, MainWP, InfiniteWP, les tableaux de bord des agences et les outils de mise à jour groupée reposent tous sur le même principe : une clé, stockée ailleurs que sur le site, qui autorise l'installation de code. C'est utile, et c'est aussi une porte d'entrée dont la sécurité dépend d'un tiers.
Nous en tirons trois règles. D'abord, un site ne doit être connecté qu'aux consoles effectivement utilisées ; une connexion oubliée est un risque sans contrepartie. Ensuite, l'inventaire des accès d'un site doit inclure ces clés, au même titre que les comptes administrateurs, comme nous le décrivons dans à qui appartient votre site. Enfin, la sauvegarde ne doit pas dépendre de la même chaîne que la gestion : si la console est compromise, la restauration doit rester possible sans elle.
C'est le deuxième incident UpdraftPlus de l'année après la faille de juin, que nous avions analysée dans le plugin de sauvegarde qui attend que vous restauriez. L'extension reste un bon outil ; elle n'est simplement pas une stratégie de sauvegarde à elle seule.
Ce que couvre le contrat
Sur les sites que nous maintenons, la liste des consoles et services connectés fait partie de l'inventaire. Le 19 octobre, nous avons vérifié chaque site équipé d'UpdraftPlus, supprimé les clés UpdraftCentral qui n'étaient pas utilisées et contrôlé les comptes administrateurs et les extensions installées depuis le 17.
Ce travail relève de la maintenance WordPress à 500 HT / an, sauvegardes hors serveur comprises. Pour un site déjà compromis, nous intervenons en urgence, à 230 HT de l'heure hors contrat. Le communiqué officiel est disponible sur le blog de TeamUpdraft.
À retenir
Les sites touchés étaient à jour : l'attaquant a utilisé des clés de console volées chez l'éditeur. Sont concernés les sites reliés à UpdraftCentral hébergé, parfois sans que leur propriétaire le sache. Mettez UpdraftPlus à jour, supprimez la clé, vérifiez utilisateurs et extensions, et restaurez une sauvegarde antérieure au 17 octobre au moindre doute. Plus largement, ne laissez connectées que les consoles réellement utilisées.
Vous ne savez pas si votre site est relié à une console de gestion ? Envoyez-nous son adresse, nous vérifions et vous répondons.