[{"data":1,"prerenderedAt":242},["ShallowReactive",2],{"seo-verification":3,"blog-updraftcentral-cles-volees-backdoors-wordpress-sauvegarde-fr":6},{"google":4,"bing":5},"EycwPY2XMyTkVzas3n1ygeNJFGAH513qrMjfDljzsMQ","",{"key":7,"data":8},"blog-updraftcentral-cles-volees-backdoors-wordpress-sauvegarde-fr",{"id":9,"slug":10,"slugs":11,"title":15,"excerpt":16,"readTime":17,"views":18,"isPinned":19,"publishedAt":20,"updatedAt":21,"category":22,"categories":28,"featuredImage":30,"bgImage":31,"posterImage":32,"relatedSolution":33,"intro":36,"sections":37,"ctaTitle":188,"ctaBody":189,"ctaButton":190,"ctaUrl":191,"relatedPosts":192},535,"updraftcentral-cles-volees-backdoors-wordpress-sauvegarde",{"fr":10,"en":12,"ar":13,"es":14},"updraftcentral-stolen-keys-wordpress-backdoors-clean-restore","updraftcentral-مفاتيح-مسروقة-أبواب-خلفية-ووردبريس-استعادة-نظيفة","updraftcentral-claves-robadas-puertas-traseras-wordpress-restaurar","UpdraftCentral : clés volées, faux plugins, restauration propre","Clés UpdraftCentral volées, faux plugins installés sur des sites WordPress : révoquer les clés, auditer plugins et comptes admin, restaurer proprement.",9,0,false,"2026-10-30T00:00:00+00:00","2026-10-31T01:54:05+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},8,"Sécurité & Monitoring","securite-monitoring","bg-rose-500\u002F10 text-rose-400","security",[29],{"id":23,"name":24,"slug":25,"color":26,"icon":27},null,"\u002Fblog\u002Fcovers\u002Fbg.svg","\u002Fblog\u002Fcovers\u002Fupdraftcentral-cles-volees-backdoors-wordpress-sauvegarde-poster.svg",{"categorySlug":34,"appSlug":35},"cms","wordpress","Les 17 et 18 octobre 2026, un accès non autorisé au site de l'éditeur d'UpdraftPlus a exposé des clés de connexion UpdraftCentral, puis des sites WordPress ont reçu de faux plugins sans qu'aucune faille de plugin ne soit en cause. Pour une agence qui gère un parc de sites clients, la question n'est plus seulement de mettre à jour : il faut savoir quels sites ont déjà été touchés, quelles clés sont encore valides et quels comptes ont été créés dans l'ombre. Ce guide donne les commandes pour contrôler, révoquer, auditer puis restaurer, site par site.",[38,42,78,81,92,120,151,154,175,179,182,185],{"type":39,"title":40,"body":41},"h2","Ce qui s'est passé chez UpdraftPlus en octobre 2026","L'éditeur TeamUpdraft a identifié un accès non autorisé à son propre site les 17 et 18 octobre 2026. Les données concernées comprennent des clés de connexion UpdraftCentral, le service de gestion à distance. Avec une telle clé, un attaquant signe des commandes que le site accepte comme venant de son tableau de bord, dont l'installation d'un plugin. Patchstack a observé la première installation de porte dérobée le 18 octobre à 15:32 UTC et recense au moins 99 plugins malveillants aux noms distincts, déguisés en outils de maintenance. Le point central est ailleurs : il ne s'agit pas d'une faille du plugin de sauvegarde. L'éditeur indique que le plugin et ses téléchargements ne sont pas touchés, ni les sauvegardes conservées dans votre propre stockage distant. Le danger vient d'une clé de gestion à distance volée, pas des sauvegardes WordPress en général.",{"type":43,"title":44,"headers":45,"rows":49},"comparison","Versions et situations : où en est chaque site",[46,47,48],"Situation","Statut","Action",[50,54,58,62,66,70,74],[51,52,53],"UpdraftPlus 1.26.13 (gratuit) ou 2.26.13 (Premium), ou plus récent","Les connexions UpdraftCentral existantes sont révoquées, selon l'éditeur","Vérifier quand même clés, plugins et comptes",[55,56,57],"UpdraftPlus 1.26.12","Selon Nethemba, un bogue empêchait la suppression des clés","Passer en 1.26.13 ou plus récent, puis supprimer les clés",[59,60,61],"Version plus ancienne","Une clé peut rester valide","Mettre à jour, puis supprimer les clés",[63,64,65],"Plugin à jour, faux plugin déjà posé","La mise à jour ne retire pas le faux plugin","Auditer plugins et comptes, voir plus bas",[67,68,69],"Site jamais connecté à UpdraftCentral","Aucune clé attendue","Lire l'option des clés pour en être sûr",[71,72,73],"UpdraftCentral auto-hébergé","Non concerné, d'après l'éditeur","Aucune action propre à cet incident",[75,76,77],"Sauvegardes dans votre stockage distant","Non touchées, d'après l'éditeur","Ré-autoriser le stockage et changer ses clés",{"type":39,"title":79,"body":80},"Pourquoi « à jour » ne veut pas dire « sain »","La phrase « mon plugin est à jour, je suis couvert » est fausse pour deux raisons. D'abord, la 1.26.12 devait supprimer les clés mais, selon Nethemba cité par BleepingComputer, un bogue l'en empêchait : seules la 1.26.13 et la 2.26.13 ont réglé ce point. Ensuite, une mise à jour modifie le code du plugin de sauvegarde, elle ne retire ni un faux plugin déjà installé ni un compte administrateur déjà créé. L'éditeur a d'ailleurs signalé, dans une mise à jour de son avis, des sites où un plugin déposé par l'attaquant avait survécu à l'incident initial et créé ensuite un nouvel administrateur, y compris après déconnexion. Un site n'est donc déclaré sain qu'après contrôle des clés, des plugins et des comptes, jamais sur la foi d'un numéro de version.",{"type":82,"title":83,"items":84},"ul","Les indices à chercher sur chaque site",[85,86,87,88,89,90,91],"**Un plugin inconnu** — le nom Site Health Cache revient souvent selon Patchstack, mais la liste n'est pas exhaustive : l'éditeur cite aussi Asset Forge 2, Core Smith, Image Forge ou WP Forge.","**Une description type** — la chaîne « Small maintenance toolkit: keeps option storage tidy. » est l'indice de fichier le plus fiable selon Patchstack ; ne pas la trouver ne prouve rien.","**Un compte caché** — des identifiants du type data-ops43 ou media-staff96, une adresse en example.org, le nom affiché Site Tools ; certains plugins masquent ces comptes de l'écran Utilisateurs.","**Une option en `_sync_token`** — une entrée dont le nom se termine ainsi dans la table des options accompagne la porte dérobée.","**Une installation sans auteur** — un plugin apparu sans action d'un administrateur, ou un courriel d'erreur WordPress qui nomme un plugin que personne ne connaît.","**Une clé encore présente** — l'option `updraft_central_localkeys` n'est pas vide : le site est exposé tant que cette clé existe.","**Une ligne de journal** — dans le journal UpdraftCentral, `probe.central.updraftplus.com` suivi de `Command received: plugin.upload_plugin`.",{"type":93,"title":94,"steps":95},"steps","Auditer chaque site, dans l'ordre",[96,99,102,105,108,111,114,117],{"title":97,"body":98},"Travailler depuis le site lui-même","Ouvrez le tableau de bord WordPress du site, ou une session SSH, mais pas UpdraftCentral : l'éditeur demande de se connecter à chaque site directement.",{"title":100,"body":101},"Lire les clés existantes","`wp option get updraft_central_localkeys`\nUne sortie non vide signifie que le site est exposé, selon Patchstack, même si vous n'avez jamais utilisé UpdraftCentral. Une erreur « option inexistante » indique l'absence de clé.",{"title":103,"body":104},"Mettre à jour puis supprimer les clés","`wp plugin update updraftplus`\n`wp option delete updraft_central_localkeys`\nLe chemin graphique est Réglages > UpdraftPlus Backups > Outils avancés > UpdraftCentral, puis « Manage existing keys » ; l'intitulé exact varie selon la version, la commande est le geste de référence. Retirer le site du tableau de bord UpdraftCentral ne suffit pas. Les sauvegardes continuent de fonctionner.",{"title":106,"body":107},"Lister les plugins et comparer","`wp plugin list --fields=name,status,version`\n`ls wp-content\u002Fmu-plugins\u002F`\nComparez avec la liste attendue du parc : un plugin que personne n'a validé est suspect, y compris dans le dossier des extensions obligatoires (Must-Use), que l'écran Extensions n'affiche pas toujours.",{"title":109,"body":110},"Chercher la signature du faux plugin","`grep -r \"Small maintenance toolkit: keeps option storage tidy.\" wp-content\u002Fplugins\u002F wp-content\u002Fmu-plugins\u002F`\nUn résultat est une alerte. Une recherche vide ne prouve pas que le site est propre.",{"title":112,"body":113},"Lister les comptes à privilèges","`wp user list --role=administrator --skip-plugins`\n`wp user list --role=editor --skip-plugins`\nL'option `--skip-plugins` compte : elle évite de charger les plugins qui masquent des comptes à l'écran. Comparez avec la liste attendue des personnes qui administrent réellement le site.",{"title":115,"body":116},"Chercher l'option de la porte dérobée","`wp option list --search=\"*_sync_token\"`\nToute entrée trouvée appelle le traitement « site compromis » de la section suivante.",{"title":118,"body":119},"Consigner le résultat","Une ligne par site : version d'UpdraftPlus, clés présentes ou non, écart de plugins, écart de comptes, date de l'audit, décision. Ce registre sert de preuve au client et d'état de départ pour le prochain incident.",{"type":43,"title":121,"headers":122,"rows":126},"Les mêmes contrôles selon l'environnement",[123,124,125],"Environnement","Commande type","Remarque",[127,131,135,139,143,147],[128,129,130],"Debian ou Ubuntu","`sudo -u www-data wp --path=\u002Fvar\u002Fwww\u002Fhtml plugin list`","Adaptez le chemin et l'utilisateur à votre installation",[132,133,134],"RHEL, AlmaLinux ou Rocky","`sudo -u apache wp --path=\u002Fvar\u002Fwww\u002Fhtml plugin list`","Utilisateur `nginx` si le serveur web est nginx",[136,137,138],"Docker Compose","`docker compose exec -u www-data wordpress wp plugin list`","Le nom du service dépend de votre fichier ; WP-CLI est souvent absent de l'image WordPress, vérifiez",[140,141,142],"Hébergement mutualisé avec SSH","`wp plugin list` depuis le dossier du site","Sans SSH, passez par le gestionnaire de fichiers ou le SFTP",[144,145,146],"Sans WP-CLI","Examiner `wp-content\u002Fplugins\u002F` et `wp-content\u002Fmu-plugins\u002F` en SFTP","Comparer chaque dossier à la liste attendue",[148,149,150],"Tous environnements","`wp config shuffle-salts`","Change les clés de sécurité WordPress et ferme les sessions ouvertes",{"type":39,"title":152,"body":153},"Au moindre signe, traiter le site comme compromis","Si un compte de porte dérobée existe ou si le déclencheur apparaît dans les journaux, Patchstack recommande de considérer le site comme entièrement compromis. L'ordre compte. Supprimez d'abord la clé UpdraftCentral, sinon l'attaquant garde sa voie d'entrée. Désactivez ensuite le faux plugin, puis supprimez son dossier directement sur le serveur : l'éditeur avertit que certains plugins sont conçus pour effacer leurs traces quand on les supprime depuis le tableau de bord. Ne corrigez pas une erreur de code dans ce plugin pour le « réparer » : Patchstack prévient que cela active la porte dérobée. Retirez le compte et l'option `_sync_token`, puis préférez la restauration au nettoyage manuel, car rien ne prouve qu'un nettoyage à la main a tout trouvé.",{"type":93,"title":155,"steps":156},"Restaurer proprement",[157,160,163,166,169,172],{"title":158,"body":159},"Choisir le point de restauration","Prenez une sauvegarde antérieure au 17 octobre 2026 et vérifiez qu'elle précède bien la compromission : date des fichiers, dernière installation de plugin connue, journaux du serveur.",{"title":161,"body":162},"Restaurer hors production","Montez la sauvegarde sur un site de test ou un serveur jetable, jamais directement en production. Relancez-y les contrôles de la section d'audit : clés, plugins, comptes, signature.",{"title":164,"body":165},"Comparer avec une installation propre","`wp core verify-checksums`\n`wp plugin verify-checksums --all`\nCes commandes comparent les fichiers du cœur et des plugins du répertoire officiel avec leurs sommes de contrôle ; un fichier modifié est signalé.",{"title":167,"body":168},"Mettre à jour avant la remise en ligne","Passez UpdraftPlus en 1.26.13 ou 2.26.13 au minimum, mettez à jour le reste, puis supprimez de nouveau les clés : une sauvegarde d'avant l'incident peut en contenir.",{"title":170,"body":171},"Remettre en production et surveiller","Basculez le site restauré, puis relisez plugins et comptes pendant les jours suivants. Un plugin ou un compte réapparu signale une porte encore ouverte ailleurs.",{"title":173,"body":174},"Décider de la reconnexion","TeamUpdraft autorise la reconnexion à UpdraftCentral une fois le site contrôlé et sécurisé. À la date de son article, Patchstack conseillait d'attendre l'explication de la cause. Si vous n'avez pas besoin de la gestion à distance, laissez-la débranchée.",{"type":176,"title":177,"body":178},"tip","La restauration ne remplace pas la révocation","Restaurer une sauvegarde saine ne dispense ni de supprimer les clés ni de changer les identifiants : l'éditeur le précise lui-même. Faites toujours dans cet ordre : clés supprimées, mots de passe changés, sessions fermées, puis remise en ligne.",{"type":39,"title":180,"body":181},"Stockage distant, sessions et mots de passe","Les sauvegardes conservées dans votre stockage distant (Google Drive, Dropbox, Amazon S3) ne sont pas touchées, d'après l'éditeur, mais les sites accessibles via UpdraftCentral doivent ré-autoriser ce stockage et en changer les clés d'accès. Faites tourner les clés S3, renouvelez l'autorisation des comptes de type Drive ou Dropbox, puis changez les clés de sécurité WordPress avec `wp config shuffle-salts` et les mots de passe de tous les comptes administrateur et éditeur légitimes. Côté éditeur, changez votre mot de passe en saisissant l'adresse à la main dans le navigateur, réinitialisez la double authentification, et si vous utilisez UpdraftVault, reconnectez le stockage puis lancez une sauvegarde manuelle : les sites avaient été déconnectés. Les données exposées chez l'éditeur comprennent noms, adresses de courriel, adresses de facturation et historique de commandes ; les mots de passe n'y sont stockés que sous forme hachée.",{"type":39,"title":183,"body":184},"Pour une agence : un inventaire, pas dix tableaux","Sur des dizaines de sites, le temps ne part pas dans la commande, il part dans la question « qui a quoi ». Tenez un registre vivant par site : version d'UpdraftPlus, présence de clés, liste de plugins attendue, liste d'administrateurs attendue, date du dernier audit, date de la dernière sauvegarde. Sans liste de référence, un plugin n'est jamais « inconnu », seulement « pas encore vu ». Regardez aussi vos points de restauration avant d'en avoir besoin : chez ServOrbit.com, les sauvegardes sont hebdomadaires en entrée de gamme et quotidiennes sur l'offre Pro et sur toutes les offres Agency, et il faut vérifier qu'une copie antérieure au 17 octobre 2026 existe encore. Notre guide sur le test de restauration d'une sauvegarde de VPS client décrit la procédure à répéter à froid, et la logique de mise à jour d'un parc reste celle des deux alertes WordPress récentes.",{"type":39,"title":186,"body":187},"La documentation officielle","Avis de TeamUpdraft sur l'incident d'octobre 2026 : https:\u002F\u002Fteamupdraft.com\u002Fblog\u002Fsecurity-incident-october-2026\u002F\n\nAnalyse de Patchstack : https:\u002F\u002Fpatchstack.com\u002Farticles\u002Fupdraftcentral-key-compromise-wordpress-backdoors\u002F\n\nArticle de BleepingComputer : https:\u002F\u002Fwww.bleepingcomputer.com\u002Fnews\u002Fsecurity\u002Fstolen-updraftcentral-keys-used-to-backdoor-wordpress-sites\u002F\n\nWP-CLI, liste des utilisateurs : https:\u002F\u002Fdeveloper.wordpress.org\u002Fcli\u002Fcommands\u002Fuser\u002Flist\u002F\n\nWP-CLI, vérification des sommes de contrôle des plugins : https:\u002F\u002Fdeveloper.wordpress.org\u002Fcli\u002Fcommands\u002Fplugin\u002Fverify-checksums\u002F\n\nWP-CLI, renouvellement des clés de sécurité : https:\u002F\u002Fdeveloper.wordpress.org\u002Fcli\u002Fcommands\u002Fconfig\u002Fshuffle-salts\u002F","Un parc de sites clients à contrôler, sans multiplier les accès","Un portefeuille de sites clients exige un inventaire unique des plugins et des accès. Avec l'espace agence de ServOrbit.com, vous suivez comptes, expirations et services depuis une seule interface : vous gérez la relation client, nous tenons l'infrastructure.","Découvrir l'offre agences","\u002Fsolutions\u002Fagences",[193,209,225],{"id":194,"slug":195,"slugs":196,"title":200,"excerpt":201,"readTime":202,"views":18,"isPinned":19,"publishedAt":203,"updatedAt":204,"category":205,"categories":206,"featuredImage":30,"bgImage":31,"posterImage":208,"relatedSolution":30},523,"tester-restauration-sauvegarde-vps-client-agence-procedure",{"fr":195,"en":197,"ar":198,"es":199},"test-client-vps-backup-restore-agency-procedure","اختبار-استعادة-نسخة-احتياطية-vps-عميل-وكالة-إجراء","probar-restauracion-copia-seguridad-vps-cliente-agencia-procedimiento","Tester la restauration d'une sauvegarde client : procédure agence","Procédure trimestrielle pour restaurer un site client sur un VPS jetable, mesurer le RTO et le RPO constatés, puis remettre un journal de test daté au client.",11,"2026-10-28T00:00:00+00:00","2026-10-29T03:10:23+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},[207],{"id":23,"name":24,"slug":25,"color":26,"icon":27},"\u002Fblog\u002Fcovers\u002Ftester-restauration-sauvegarde-vps-client-agence-procedure-poster.svg",{"id":210,"slug":211,"slugs":212,"title":216,"excerpt":217,"readTime":23,"views":18,"isPinned":19,"publishedAt":218,"updatedAt":219,"category":220,"categories":221,"featuredImage":30,"bgImage":31,"posterImage":223,"relatedSolution":224},373,"wordpress-cve-2026-87902-rce-mise-a-jour-7-1-2",{"fr":211,"en":213,"ar":214,"es":215},"wordpress-cve-2026-87902-update-to-712-now","ووردبريس-cve-2026-87902-ترقية-7-1-2","wordpress-cve-2026-87902-actualiza-a-712-urgente","WordPress CVE-2026-87902 : patcher 7.1.2 avant d'être compromis","CVE-2026-87902 (CVSS 9.2) est exploitée activement depuis le 22 sept. 2026. Vérifiez votre version, appliquez WordPress 7.1.2 et comprenez pourquoi le mutualisé.","2026-09-24T00:00:00+00:00","2026-10-26T18:53:20+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},[222],{"id":23,"name":24,"slug":25,"color":26,"icon":27},"\u002Fblog\u002Fcovers\u002Fwordpress-cve-2026-87902-rce-mise-a-jour-7-1-2-poster.svg",{"categorySlug":34,"appSlug":35},{"id":226,"slug":227,"slugs":228,"title":232,"excerpt":233,"readTime":234,"views":18,"isPinned":19,"publishedAt":235,"updatedAt":236,"category":237,"categories":238,"featuredImage":30,"bgImage":31,"posterImage":240,"relatedSolution":241},525,"bricksforge-cve-2026-85097-wordpress-mettre-a-jour",{"fr":227,"en":229,"ar":230,"es":231},"bricksforge-cve-2026-85097-wordpress-update","ثغرة-bricksforge-cve-2026-85097-ووردبريس-التحديث","bricksforge-cve-2026-85097-wordpress-actualizar","Bricksforge CVE-2026-85097 : mettre à jour et auditer le parc","Bricksforge 3.1.8.10 corrige CVE-2026-85097, un upload non authentifié exploité. Inventaire wp-cli, fichiers PHP déposés, journaux, secrets à rotater.",10,"2026-10-29T00:00:00+00:00","2026-10-29T15:45:55+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},[239],{"id":23,"name":24,"slug":25,"color":26,"icon":27},"\u002Fblog\u002Fcovers\u002Fbricksforge-cve-2026-85097-wordpress-mettre-a-jour-poster.svg",{"categorySlug":34,"appSlug":35},1793414207768]