[{"data":1,"prerenderedAt":241},["ShallowReactive",2],{"seo-verification":3,"blog-updraftcentral-claves-robadas-puertas-traseras-wordpress-restaurar-es":6},{"google":4,"bing":5},"EycwPY2XMyTkVzas3n1ygeNJFGAH513qrMjfDljzsMQ","",{"key":7,"data":8},"blog-updraftcentral-claves-robadas-puertas-traseras-wordpress-restaurar-es",{"id":9,"slug":10,"slugs":11,"title":15,"excerpt":16,"readTime":17,"views":18,"isPinned":19,"publishedAt":20,"updatedAt":21,"category":22,"categories":28,"featuredImage":30,"bgImage":31,"posterImage":32,"relatedSolution":33,"intro":36,"sections":37,"ctaTitle":187,"ctaBody":188,"ctaButton":189,"ctaUrl":190,"relatedPosts":191},535,"updraftcentral-claves-robadas-puertas-traseras-wordpress-restaurar",{"fr":12,"en":13,"ar":14,"es":10},"updraftcentral-cles-volees-backdoors-wordpress-sauvegarde","updraftcentral-stolen-keys-wordpress-backdoors-clean-restore","updraftcentral-مفاتيح-مسروقة-أبواب-خلفية-ووردبريس-استعادة-نظيفة","UpdraftCentral: claves robadas, plugins falsos y restauración","Claves de UpdraftCentral robadas y plugins falsos en sitios WordPress: revoque las claves, audite plugins y cuentas admin y restaure con una copia limpia.",9,0,false,"2026-10-30T00:00:00+00:00","2026-10-31T01:54:05+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},8,"Seguridad y monitorización","securite-monitoring","bg-rose-500\u002F10 text-rose-400","security",[29],{"id":23,"name":24,"slug":25,"color":26,"icon":27},null,"\u002Fblog\u002Fcovers\u002Fbg.svg","\u002Fblog\u002Fcovers\u002Fupdraftcentral-cles-volees-backdoors-wordpress-sauvegarde-poster.svg",{"categorySlug":34,"appSlug":35},"cms-sitios-web","wordpress","El 17 y el 18 de octubre de 2026, un acceso no autorizado al sitio del editor de UpdraftPlus expuso claves de conexión de UpdraftCentral, y después varios sitios WordPress recibieron plugins falsos sin que interviniera ninguna vulnerabilidad de plugin. Para una agencia que gestiona una cartera de sitios de clientes, la cuestión ya no es solo actualizar: hay que saber qué sitios ya fueron afectados, qué claves siguen siendo válidas y qué cuentas se crearon en la sombra. Esta guía da los comandos para comprobar, revocar, auditar y restaurar, sitio por sitio.",[38,42,78,81,92,119,150,153,174,178,181,184],{"type":39,"title":40,"body":41},"h2","Qué ocurrió en UpdraftPlus en octubre de 2026","El editor, TeamUpdraft, identificó un acceso no autorizado a su propio sitio el 17 y el 18 de octubre de 2026. Los datos afectados incluyen claves de conexión de UpdraftCentral, el servicio de gestión remota. Con una clave así, un atacante firma órdenes que el sitio acepta como procedentes de su panel, entre ellas la instalación de un plugin. Patchstack observó la primera instalación de una puerta trasera el 18 de octubre a las 15:32 UTC y contabiliza al menos 99 plugins maliciosos con nombres distintos, disfrazados de herramientas de mantenimiento. El punto central es otro: no se trata de un fallo del plugin de copias de seguridad. El editor indica que el plugin y sus descargas no están afectados, ni tampoco las copias guardadas en su propio almacenamiento remoto. El peligro viene de una clave de gestión remota robada, no de las copias de seguridad de WordPress en general.",{"type":43,"title":44,"headers":45,"rows":49},"comparison","Versiones y situaciones: dónde está cada sitio",[46,47,48],"Situación","Estado","Acción",[50,54,58,62,66,70,74],[51,52,53],"UpdraftPlus 1.26.13 (gratuito) o 2.26.13 (Premium), o posterior","Las conexiones existentes a UpdraftCentral quedan revocadas, según el editor","Comprobar igualmente claves, plugins y cuentas",[55,56,57],"UpdraftPlus 1.26.12","Según Nethemba, un error impedía eliminar las claves","Pasar a 1.26.13 o posterior y eliminar las claves",[59,60,61],"Versión anterior","Una clave puede seguir siendo válida","Actualizar y eliminar las claves",[63,64,65],"Plugin al día, plugin falso ya instalado","La actualización no retira el plugin falso","Auditar plugins y cuentas, véase más abajo",[67,68,69],"Sitio nunca conectado a UpdraftCentral","No se espera ninguna clave","Leer la opción de claves para estar seguro",[71,72,73],"UpdraftCentral autoalojado","No afectado, según el editor","Ninguna acción propia de este incidente",[75,76,77],"Copias en su propio almacenamiento remoto","No afectadas, según el editor","Reautorizar el almacenamiento y cambiar sus claves",{"type":39,"title":79,"body":80},"Por qué \"al día\" no significa \"limpio\"","La frase \"mi plugin está al día, estoy cubierto\" es falsa por dos motivos. Primero, la versión 1.26.12 debía eliminar las claves pero, según Nethemba citado por BleepingComputer, un error se lo impedía: solo la 1.26.13 y la 2.26.13 corrigieron ese punto. Segundo, una actualización cambia el código del plugin de copias; no retira ni un plugin falso ya instalado ni una cuenta de administrador ya creada. El editor señaló además, en una actualización de su aviso, sitios donde un plugin depositado por el atacante sobrevivió al incidente inicial y creó después un nuevo administrador, incluso tras la desconexión. Un sitio solo se declara limpio tras revisar claves, plugins y cuentas, nunca por un número de versión.",{"type":82,"title":83,"items":84},"ul","Los indicios que hay que buscar en cada sitio",[85,86,87,88,89,90,91],"**Un plugin desconocido** — el nombre Site Health Cache aparece a menudo según Patchstack, pero la lista no es exhaustiva: el editor cita también Asset Forge 2, Core Smith, Image Forge y WP Forge.","**Una descripción típica** — la cadena \"Small maintenance toolkit: keeps option storage tidy.\" es el indicador de archivo más fiable según Patchstack; no encontrarla no prueba nada.","**Una cuenta oculta** — nombres de usuario como data-ops43 o media-staff96, una dirección en example.org, el nombre visible Site Tools; algunos plugins ocultan estas cuentas de la pantalla Usuarios.","**Una opción que termina en `_sync_token`** — una entrada con ese final en la tabla de opciones acompaña a la puerta trasera.","**Una instalación sin autor** — un plugin aparecido sin acción de un administrador, o un correo de error de WordPress que nombra un plugin que nadie conoce.","**Una clave todavía presente** — la opción `updraft_central_localkeys` no está vacía: el sitio sigue expuesto mientras exista esa clave.","**Una línea de registro** — en el registro de UpdraftCentral, `probe.central.updraftplus.com` seguido de `Command received: plugin.upload_plugin`.",{"type":93,"title":94,"steps":95},"steps","Auditar cada sitio, por orden",[96,99,102,104,107,110,113,116],{"title":97,"body":98},"Trabajar desde el propio sitio","Abra el panel de WordPress del sitio, o una sesión SSH, pero no UpdraftCentral: el editor pide conectarse a cada sitio directamente.",{"title":100,"body":101},"Leer las claves existentes","`wp option get updraft_central_localkeys`\nUna salida no vacía significa que el sitio está expuesto, según Patchstack, aunque nunca haya usado UpdraftCentral. Un error de \"opción inexistente\" indica que no hay clave.",{"title":61,"body":103},"`wp plugin update updraftplus`\n`wp option delete updraft_central_localkeys`\nLa ruta gráfica es Ajustes > UpdraftPlus Backups > Herramientas avanzadas > UpdraftCentral, y luego \"Manage existing keys\"; el rótulo exacto varía según la versión, así que el comando es el gesto de referencia. Quitar el sitio del panel de UpdraftCentral no basta. Las copias siguen funcionando.",{"title":105,"body":106},"Listar los plugins y comparar","`wp plugin list --fields=name,status,version`\n`ls wp-content\u002Fmu-plugins\u002F`\nCompare con la lista esperada de la cartera: un plugin que nadie validó es sospechoso, también en la carpeta Must-Use, que la pantalla de plugins no siempre muestra.",{"title":108,"body":109},"Buscar la firma del plugin falso","`grep -r \"Small maintenance toolkit: keeps option storage tidy.\" wp-content\u002Fplugins\u002F wp-content\u002Fmu-plugins\u002F`\nUn resultado es una alerta. Una búsqueda vacía no prueba que el sitio esté limpio.",{"title":111,"body":112},"Listar las cuentas con privilegios","`wp user list --role=administrator --skip-plugins`\n`wp user list --role=editor --skip-plugins`\nLa opción `--skip-plugins` importa: evita cargar los plugins que ocultan cuentas en pantalla. Compare con la lista esperada de personas que administran realmente el sitio.",{"title":114,"body":115},"Buscar la opción de la puerta trasera","`wp option list --search=\"*_sync_token\"`\nCualquier entrada encontrada exige el tratamiento de \"sitio comprometido\" de la sección siguiente.",{"title":117,"body":118},"Registrar el resultado","Una línea por sitio: versión de UpdraftPlus, claves presentes o no, diferencia de plugins, diferencia de cuentas, fecha de la auditoría, decisión. Este registro sirve de prueba al cliente y de punto de partida para el próximo incidente.",{"type":43,"title":120,"headers":121,"rows":125},"Las mismas comprobaciones según el entorno",[122,123,124],"Entorno","Comando tipo","Observación",[126,130,134,138,142,146],[127,128,129],"Debian o Ubuntu","`sudo -u www-data wp --path=\u002Fvar\u002Fwww\u002Fhtml plugin list`","Adapte la ruta y el usuario a su instalación",[131,132,133],"RHEL, AlmaLinux o Rocky","`sudo -u apache wp --path=\u002Fvar\u002Fwww\u002Fhtml plugin list`","Usuario `nginx` si el servidor web es nginx",[135,136,137],"Docker Compose","`docker compose exec -u www-data wordpress wp plugin list`","El nombre del servicio depende de su archivo; WP-CLI suele faltar en la imagen de WordPress, compruébelo",[139,140,141],"Alojamiento compartido con SSH","`wp plugin list` desde la carpeta del sitio","Sin SSH, use el administrador de archivos o SFTP",[143,144,145],"Sin WP-CLI","Examinar `wp-content\u002Fplugins\u002F` y `wp-content\u002Fmu-plugins\u002F` por SFTP","Comparar cada carpeta con la lista esperada",[147,148,149],"Todos los entornos","`wp config shuffle-salts`","Cambia las claves de seguridad de WordPress y cierra las sesiones abiertas",{"type":39,"title":151,"body":152},"Ante el menor indicio, tratar el sitio como comprometido","Si existe una cuenta de puerta trasera o el activador aparece en los registros, Patchstack recomienda considerar el sitio totalmente comprometido. El orden importa. Elimine primero la clave de UpdraftCentral, o el atacante conserva su vía de entrada. Desactive después el plugin falso y borre su carpeta directamente en el servidor: el editor advierte de que algunos plugins están diseñados para borrar sus huellas cuando se eliminan desde el panel. No corrija un error de código de ese plugin para \"repararlo\": Patchstack advierte de que eso activa la puerta trasera. Retire la cuenta y la opción `_sync_token` y prefiera la restauración a la limpieza manual, porque nada prueba que una limpieza a mano lo haya encontrado todo.",{"type":93,"title":154,"steps":155},"Restaurar de forma limpia",[156,159,162,165,168,171],{"title":157,"body":158},"Elegir el punto de restauración","Tome una copia anterior al 17 de octubre de 2026 y compruebe que precede de verdad a la intrusión: fechas de los archivos, última instalación de plugin conocida, registros del servidor.",{"title":160,"body":161},"Restaurar fuera de producción","Monte la copia en un sitio de pruebas o en un servidor desechable, nunca directamente en producción. Repita allí las comprobaciones de la sección de auditoría: claves, plugins, cuentas, firma.",{"title":163,"body":164},"Comparar con una instalación limpia","`wp core verify-checksums`\n`wp plugin verify-checksums --all`\nEstos comandos comparan los archivos del núcleo y de los plugins con las sumas de verificación del directorio oficial; un archivo modificado se señala.",{"title":166,"body":167},"Actualizar antes de volver a publicar","Pase UpdraftPlus como mínimo a 1.26.13 o 2.26.13, actualice el resto y elimine de nuevo las claves: una copia anterior al incidente puede contenerlas.",{"title":169,"body":170},"Volver a producción y vigilar","Active el sitio restaurado y revise plugins y cuentas durante los días siguientes. Un plugin o una cuenta que reaparece indica una puerta aún abierta en otro lugar.",{"title":172,"body":173},"Decidir la reconexión","TeamUpdraft permite reconectar con UpdraftCentral una vez comprobado y protegido el sitio. En la fecha de su artículo, Patchstack aconsejaba esperar a que se explicara la causa. Si no necesita la gestión remota, déjela desconectada.",{"type":175,"title":176,"body":177},"tip","Restaurar no sustituye a revocar","Restaurar una copia limpia no exime de eliminar las claves ni de cambiar las credenciales: el propio editor lo precisa. Siga siempre este orden: claves eliminadas, contraseñas cambiadas, sesiones cerradas y, por último, vuelta a línea.",{"type":39,"title":179,"body":180},"Almacenamiento remoto, sesiones y contraseñas","Las copias guardadas en su almacenamiento remoto (Google Drive, Dropbox, Amazon S3) no están afectadas, según el editor, pero los sitios accesibles mediante UpdraftCentral deben reautorizar ese almacenamiento y cambiar sus claves de acceso. Rote las claves S3, renueve la autorización de las cuentas de Drive o Dropbox, cambie las claves de seguridad de WordPress con `wp config shuffle-salts` y las contraseñas de todas las cuentas legítimas de administrador y editor. Del lado del editor, cambie su contraseña escribiendo la dirección a mano en el navegador, restablezca la autenticación en dos pasos y, si usa UpdraftVault, reconecte el almacenamiento y lance una copia manual: los sitios habían sido desconectados. Los datos expuestos en el editor incluyen nombres, correos, direcciones de facturación e historial de pedidos; las contraseñas se guardan allí solo con hash.",{"type":39,"title":182,"body":183},"Para una agencia: un inventario, no diez hojas de cálculo","Con decenas de sitios, el tiempo no se va en el comando sino en la pregunta \"quién tiene qué\". Mantenga un registro vivo por sitio: versión de UpdraftPlus, presencia de claves, lista de plugins esperada, lista de administradores esperada, fecha de la última auditoría, fecha de la última copia. Sin lista de referencia, un plugin nunca es \"desconocido\", solo \"aún no visto\". Revise sus puntos de restauración antes de necesitarlos: en ServOrbit.com, las copias son semanales en la gama de entrada y diarias en el plan Pro y en todos los planes Agency, y conviene comprobar que sigue existiendo una copia anterior al 17 de octubre de 2026. Nuestra guía sobre cómo probar la restauración de una copia de un VPS de cliente describe el procedimiento que conviene ensayar en frío, y la rutina de actualización de una cartera sigue siendo la de las dos alertas recientes de WordPress.",{"type":39,"title":185,"body":186},"Documentación oficial","Aviso de TeamUpdraft sobre el incidente de octubre de 2026: https:\u002F\u002Fteamupdraft.com\u002Fblog\u002Fsecurity-incident-october-2026\u002F\n\nAnálisis de Patchstack: https:\u002F\u002Fpatchstack.com\u002Farticles\u002Fupdraftcentral-key-compromise-wordpress-backdoors\u002F\n\nArtículo de BleepingComputer: https:\u002F\u002Fwww.bleepingcomputer.com\u002Fnews\u002Fsecurity\u002Fstolen-updraftcentral-keys-used-to-backdoor-wordpress-sites\u002F\n\nWP-CLI, lista de usuarios: https:\u002F\u002Fdeveloper.wordpress.org\u002Fcli\u002Fcommands\u002Fuser\u002Flist\u002F\n\nWP-CLI, verificación de sumas de los plugins: https:\u002F\u002Fdeveloper.wordpress.org\u002Fcli\u002Fcommands\u002Fplugin\u002Fverify-checksums\u002F\n\nWP-CLI, rotación de claves de seguridad: https:\u002F\u002Fdeveloper.wordpress.org\u002Fcli\u002Fcommands\u002Fconfig\u002Fshuffle-salts\u002F","Una cartera de sitios de clientes que revisar, sin multiplicar accesos","Una cartera de sitios de clientes exige un inventario único de plugins y accesos. Con el espacio de agencia de ServOrbit.com, sigue cuentas, vencimientos y servicios desde una sola interfaz: usted gestiona la relación con el cliente, nosotros mantenemos la infraestructura.","Descubrir la oferta para agencias","\u002Fsolutions\u002Fagences",[192,208,224],{"id":193,"slug":194,"slugs":195,"title":199,"excerpt":200,"readTime":201,"views":18,"isPinned":19,"publishedAt":202,"updatedAt":203,"category":204,"categories":205,"featuredImage":30,"bgImage":31,"posterImage":207,"relatedSolution":30},523,"probar-restauracion-copia-seguridad-vps-cliente-agencia-procedimiento",{"fr":196,"en":197,"ar":198,"es":194},"tester-restauration-sauvegarde-vps-client-agence-procedure","test-client-vps-backup-restore-agency-procedure","اختبار-استعادة-نسخة-احتياطية-vps-عميل-وكالة-إجراء","Probar la restauración de la copia de un cliente: procedimiento","Procedimiento trimestral para restaurar el sitio de un cliente en un VPS desechable, medir el RTO y el RPO reales y entregar al cliente un registro de prueba fechado.",11,"2026-10-28T00:00:00+00:00","2026-10-29T03:10:23+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},[206],{"id":23,"name":24,"slug":25,"color":26,"icon":27},"\u002Fblog\u002Fcovers\u002Ftester-restauration-sauvegarde-vps-client-agence-procedure-poster.svg",{"id":209,"slug":210,"slugs":211,"title":215,"excerpt":216,"readTime":23,"views":18,"isPinned":19,"publishedAt":217,"updatedAt":218,"category":219,"categories":220,"featuredImage":30,"bgImage":31,"posterImage":222,"relatedSolution":223},373,"wordpress-cve-2026-87902-actualiza-a-712-urgente",{"fr":212,"en":213,"ar":214,"es":210},"wordpress-cve-2026-87902-rce-mise-a-jour-7-1-2","wordpress-cve-2026-87902-update-to-712-now","ووردبريس-cve-2026-87902-ترقية-7-1-2","WordPress CVE-2026-87902: actualiza a 7.1.2 urgente","CVE-2026-87902 (CVSS 9.2) explotada activamente. Verifica tu versión, aplica WordPress 7.1.2 y entiende por qué el hosting compartido amplía tu exposición.","2026-09-24T00:00:00+00:00","2026-10-26T18:53:20+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},[221],{"id":23,"name":24,"slug":25,"color":26,"icon":27},"\u002Fblog\u002Fcovers\u002Fwordpress-cve-2026-87902-rce-mise-a-jour-7-1-2-poster.svg",{"categorySlug":34,"appSlug":35},{"id":225,"slug":226,"slugs":227,"title":231,"excerpt":232,"readTime":233,"views":18,"isPinned":19,"publishedAt":234,"updatedAt":235,"category":236,"categories":237,"featuredImage":30,"bgImage":31,"posterImage":239,"relatedSolution":240},525,"bricksforge-cve-2026-85097-wordpress-actualizar",{"fr":228,"en":229,"ar":230,"es":226},"bricksforge-cve-2026-85097-wordpress-mettre-a-jour","bricksforge-cve-2026-85097-wordpress-update","ثغرة-bricksforge-cve-2026-85097-ووردبريس-التحديث","Bricksforge CVE-2026-85097: actualizar y auditar su parque","Bricksforge 3.1.8.10 corrige CVE-2026-85097, una subida sin autenticar explotada. Inventario wp-cli, archivos PHP depositados, registros y secretos a rotar.",10,"2026-10-29T00:00:00+00:00","2026-10-29T15:45:55+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},[238],{"id":23,"name":24,"slug":25,"color":26,"icon":27},"\u002Fblog\u002Fcovers\u002Fbricksforge-cve-2026-85097-wordpress-mettre-a-jour-poster.svg",{"categorySlug":34,"appSlug":35},1793414400209]