UpdraftPlus es uno de los plugins de copias de seguridad más usados en WordPress. Entre el 17 y el 18 de octubre de 2026, alguien entró sin permiso en la web de la empresa que lo desarrolla, TeamUpdraft, y se llevó, entre otros datos, las llaves que conectan muchas webs de sus clientes con su panel de gestión en la nube. Con esas llaves, el atacante instaló accesos ocultos en webs WordPress.
Si usas UpdraftPlus, lo más probable es que tu web ya se haya actualizado sola: WordPress.org distribuyó la versión corregida a todos los usuarios. Pero actualizar no deshace lo que el atacante haya dejado dentro. Te explicamos quién está afectado, qué corrigió la actualización y qué conviene revisar, o pedir que revisen, para quedarte tranquilo con una respuesta concreta.
- El problema no fue un fallo del plugin: se robaron llaves de conexión del servicio en la nube UpdraftCentral, y con ellas se instalaron plugins maliciosos en webs conectadas.
- Las versiones 1.26.13 (gratuita) y 2.26.13 (Premium), o posteriores, anulan las llaves antiguas. Eso cierra la puerta, pero no quita lo que ya haya entrado.
- Hay que revisar usuarios con permisos altos, plugins que nadie instaló y contraseñas. Si aparece algo, se trata la web como comprometida.
Qué pasó y cuándo
UpdraftCentral es un panel de TeamUpdraft para gestionar varias webs WordPress desde un solo lugar: hacer copias, actualizar, revisar. Para eso, cada web conectada guarda una llave que le permite al panel darle órdenes. Esas llaves estaban en la base de datos de clientes de teamupdraft.com.
Según el comunicado de TeamUpdraft, publicado el 19 de octubre y actualizado varias veces hasta el 23, la base de datos probablemente expuesta incluía nombres, correos, direcciones de facturación, historial de pedidos, contraseñas cifradas y las llaves de conexión de UpdraftCentral, UpdraftVault y UpdraftClone. No incluía datos de tarjetas, porque los pagos los procesan Stripe y PayPal.
La empresa de seguridad Patchstack fue la que detectó el uso de esas llaves. En su análisis del 19 de octubre describe una campaña de unas 18 horas, entre el 18 y el 19 de octubre, en la que el atacante instaló plugins maliciosos en webs conectadas. Patchstack aclara que no es un fallo del código de UpdraftPlus, sino un robo de llaves.
- 17–18 oct 2026TeamUpdraft detecta un acceso no autorizado a su web.
- 18–19 oct 2026Patchstack observa la instalación de plugins maliciosos en webs conectadas a UpdraftCentral.
- 19 oct 2026TeamUpdraft publica su comunicado y salen las versiones 1.26.12 y 1.26.13, que anulan las llaves anteriores.
- 21–23 oct 2026TeamUpdraft confirma la creación de cuentas de administrador y plugins maliciosos, y actualiza sus instrucciones.
¿Afecta a tu web?
Depende de cómo uses UpdraftPlus. Con lo que dice el comunicado, así queda cada caso:
Un detalle que confunde: Patchstack encontró llaves de UpdraftCentral incluso en webs cuyos dueños nunca usaron ese panel. Por eso, si tienes la versión Premium o no sabes si la web estuvo conectada, la respuesta segura es revisar.
Tus copias de seguridad guardadas en Google Drive, Dropbox u otro almacenamiento propio no se vieron afectadas, según la empresa. Pero si la web se gestionaba desde UpdraftCentral, recomienda volver a autorizar esas conexiones y cambiar las claves de acceso al almacenamiento.
Por qué actualizar no es suficiente
Las versiones 1.26.13 y 2.26.13 hacen una cosa: anulan las llaves de conexión creadas antes del incidente. El registro de cambios del plugin lo resume así: la 1.26.12 revoca esas llaves y la 1.26.13, publicada el mismo día, corrige la forma en que se aplicaba esa revocación. Por eso la versión mínima es la 1.26.13 (o la 2.26.13 en Premium), no la anterior que citaban las primeras instrucciones.
Pero si el atacante llegó a tu web antes de la actualización, lo que dejó sigue ahí. Según Patchstack, el plugin malicioso crea una cuenta con rol de Editor a la que añade permisos de administrador, y esa cuenta sigue existiendo aunque se borre el plugin. Además, el atacante entraba sin pasar por el formulario de acceso, así que la verificación en dos pasos no lo frenaba. TeamUpdraft lo dice de forma directa: la actualización solo anula las llaves viejas, y cada web hay que revisarla.
Qué revisar en tu WordPress
Si tienes acceso de administrador, hay tres comprobaciones que puedes hacer tú mismo en el escritorio de WordPress. Si no te sientes cómodo, pídeselas a quien te mantiene la web:
Para ver si tu web tiene guardada una llave de UpdraftCentral, el comunicado indica dónde mirar:
Los nombres del menú pueden cambiar un poco según el idioma de tu escritorio. Si aparece una llave anterior al incidente, TeamUpdraft indica eliminarla. Patchstack, en su análisis, recomendaba además no volver a conectar la web hasta que el fabricante explicara la causa.
Si encuentras algo raro
Un usuario desconocido con permisos altos o un plugin que nadie instaló significan que alguien tuvo control de tu web. En ese punto, borrar ese usuario o ese plugin no basta: lo que se hace es tratar la web como comprometida. Los pasos que indican TeamUpdraft y Patchstack son, en resumen:
- Restaurar una copia anterior al 17 de octubre, si la tienes y sabes que funciona. Es la forma más segura de volver a un estado limpio. Lo que haya cambiado en la web después de esa fecha, como pedidos o contenidos nuevos, hay que rescatarlo aparte.
- Cambiar todas las contraseñas de administrador y cerrar las sesiones abiertas.
- Volver a autorizar el almacenamiento de las copias y cambiar sus claves, si la web se gestionaba desde UpdraftCentral.
- Activar la verificación en dos pasos para los administradores, aunque en este ataque no sirviera de freno: protege frente a otros.
Patchstack advierte además de un error fácil de cometer: no hay que intentar «arreglar» el plugin malicioso si da un error, porque corregirlo lo activa. Si no tienes a nadie técnico cerca, este es el momento de pedir ayuda, no de probar.
Y para el futuro: lo que te salva en un caso así es una copia de seguridad que sabes que se puede restaurar. Lo explicamos en probar una copia de seguridad de WordPress.
Lo que no conviene hacer
- Dar por cerrado el tema porque el plugin se actualizó solo. La actualización cierra la puerta para adelante; no revisa lo que ya entró.
- Suponer que te atacaron porque usas UpdraftPlus. El riesgo depende de si la web estaba conectada a UpdraftCentral en la nube. Ninguna fuente oficial da una cifra de webs afectadas.
- Borrar solo el plugin sospechoso. La cuenta que crea sobrevive. Si encuentras uno, la revisión tiene que ser completa.
- Responder correos que piden contraseñas o llaves. TeamUpdraft dice que nunca las pide. Después de una brecha, los intentos de engaño por correo son habituales.
Si este caso te dejó con la duda de cómo se mantienen al día los plugins de tu web, lo explicamos en actualizaciones automáticas en WordPress. Y si tu web necesita algo más que mantenimiento, lo vemos en desarrollo WordPress.
