{"id":131554,"date":"2026-10-25T20:44:44","date_gmt":"2026-10-25T19:44:44","guid":{"rendered":"https:\/\/quondos.com\/mag\/?p=131554"},"modified":"2026-10-25T20:44:46","modified_gmt":"2026-10-25T19:44:46","slug":"roban-las-claves-de-updraftcentral-y-cuelan-puertas-traseras-en-webs-con-updraftplus-que-revisar-ya-en-wordpress","status":"publish","type":"post","link":"https:\/\/quondos.com\/mag\/roban-las-claves-de-updraftcentral-y-cuelan-puertas-traseras-en-webs-con-updraftplus-que-revisar-ya-en-wordpress\/","title":{"rendered":"Roban las claves de UpdraftCentral y cuelan puertas traseras en webs con UpdraftPlus: qu\u00e9 revisar ya en WordPress"},"content":{"rendered":"\n<figure class=\"wp-block-image size-large\"><img loading=\"lazy\" decoding=\"async\" width=\"1024\" height=\"576\" src=\"https:\/\/quondos.com\/mag\/wp-content\/uploads\/2026\/10\/image-23-1024x576.png\" alt=\"\" class=\"wp-image-131555\" title=\"\" srcset=\"https:\/\/quondos.com\/mag\/wp-content\/uploads\/2026\/10\/image-23-1024x576.png 1024w, https:\/\/quondos.com\/mag\/wp-content\/uploads\/2026\/10\/image-23-300x169.png 300w, https:\/\/quondos.com\/mag\/wp-content\/uploads\/2026\/10\/image-23-768x432.png 768w, https:\/\/quondos.com\/mag\/wp-content\/uploads\/2026\/10\/image-23.png 1200w\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" \/><\/figure>\n\n\n\n<p>Un ataque contra la empresa que desarrolla <strong>UpdraftPlus<\/strong>, uno de los plugins de copias de seguridad m\u00e1s usados de WordPress, ha servido para colar puertas traseras en webs de sus clientes. Los atacantes robaron las <strong>claves de conexi\u00f3n de UpdraftCentral<\/strong>, el panel de gesti\u00f3n remota de TeamUpdraft, y las usaron para instalar plugins maliciosos y crear cuentas con permisos de administrador sin necesidad de usuario ni contrase\u00f1a. Seg\u00fan Patchstack, el problema no es un fallo del plugin, sino una filtraci\u00f3n de claves, y actualizar no basta para limpiar una web que ya haya sido atacada.<\/p>\n<div id=\"ez-toc-container\" class=\"ez-toc-v2_0_76 counter-hierarchy ez-toc-counter ez-toc-grey ez-toc-container-direction\">\n<div class=\"ez-toc-title-container\">\n<p class=\"ez-toc-title\" style=\"cursor:inherit\">\u00cdndice de contenidos<\/p>\n<span class=\"ez-toc-title-toggle\"><a href=\"#\" class=\"ez-toc-pull-right ez-toc-btn ez-toc-btn-xs ez-toc-btn-default ez-toc-toggle\" aria-label=\"Alternar tabla de contenidos\"><span class=\"ez-toc-js-icon-con\"><span class=\"\"><span class=\"eztoc-hide\" style=\"display:none;\">Toggle<\/span><span class=\"ez-toc-icon-toggle-span\"><svg style=\"fill: #999;color:#999\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" class=\"list-377408\" width=\"20px\" height=\"20px\" viewBox=\"0 0 24 24\" fill=\"none\"><path d=\"M6 6H4v2h2V6zm14 0H8v2h12V6zM4 11h2v2H4v-2zm16 0H8v2h12v-2zM4 16h2v2H4v-2zm16 0H8v2h12v-2z\" fill=\"currentColor\"><\/path><\/svg><svg style=\"fill: #999;color:#999\" class=\"arrow-unsorted-368013\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" width=\"10px\" height=\"10px\" viewBox=\"0 0 24 24\" version=\"1.2\" baseProfile=\"tiny\"><path d=\"M18.2 9.3l-6.2-6.3-6.2 6.3c-.2.2-.3.4-.3.7s.1.5.3.7c.2.2.4.3.7.3h11c.3 0 .5-.1.7-.3.2-.2.3-.5.3-.7s-.1-.5-.3-.7zM5.8 14.7l6.2 6.3 6.2-6.3c.2-.2.3-.5.3-.7s-.1-.5-.3-.7c-.2-.2-.4-.3-.7-.3h-11c-.3 0-.5.1-.7.3-.2.2-.3.5-.3.7s.1.5.3.7z\"\/><\/svg><\/span><\/span><\/span><\/a><\/span><\/div>\n<nav><ul class='ez-toc-list ez-toc-list-level-1 ' ><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-1\" href=\"https:\/\/quondos.com\/mag\/roban-las-claves-de-updraftcentral-y-cuelan-puertas-traseras-en-webs-con-updraftplus-que-revisar-ya-en-wordpress\/#Que_ha_pasado_con_UpdraftPlus_y_UpdraftCentral\" >Qu\u00e9 ha pasado con UpdraftPlus y UpdraftCentral<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-2\" href=\"https:\/\/quondos.com\/mag\/roban-las-claves-de-updraftcentral-y-cuelan-puertas-traseras-en-webs-con-updraftplus-que-revisar-ya-en-wordpress\/#Como_funciona_la_puerta_trasera\" >C\u00f3mo funciona la puerta trasera<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-3\" href=\"https:\/\/quondos.com\/mag\/roban-las-claves-de-updraftcentral-y-cuelan-puertas-traseras-en-webs-con-updraftplus-que-revisar-ya-en-wordpress\/#Las_versiones_que_corrigen_el_problema\" >Las versiones que corrigen el problema<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-4\" href=\"https:\/\/quondos.com\/mag\/roban-las-claves-de-updraftcentral-y-cuelan-puertas-traseras-en-webs-con-updraftplus-que-revisar-ya-en-wordpress\/#Que_deben_hacer_ya_quienes_gestionan_webs_con_WordPress\" >Qu\u00e9 deben hacer ya quienes gestionan webs con WordPress<\/a><\/li><\/ul><\/nav><\/div>\n<h2><span class=\"ez-toc-section\" id=\"Que_ha_pasado_con_UpdraftPlus_y_UpdraftCentral\"><\/span>Qu\u00e9 ha pasado con UpdraftPlus y UpdraftCentral<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>TeamUpdraft detect\u00f3 un <strong>acceso no autorizado a teamupdraft.com entre el 17 y el 18 de octubre<\/strong>. La compa\u00f1\u00eda cree que los atacantes accedieron a su base de datos de clientes, que contiene nombres, correos, direcciones de facturaci\u00f3n, historial de pedidos, contrase\u00f1as guardadas en formato hash, ajustes de doble factor y las claves de conexi\u00f3n de UpdraftCentral, UpdraftVault y UpdraftClone. Seg\u00fan la empresa, no guarda datos de tarjetas, porque los pagos los gestionan Stripe y PayPal.<\/p>\n<p>Con esas claves, el atacante envi\u00f3 \u00f3rdenes firmadas a las webs conectadas, que las aceptaron como si llegaran del panel leg\u00edtimo. Patchstack, que atribuye el descubrimiento a la empresa de seguridad <strong>Nethemba<\/strong>, registr\u00f3 instalaciones de puertas traseras entre las 15:32 del 18 de octubre y las 9:23 del 19 de octubre (hora UTC), en una campa\u00f1a de unas 18 horas.<\/p>\n<p>Un detalle agrava el caso: al conectar una web con una cuenta de teamupdraft.com, la gesti\u00f3n remota quedaba <strong>activada por defecto<\/strong> mediante una casilla ya marcada. Por eso, webs que solo usaban el plugin para hacer copias pueden tener claves activas sin que sus due\u00f1os lo sepan. Adem\u00e1s, seg\u00fan Patchstack, las claves no caducan: algunas emitidas en noviembre de 2025 segu\u00edan funcionando en octubre de 2026.<\/p>\n<h2><span class=\"ez-toc-section\" id=\"Como_funciona_la_puerta_trasera\"><\/span>C\u00f3mo funciona la puerta trasera<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>Los plugins maliciosos se instalan y activan por la v\u00eda normal de WordPress. Cuando reciben una petici\u00f3n con un <strong>par\u00e1metro secreto de 32 caracteres<\/strong>, crean una cuenta con rol de editor y le a\u00f1aden permisos para cambiar ajustes e instalar plugins, lo que en la pr\u00e1ctica equivale a ser administrador. Despu\u00e9s inician sesi\u00f3n con una cookie persistente y redirigen al escritorio.<\/p>\n<p>Como el acceso no pasa por el formulario de inicio de sesi\u00f3n, el ataque <strong>se salta la verificaci\u00f3n en dos pasos<\/strong>, los l\u00edmites de intentos y los plugins de protecci\u00f3n del login. La cuenta creada sigue ah\u00ed aunque se borre el plugin. Patchstack ha identificado <strong>99 nombres de plugins<\/strong> distintos, la mayor\u00eda combinaciones aleatorias que imitan herramientas de mantenimiento, y uno que se repite: Site Health Cache.<\/p>\n<p>Las muestras analizadas ten\u00edan un error de programaci\u00f3n que hace que la web devuelva un <strong>error 500<\/strong> antes de activar la puerta trasera. Patchstack avisa de que no hay que intentar arreglarlo: corregir ese fallo activa el acceso del atacante. La recomendaci\u00f3n es eliminar el plugin.<\/p>\n<h2><span class=\"ez-toc-section\" id=\"Las_versiones_que_corrigen_el_problema\"><\/span>Las versiones que corrigen el problema<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>TeamUpdraft public\u00f3 el 19 de octubre <strong>UpdraftPlus 1.26.13 (gratuita) y 2.26.13 (Premium)<\/strong>, que desconectan las conexiones de UpdraftCentral creadas antes de las 13:07 (hora brit\u00e1nica) del 18 de octubre. Seg\u00fan la compa\u00f1\u00eda, WordPress.org distribuy\u00f3 la actualizaci\u00f3n a todos los usuarios, aunque conviene comprobar que la web est\u00e1 en la \u00faltima versi\u00f3n. El parche cierra la v\u00eda de entrada, pero <strong>no elimina los plugins ni las cuentas<\/strong> que ya se hayan creado.<\/p>\n<p>La empresa asegura que ha cerrado sesi\u00f3n en todas las cuentas de teamupdraft.com, ha cambiado las claves de UpdraftVault y UpdraftClone, ha contratado a una firma externa y ha informado del incidente a la <strong>ICO brit\u00e1nica y a la polic\u00eda<\/strong>. No hay datos de cu\u00e1ntas webs se han visto afectadas. UpdraftPlus super\u00f3 los 4 millones de instalaciones activas a principios de octubre, pero solo corren riesgo las que ten\u00edan una conexi\u00f3n activa con UpdraftCentral en la nube; las instalaciones propias de UpdraftCentral no est\u00e1n afectadas.<\/p>\n<h2><span class=\"ez-toc-section\" id=\"Que_deben_hacer_ya_quienes_gestionan_webs_con_WordPress\"><\/span>Qu\u00e9 deben hacer ya quienes gestionan webs con WordPress<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>El primer paso es <strong>actualizar UpdraftPlus y borrar las claves de UpdraftCentral<\/strong> desde Ajustes, UpdraftPlus, Herramientas avanzadas, UpdraftCentral. Patchstack insiste en revisarlo aunque nunca se haya usado ese panel, y en no reconectar hasta que el proveedor aclare la causa. Quien gestione muchas webs puede comprobarlo con WP-CLI consultando la opci\u00f3n updraft_central_localkeys.<\/p>\n<p>Despu\u00e9s toca <strong>revisar usuarios y plugins<\/strong>: buscar editores con permisos de administrador, cuentas con correos de example.org o el nombre \u00abSite Tools\u00bb, y plugins desconocidos, tambi\u00e9n en la pesta\u00f1a Must-Use. Si aparece algo, hay que cambiar las contrase\u00f1as de administrador, cerrar todas las sesiones y valorar restaurar una copia anterior al 17 de octubre.<\/p>\n<p>Por \u00faltimo, TeamUpdraft pide a todos sus clientes que <strong>cambien la contrase\u00f1a de teamupdraft.com<\/strong> y la de cualquier otro servicio donde la repitan, que restablezcan el doble factor y que desconf\u00eden de correos que se hagan pasar por la empresa. Para las agencias, el caso es un recordatorio inc\u00f3modo: cada servicio de gesti\u00f3n remota conectado a una web es tambi\u00e9n una puerta de entrada que hay que vigilar.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Un ataque contra la empresa que desarrolla UpdraftPlus, uno de los plugins de copias de seguridad m\u00e1s usados de WordPress, &#8230; <\/p>\n<p class=\"read-more-container\"><a title=\"Roban las claves de UpdraftCentral y cuelan puertas traseras en webs con UpdraftPlus: qu\u00e9 revisar ya en WordPress\" class=\"read-more button\" href=\"https:\/\/quondos.com\/mag\/roban-las-claves-de-updraftcentral-y-cuelan-puertas-traseras-en-webs-con-updraftplus-que-revisar-ya-en-wordpress\/#more-131554\" aria-label=\"Leer m\u00e1s sobre Roban las claves de UpdraftCentral y cuelan puertas traseras en webs con UpdraftPlus: qu\u00e9 revisar ya en WordPress\">Leer m\u00e1s<\/a><\/p>\n","protected":false},"author":850,"featured_media":131555,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[163],"tags":[],"class_list":["post-131554","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-diseno-web","generate-columns","tablet-grid-50","mobile-grid-100","grid-parent","grid-50","no-featured-image-padding"],"_links":{"self":[{"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/posts\/131554","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/users\/850"}],"replies":[{"embeddable":true,"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/comments?post=131554"}],"version-history":[{"count":1,"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/posts\/131554\/revisions"}],"predecessor-version":[{"id":131556,"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/posts\/131554\/revisions\/131556"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/media\/131555"}],"wp:attachment":[{"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/media?parent=131554"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/categories?post=131554"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/tags?post=131554"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}