Lieferkettenkompromittierung des WordPress-Plugins von BdThemes zum Anlegen versteckter Administratorkonten genutzt

Durch die Kompromittierung einer von dem WordPress-Entwickler BdThemes genutzten Infrastruktur konnten Angreifer einen Remote-Datenfeed manipulieren und Administratorsitzungen auf Websites angreifen, auf denen die Plugins des Unternehmens eingesetzt werden.

Sicherheitsforscher von Defiant, dem Unternehmen hinter Wordfence, erklärten, sie hätten am 7. August mit der Beobachtung von Angriffen begonnen. Die betroffenen Plugins wurden anschließend aus dem Verzeichnis von WordPress.org entfernt, während das WordPress-Plugins-Team den Vorfall untersucht. Zu den Produkten von BdThemes gehören Element Pack, Prime Slider, Ultimate Post Kit, Pixel Gallery und Ultimate Store Kit. Allein für Element Pack werden mehr als 100.000 aktive Installationen angegeben, während BdThemes für sein Portfolio mehr als 350.000 Installationen ausweist.

Manipulierter Werbe-Feed

Der Angriff umfasste Berichten zufolge Schreibzugriff auf einen vom Anbieter kontrollierten Speicher-Bucket. Der Eindringling veränderte einen JSON-Feed, der zur Anzeige von Werbebannern innerhalb der WordPress-Administrationsseiten verwendet wurde. Eine Cross-Site-Scripting-Schwachstelle in der Biggop Library von BdThemes maskierte die vom API empfangenen Daten nicht ordnungsgemäß, sodass über den ansonsten legitimen Feed schädliches JavaScript ausgeliefert werden konnte.

Defiant zufolge wurde der verwundbare Code zur Verarbeitung der Daten im März 2026 eingeführt. Das Problem betrifft die Komponente Biggopti, die die Werbeinhalte abruft und anzeigt. Die Forscher stuften die Schwachstelle als mittelschwer ein und erklärten, sie sei zum Zeitpunkt der Veröffentlichung ihres Berichts noch nicht behoben gewesen.

Unauffälliges Anlegen von Konten und Persistenz

Wenn ein angemeldeter Administrator eine Seite des WordPress-Dashboards öffnete, konnte das eingeschleuste Skript die authentifizierte Sitzung nutzen, um zusätzliche Administratorkonten anzulegen. Der Code veränderte außerdem Datenbankabfragen, um diese Konten in den normalen Benutzerlisten auszublenden und ihre Entdeckung möglicherweise zu verzögern.

Eine zweite Payload namens w2.js installierte angeblich ein gefälschtes Plugin, das eine Webshell namens emer-run.php enthielt. Dadurch erhielten die Angreifer eine Möglichkeit, den Zugriff auch nach dem ursprünglichen Anlegen der Konten aufrechtzuerhalten.

Da die schädlichen Inhalte über eine API-Antwort ausgeliefert wurden, erforderte der Angriff weder ein Plugin-Update noch eine direkte Änderung von Dateien oder eine Interaktion des Administrators über den Besuch einer betroffenen Dashboard-Seite hinaus. Die Forscher brachten die beobachtete Command-and-Control-Infrastruktur mit einem Akteur in Verbindung, der zuvor mit Lieferkettenvorfällen im Zusammenhang mit Advanced Responsive Video Embedder und OptinMonster in Verbindung gebracht worden war.

Die Untersuchung von Defiant deutet darauf hin, dass die Aktivitäten bereits am 23. Juni begonnen haben könnten. BdThemes hatte zum Zeitpunkt der Berichterstattung noch keine öffentliche Stellungnahme veröffentlicht. Betreiber von Websites, auf denen die betroffenen Produkte eingesetzt werden, sollten Administratorkonten, installierte Plugins und Serverdateien überprüfen und auf Anzeichen eines unbefugten Zugriffs achten.