Compromissione della catena di approvvigionamento del plugin WordPress di BdThemes utilizzata per creare account amministratore nascosti

La compromissione dell’infrastruttura utilizzata dallo sviluppatore WordPress BdThemes ha consentito agli aggressori di manomettere un feed di dati remoto e colpire le sessioni degli amministratori sui siti web che utilizzano i plugin dell’azienda.

I ricercatori di sicurezza di Defiant, l’azienda che sviluppa Wordfence, hanno dichiarato di aver iniziato a osservare gli attacchi il 7 agosto. I plugin interessati sono stati successivamente rimossi dalla directory WordPress.org, mentre il team WordPress Plugins conduce le proprie indagini. I prodotti BdThemes includono Element Pack, Prime Slider, Ultimate Post Kit, Pixel Gallery e Ultimate Store Kit. Solo Element Pack dichiara oltre 100.000 installazioni attive, mentre BdThemes promuove un portafoglio che supera le 350.000 installazioni.

Feed promozionale compromesso

Secondo quanto riferito, l’attacco ha comportato l’accesso in scrittura a un bucket di archiviazione controllato dal fornitore. L’intruso ha modificato un feed JSON utilizzato per visualizzare banner promozionali all’interno delle pagine di amministrazione di WordPress. Una vulnerabilità di cross-site scripting nella Biggop Library di BdThemes non effettuava correttamente l’escape dei dati ricevuti dall’API dell’azienda, consentendo la distribuzione di codice JavaScript malevolo attraverso un feed altrimenti legittimo.

Secondo Defiant, il codice vulnerabile per l’analisi dei dati è stato introdotto nel marzo 2026. Il problema interessa il componente Biggopti, che recupera e visualizza i contenuti promozionali. I ricercatori hanno attribuito alla vulnerabilità una gravità media e hanno affermato che non era ancora stata corretta al momento della pubblicazione del loro rapporto.

Creazione furtiva di account e persistenza

Quando un amministratore autenticato apriva una pagina del pannello di controllo di WordPress, lo script iniettato poteva utilizzare quella sessione autenticata per creare account amministratore aggiuntivi. Il codice modificava inoltre le query al database per nascondere tali account dagli elenchi degli utenti visualizzati normalmente, ritardandone potenzialmente l’individuazione.

Un secondo payload, identificato come w2.js, avrebbe installato un plugin falso contenente una webshell denominata emer-run.php. Ciò forniva agli aggressori un meccanismo per mantenere l’accesso dopo la creazione iniziale dell’account.

Poiché il contenuto malevolo veniva fornito tramite una risposta API, l’attacco non richiedeva un aggiornamento del plugin, la modifica diretta di file o un’interazione dell’amministratore oltre alla visita di una pagina del pannello di controllo interessata. I ricercatori hanno collegato l’infrastruttura di comando e controllo osservata a un attore precedentemente associato a incidenti della catena di approvvigionamento che hanno coinvolto Advanced Responsive Video Embedder e OptinMonster.

L’analisi di Defiant ha indicato che l’attività potrebbe essere iniziata già il 23 giugno. Al momento della pubblicazione del rapporto, BdThemes non aveva rilasciato alcuna dichiarazione pubblica. I proprietari dei siti web che utilizzano i prodotti interessati dovrebbero esaminare gli account amministratore, i plugin installati e i file presenti sul server, oltre a monitorare eventuali segnali di accesso non autorizzato.