Атака по веригата на доставки, насочена към WordPress плъгини на BdThemes, изложи администраторите на сайтове на риск от превземане на акаунти, внедряване на уеб шелове (webshells) и постоянни задни врати (backdoors).
Екипът за анализ на заплахи на Wordfence (Wordfence Threat Intelligence) беше уведомен за инцидента на 7 август 2026 г., след като откри, че атакуващите са отровили отдалечен рекламен API канал, използван от няколко популярни плъгина на BdThemes.
Засегнатите плъгини включват:
- Element Pack Addons for Elementor
- Prime Slider Addons for Elementor
- Pixel Gallery Addons for Elementor
- Ultimate Post Kit
- Ultimate Store Kit
- Live Copy Paste
- Smart Admin Assistant
Екипът за плъгини на WordPress временно спря разпространението на плъгините в официалната директория, докато разследването продължава. Атаката е забележителна с това, че атакуващите не са променили изходния код на плъгините, съхраняван в хранилището на WordPress.org.
Вместо това те са компрометирали статичен поток от JSON данни, хостван в DigitalOcean Spaces контейнер и защитен от Cloudflare.
Плъгините на BdThemes използват вътрешен компонент, наречен Biggopti, за извличане на рекламни банери от този отдалечен API интерфейс и показването им в административния панел на WordPress.
Изследователите установиха, че Biggopti не е успял да обработи безопасно (escape) стойността на display_id от JSON отговора преди вмъкването й в HTML атрибута id. Това е създало уязвимост за междусайтово изпълнение на скриптове (cross-site scripting), проследявана от Wordfence с CVSS оценка 5.4.
Атакуващ, който получи достъп за запис в контейнера за съхранение на разработчика, би могъл да замени легитимните данни за банера със злонамерена стойност на display_id.
Когато вписан администратор на WordPress отвори някоя страница от типа wp-admin, отровеният отговор задейства изпълнение на JavaScript в браузъра на администратора.
Зловредният код използва манипулатор на събития onanimationstart, скрит в инжектирания HTML атрибут, което му позволява да се изпълни безшумно в рамките на милисекунди. След това злонамереният скрипт изтегля допълнителен зловреден код от контролирана от атакуващите инфраструктура.
Основният зловреден код, идентифициран като w2.js, първо се свързва със сървъра за управление и контрол на адрес ia-cdn[.]com/fz/c, за да определи дали жертвата трябва да бъде атакувана. Ако бъде одобрено, той използва nonce токена на активния администратор на WordPress, за да създаде фалшив администраторски акаунт.
Зловредният софтуер също така инсталира фалшив плъгин, често използващ безобидно изглеждащо име като wp-smart-thumbnails. Този плъгин съдържа уеб шел, наречен emer-run.php, до който атакуващите могат да получат директен достъп за отдалечено изпълнение на команди.
След това уеб шелът инсталира злонамерени задължителни плъгини (Must-Use plugins) за осигуряване на постоянно присъствие. Единият компонент за персистентност създава задна врата magic-login, която позволява неавтентифициран администраторски достъп чрез специален URL параметър.
Друг компонент манипулира заявките към базата данни на WordPress, за да скрие създадените от атакуващия администраторски акаунти от стандартния списък с потребители. Зловредният софтуер също така променя общия брой на потребителите, за да направи компрометирането по-трудно за откриване. Вторичен злонамерен код, x.js, генерира предвидими администраторски идентификационни данни въз основа на името на хоста на компрометирания сайт.
Тези акаунти използват потребителски имена, започващи с „bd_“, последвани от 6-знаков хеш, и често използват имейл адреси с домейни „@wordpress.org“. Този дизайн позволява на атакуващите да възстановяват идентификационните данни за компрометираните уебсайтове, без да поддържат централен списък с жертви.
Според Wordfence кампанията може да е започнала още на 23 юни 2026 г., съдейки по времевите клейма в отровените рекламни записи. Въпреки че компрометираните API крайни точки бяха изчистени на 8 август, администраторите все пак трябва да изследват системите, на които са работили засегнатите плъгини.
Собствениците на сайтове трябва да прегледат администраторските акаунти в WordPress, да проверят инсталираните плъгини и директорията с плъгини „Must-Use“ и да потърсят emer-run.php, подозрителни файлове class-wp-query-* и опцията в базата данни fz_emer_login_tokens.
Този инцидент показва как един доверен отдалечен информационен канал може да се превърне в ефективен канал за доставка на зловреден софтуер, дори когато локалните файлове на плъгините остават непроменени.