Un attacco supply-chain ha colpito i plugin BdThemes per WordPress: un attore malevolo ha compromesso l’infrastruttura upstream, modificando un feed JSON remoto per creare account amministratore non autorizzati. I plugin coinvolti sono stati rimossi da WordPress.org in attesa di indagini.
Un attacco informatico ha colpito BdThemes, sviluppatore di plugin premium per WordPress, compromettendo l’infrastruttura upstream e modificando un feed JSON remoto utilizzato dagli amministratori dei siti. L’attacco ha permesso la creazione di account amministratore WordPress non autorizzati su siti che utilizzano plugin BdThemes. A partire da sabato, tutti i plugin BdThemes sono stati rimossi dal repository WordPress.org per consentire una revisione completa.
Come è avvenuta la compromissione
BdThemes offre plugin come Element Pack, Prime Slider, Ultimate Post Kit, Pixel Gallery e Ultimate Store Kit, con oltre 350.000 installazioni attive secondo il produttore. Il plugin gratuito Element Pack conta più di 100.000 installazioni attive. Secondo Defiant, società di sicurezza WordPress, gli attacchi sono stati rilevati dal firewall Wordfence il 7 agosto. Gli esperti spiegano che l’attaccante ha ottenuto accesso in scrittura al bucket di storage del vendor, “avvelenando” un feed JSON remoto utilizzato da un componente promozionale nell’area amministrativa di WordPress.
Vulnerabilità sfruttata e impatto sui siti
La vulnerabilità sfruttata è stata introdotta a marzo 2026 nel codice di parsing della risposta JSON, creando una falla XSS (cross-site scripting) nella libreria Biggop utilizzata dal componente Biggopti. Questo componente recupera banner promozionali dall’API del vendor e li mostra nella dashboard di WordPress. L’attaccante ha sostituito il JSON legittimo con codice malevolo, sfruttando la vulnerabilità per eseguire JavaScript dannoso nella sessione autenticata dell’amministratore e creare account admin nascosti. Un payload aggiuntivo (w2.js) installava una webshell persistente tramite un plugin falso.
Rilevamento, risposta e rischi residui
La falla, classificata a rischio “medio”, risulta ancora non corretta secondo Defiant. L’attacco, interamente guidato via API, non richiede interazione dell’utente né modifiche ai file o aggiornamenti dei plugin, risultando quindi estremamente difficile da individuare. Il codice iniettato manipola le query del database WordPress per nascondere gli account amministratore creati. Le infrastrutture di comando e controllo (C2) utilizzate sono riconducibili allo stesso attore dietro recenti compromissioni di Advanced Responsive Video Embedder e OptinMonster. L’attacco sarebbe iniziato il 23 giugno; i plugin sono stati rimossi da WordPress.org l’8 agosto. Due endpoint API compromessi ora restituiscono dati JSON puliti.
Comunicazioni ufficiali e raccomandazioni
Al momento, BdThemes non ha pubblicato dichiarazioni ufficiali sull’incidente. BleepingComputer ha contattato l’azienda senza ricevere risposta. Gli amministratori di siti WordPress che utilizzano plugin BdThemes sono invitati a monitorare attentamente i propri siti e a verificare la presenza di account amministratore sospetti.
