Pesquisadores de cibersegurança alertaram para uma violação na supply chain que afeta a desenvolvedora de plugins para WordPress BdThemes, levando a equipe de plugins da plataforma CMS a desativar temporariamente os downloads.
“Diferentemente de ataques tradicionais à supply chain de software, nenhum arquivo de código-fonte foi alterado dentro do repositório oficial do WordPress.org”, disse o pesquisador da Wordfence Paolo Tresso. “Em vez disso, os threat actors adulteraram um fluxo remoto estático de dados JSON, obtido por um componente de banner promocional administrativo.”
A lista de plugins afetados inclui Element Pack Addons for Elementor – Elementor Widgets, Elementor Templates, Elementor Addons [bdthemes-element-pack-lite], com mais de 100.000 instalações ativas; Live Copy Paste for Elementor – Cross Domain Copy Paste & Page Duplicator [live-copy-paste], com mais de 6.000 instalações ativas; Pixel Gallery Addons for Elementor – Easy Grid, Creative Gallery, Drag and Drop Grid, Custom Grid Layout, Portfolio Gallery [pixel-gallery]; Prime Slider Addons for Elementor – Widgets, Templates & Elementor Addons [bdthemes-prime-slider-lite]; Smart Admin Assistant – Dashboard and Site Enhancements [smart-admin-assistant]; Ultimate Post Kit Addons for Elementor [ultimate-post-kit]; e Ultimate Store Kit – Addon For WooCommerce, EDD and Elementor [ultimate-store-kit], com mais de 6.000 instalações ativas.
Ao acessar as páginas de cada um desses plugins no diretório de plugins do WordPress, os usuários veem uma mensagem informando que eles foram encerrados em 7 ou 8 de agosto de 2026 e que não estão disponíveis para download enquanto aguardam uma “revisão completa”.
A empresa de segurança para WordPress Defiant começou a detectar ataques por meio de seu firewall de aplicações web Wordfence, o WAF, em 7 de agosto. Segundo os pesquisadores, o invasor “envenenou um fluxo remoto estático de dados JSON buscado por um componente de banner promocional administrativo” depois de obter acesso de escrita ao bucket de armazenamento da fornecedora.
Os pesquisadores afirmam que a desenvolvedora do plugin havia introduzido uma vulnerabilidade de cross-site scripting, XSS, no código de análise da resposta JSON, o que permitiu ao invasor substituir o JSON promocional legítimo por código malicioso que explorava a falha de segurança. A falha está na Biggop Library, usada pelo componente Biggopti, responsável por buscar banners promocionais no servidor de API da fornecedora e exibi-los no painel administrativo do WordPress dos clientes.
Segundo a empresa de segurança, o problema está em um componente interno chamado Biggopti, distribuído junto com os plugins. O sistema foi projetado para buscar banners promocionais em seu servidor de API e exibi-los no painel administrativo do WordPress, baixando os arquivos JSON correspondentes de um bucket do DigitalOcean Spaces.
“A Biggop Library é vulnerável a cross-site scripting por meio do parâmetro ‘display_id’ da API Sigmative em várias versões, devido à falta de escape adequado da saída”, dizem os pesquisadores da Wordfence. “Isso permite que atacantes que consigam comprometer o servidor da API Sigmative injetem scripts web arbitrários em páginas, que serão executados sempre que um usuário acessar uma página injetada.”
A biblioteca foi considerada vulnerável a uma falha de cross-site scripting, XSS, no código de análise da resposta JSON, por meio do parâmetro “display_id” da API Sigmative, devido à falta de escaping adequado no lado do cliente. Com isso, um atacante que consiga comprometer a API pode injetar scripts arbitrários em páginas que são executados sempre que um usuário acessa essas páginas. A vulnerabilidade recebeu nota 5,4 no sistema CVSS, o que indica gravidade média, e seguia sem patch no momento da publicação.
Como o ataque é inteiramente baseado em API, não exige interação, modificação de arquivos nem atualização de plugin, ele é totalmente furtivo, e o payload é executado toda vez que um administrador autenticado abre uma página do wp-admin. O código injetado manipula consultas ao banco de dados do WordPress para ocultar contas de administrador fraudulentas da lista de usuários, dificultando a identificação do comprometimento.
O payload principal é entregue aos plugins por meio do endpoint de API “api-data-all-records”. Um arquivo JavaScript chamado “w2.js” executa as seguintes ações: conecta-se ao servidor C2 (“ia-cdn[.]com/fz/c”) com a origem do site da vítima para buscar instruções de direcionamento, interrompendo a execução se o servidor responder com “skip” ou “done”; cria um novo administrador malicioso por meio da API REST do WordPress; baixa um ZIP de plugin falso do servidor C2 e o instala pelo formulário padrão de envio de plugins, resultando na implantação de uma web shell em PHP (“emer-run.php”); e aciona a web shell para instalar dois módulos de persistência no diretório de plugins Must-Use (“mu-plugins”): um é uma backdoor de “login mágico”, que permite acesso administrativo sem autenticação por meio de um parâmetro de URL (?_wplogin=<token>) ao mirar o administrador mais antigo do site, e o outro é um módulo furtivo de antianálise que se insere nas consultas ao banco de dados do WordPress para ocultar a presença das contas de administrador maliciosas da lista administrativa e exibir a contagem total de usuários sem incluí-las.
Um payload alternativo, “x.js”, encontrado hospedado na infraestrutura do desenvolvedor do plugin, é entregue às vítimas por meio do endpoint de API “api-data-records”. Ele foi projetado para gerar credenciais administrativas “determinísticas”, derivadas matematicamente do hostname do site da vítima.
“Esse algoritmo produz nomes de usuário previsíveis, com bd_ seguido de um hash base36 de 6 caracteres, e senhas com Bd@26! seguido do hash e de x, associando-as a um endereço de e-mail @wordpress.org”, afirmou a Wordfence. “Como as credenciais são determinísticas, os threat actors não precisam armazenar centralmente a lista de sites comprometidos, e as equipes de resposta a incidentes podem calcular o nome de usuário e a senha exatos para buscar em domínios suspeitos.”
As credenciais geradas são então usadas para criar um usuário administrador malicioso, e os resultados do ataque são exfiltrados de volta ao servidor C2.
Os pesquisadores da Wordfence, da Defiant, dizem que relatos sobre a infraestrutura de command and control, C2, usada nos ataques observados apontam para o mesmo threat actor por trás dos recentes comprometimentos de supply chain do Advanced Responsive Video Embedder e do OptinMonster. A avaliação é de que o servidor C2 usado na campanha tem relação com dois outros ataques à supply chain de software envolvendo Advanced Responsive Video Embedder (
CVE-2026-18072
) e OptinMonster nos últimos meses.
Em ambos os casos, os plugins do WordPress foram adulterados com backdoor para conceder acesso administrativo total a atacantes sem autenticação, seja por meio de um único token hardcoded, seja por uma conta de administrador oculta e um plugin camuflado, criados e instalados somente quando um administrador do site fazia login. Isso indica que o objetivo final da campanha é estabelecer persistência administrativa furtiva e execução remota de código em ambientes WordPress.
Depois de descobrir os ataques, os pesquisadores analisaram os registros disponíveis e concluíram que o início mais antigo possível da campanha foi 23 de junho. Segundo a análise, a mudança teria sido introduzida pela primeira vez em 1º de março de 2026, em “bdthemes-prime-slider-lite”, antes de ser aplicada aos demais.
Os plugins afetados foram removidos do diretório do WordPress.org em 8 de agosto, enquanto os dois endpoints de API adulterados agora retornam dados JSON limpos. No momento da publicação, a fornecedora ainda não havia divulgado uma posição oficial sobre o incidente em seu site. A BdThemes foi contatada para comentar o caso, mas não respondeu.
“O fato de registros JSON maliciosos e o payload secundário x.js terem sido enviados diretamente para o bucket do próprio fornecedor indica que um comprometimento grave, a montante, das credenciais de armazenamento em cloud da BdThemes ou de sua infraestrutura interna”, afirmou a Wordfence.
O caso surge poucos dias depois de o WordPress corrigir uma falha refletida de XSS antes da autenticação, identificada como CVE-2026-64638, também chamada de XSS2Shell, com nota 8,9 no CVSS, que pode ser explorada para obter execução de código PHP no servidor quando um administrador autenticado interage com uma página controlada por um atacante.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...