BdThemes kompromittiert: Eine WordPress-Supply-Chain legt missbräuchliche Administratorkonten an

Der Werbe-Feed wird zum Angriffsvektor

Am 10. August 2026 um 17:12 Uhr wurde eine Kompromittierung der Upstream-Infrastruktur von BdThemes gemeldet, einem Anbieter kostenpflichtiger WordPress-Tools.

Der Angriff veränderte einen entfernten JSON-Feed, der in Administrations-Dashboards angezeigt wurde. Der manipulierte Inhalt enthielt bösartiges JavaScript, das im Browser authentifizierter Administratoren ausgeführt wurde.

Defiant beobachtete die Angriffe über die Wordfence-WAF bereits seit dem 7. August. Der frühestmögliche Beginn der Kampagne wurde auf den 23. Juni datiert.

Betroffene Plugins und Komponenten

Das BdThemes-Ökosystem verzeichnet nach eigenen Angaben mehr als 350.000 aktive Installationen. Zu den betroffenen Produkten gehören:

• Element Pack mit mehr als 100.000 aktiven Installationen auf WordPress.org;
• Prime Slider;
• Ultimate Post Kit;
• Pixel Gallery;
• Ultimate Store Kit.

Die genau betroffenen Versionen wurden nicht veröffentlicht.

Die Schwachstelle betrifft die Bibliothek Biggop, die Komponente Biggopti, die Sigmative API und den Parameter display_id. Eine im März 2026 eingeführte XSS-Schwachstelle ermöglichte die Ausführung beliebigen Codes beim Parsen der JSON-Antwort.

Die Plugins wurden am 8. August von WordPress.org entfernt und für eine vollständige Überprüfung gesperrt. Seitdem waren sie nicht mehr zum Download verfügbar.

Ablauf der Kompromittierung

Der Angreifer erlangte Schreibzugriff auf den Storage-Bucket des Anbieters und ersetzte das legitime Werbe-JSON durch eine Version mit Schadcode.

Öffnet ein authentifizierter Administrator eine wp-admin-Seite, nutzt die Payload die aktive Sitzung, um neue Administratorkonten anzulegen. Dafür sind weder ein Klick des Benutzers noch eine Änderung an den Plugin-Dateien oder ein Plugin-Update erforderlich.

Eine zusätzliche Payload namens w2.js installiert das gefälschte Plugin emer-run.php. Dieses ermöglicht über eine Webshell dauerhaften Zugriff. Außerdem manipuliert der Code WordPress-Datenbankabfragen, um die angelegten Konten aus der Liste der Administratorkonten auszublenden.

Die Kampagne wird somit über die kompromittierte API gesteuert. Die beiden betroffenen Endpunkte liefern inzwischen wieder legitimes JSON aus. Die Wiederherstellung des Feeds entfernt jedoch keine bereits angelegten Konten oder installierten Dateien.

Die beobachtete C2-Infrastruktur weist Verbindungen zu demselben Akteur auf, der mit den Supply-Chain-Kompromittierungen von Advanced Responsive Video Embedder und OptinMonster in Verbindung gebracht wird. Die Schwachstelle wurde als mittelschwer eingestuft und war zum Zeitpunkt der Veröffentlichung noch nicht behoben.

Prüfungen und sofortige Maßnahmen

Eine offizielle Sicherheitsaktualisierung wurde bislang nicht gemeldet. Administratoren sollten:

• die betroffenen BdThemes-Plugins deaktivieren oder entfernen;
• kürzlich angelegte oder unbekannte Administratorkonten überprüfen;
• nach dem gefälschten Plugin emer-run.php und der Datei w2.js suchen;
• nach Indikatoren suchen, die mit der C2-Infrastruktur in Verbindung stehen;
• die Zugriffsprotokolle für wp-admin-Seiten analysieren;
• nach der Bereinigung die Zugangsdaten aller Administratoren ändern.

BdThemes hatte bislang weder eine offizielle Stellungnahme veröffentlicht noch ein Update zur Behebung der Schwachstelle bereitgestellt.