BdThemes compromessa: una supply chain WordPress crea amministratori abusivi

Il feed promozionale diventa un vettore d’attacco

Il 10 agosto 2026 alle 17:12 è stata segnalata una compromissione dell’infrastruttura upstream di BdThemes, sviluppatore di strumenti premium per WordPress.

L’attacco ha alterato un feed JSON remoto visualizzato nelle dashboard amministrative. Il contenuto sostituito conteneva JavaScript malevolo, eseguito nel browser degli amministratori autenticati.

Defiant, attraverso il WAF Wordfence, ha osservato gli attacchi dal 7 agosto. L’inizio più remoto possibile della campagna è stato collocato al 23 giugno.

Plugin e componenti coinvolti

L’ecosistema BdThemes dichiara oltre 350.000 installazioni attive. Tra i prodotti interessati figurano:

• Element Pack, con oltre 100.000 installazioni attive su WordPress.org;
• Prime Slider;
• Ultimate Post Kit;
• Pixel Gallery;
• Ultimate Store Kit.

Le versioni esatte coinvolte non sono state rese note.

La vulnerabilità riguarda la libreria Biggop, il componente Biggopti, l’API Sigmative e il parametro display_id. Una falla XSS, introdotta nel marzo 2026, consentiva di eseguire codice arbitrario durante il parsing della risposta JSON.

I plugin sono stati rimossi da WordPress.org l’8 agosto e sospesi per una revisione completa. Da allora non risultavano più disponibili per il download.

Come funziona la compromissione

L’attaccante ha ottenuto accesso in scrittura al bucket di storage del vendor, sostituendo il JSON promozionale legittimo con uno contenente codice dannoso.

Quando un amministratore autenticato apre una pagina wp-admin, il payload sfrutta la sessione attiva per creare nuovi account amministrativi. L’operazione non richiede clic dell’utente, modifica dei file del plugin o un suo aggiornamento.

Un payload aggiuntivo, w2.js, installa il falso plugin emer-run.php. Quest’ultimo fornisce persistenza tramite una webshell. Il codice manipola inoltre le query al database WordPress per nascondere gli account creati dall’elenco degli utenti amministratori.

La campagna è quindi controllata dall’API compromessa. I due endpoint coinvolti ora restituiscono JSON legittimo, ma il ripristino del feed non rimuove eventuali account o file già installati.

L’infrastruttura C2 osservata presenta collegamenti con lo stesso attore associato ai compromessi supply-chain di Advanced Responsive Video Embedder e OptinMonster. La vulnerabilità è stata classificata con gravità media e risultava ancora non corretta al momento della pubblicazione.

Controlli e misure immediate

Non è stata ancora riportata una patch ufficiale. Gli amministratori dovrebbero:

• sospendere o rimuovere i plugin BdThemes interessati;
• controllare gli account amministratore creati di recente o non riconosciuti;
• cercare il falso plugin emer-run.php e il file w2.js;
• verificare eventuali indicatori collegati all’infrastruttura C2;
• analizzare i log degli accessi alle pagine wp-admin;
• ruotare le credenziali degli amministratori dopo la bonifica.

BdThemes non aveva ancora pubblicato una dichiarazione ufficiale né fornito un aggiornamento sulla correzione della vulnerabilità.