BdThemes WordPress-Plugin Supply-Chain-Kompromittierung

Ein Supply-Chain-Angriff auf BdThemes WordPress-Plugins hat das WordPress-Plugin-Team dazu veranlasst, Downloads vorübergehend zu deaktivieren, so Forscher von Wordfence. Ein Supply-Chain-Angriff ist ein Angriff, der einen vertrauenswürdigen Softwareanbieter oder dessen Liefermechanismus kompromittiert, um viele nachgelagerte Nutzer zu erreichen. Das Unternehmen erklärte, dass der Angriff keine Quellcodedateien im offiziellen WordPress.org-Repository verändert hat. Stattdessen haben Angreifer einen entfernten JSON-Datenstrom vergiftet, den eine administrative Werbebanner-Komponente abgerufen hat, wodurch bösartiger Code im WordPress-Adminbereich ausgeführt werden konnte. JSON, kurz für JavaScript Object Notation, ist ein Klartextformat, das Websites zum Datenaustausch verwenden.

Die betroffenen Plugins sind Element Pack Addons for Elementor (bdthemes-element-pack-lite, über 100.000 aktive Installationen), Live Copy Paste for Elementor (live-copy-paste, über 6.000 aktive Installationen), Pixel Gallery Addons for Elementor (pixel-gallery), Prime Slider Addons for Elementor (bdthemes-prime-slider-lite), Smart Admin Assistant (smart-admin-assistant), Ultimate Post Kit Addons for Elementor (ultimate-post-kit) und Ultimate Store Kit (ultimate-store-kit, über 6.000 aktive Installationen). Besucher der Plugin-Verzeichnisseiten für diese Elemente sehen einen Hinweis, dass die Plugins am 7. oder 8. August 2026 vorübergehend geschlossen wurden, bis eine vollständige Überprüfung erfolgt ist. Wordfence-Forscher Paolo Tresso erklärte, dass die Schwachstelle in einer internen Komponente namens Biggopti liegt, die mit den Plugins ausgeliefert wird, um Werbebanner vom API-Server des Anbieters abzurufen, indem JSON-Dateien von einem DigitalOcean Spaces Bucket geholt werden. Eine API, oder Anwendungsprogrammierschnittstelle, ist eine Möglichkeit für eine Software, Daten von einer anderen anzufordern.

Die Biggopti-Bibliothek hat eine Cross-Site-Scripting-Schwachstelle (XSS) in der Art und Weise, wie sie ein Feld namens 'display_id' in JSON-Antworten der Sigmative-API parst. Cross-Site-Scripting ist eine Schwachstelle, die es einem Angreifer ermöglicht, bösartiges Skript im Browser eines Besuchers auszuführen. Da der Code dieses Feld auf der Client-Seite nicht sicher escapt, kann ein Angreifer, der die API-Antwort kontrollieren kann, beliebige Web-Skripte einschleusen, die bei jedem Seitenaufruf ausgeführt werden. Da das bösartige Skript bei jedem Laden einer wp-admin-Seite ausgeführt wird, führt der Browser jedes angemeldeten Administrators es still und heimlich aus. Der wp-admin-Bereich ist das Verwaltungsportal einer WordPress-Website, in dem Besitzer Inhalte und Einstellungen verwalten. Die Schwachstelle wird mit 5,4 auf dem CVSS-Bewertungssystem bewertet, einer Standardskala von 0 bis 10, die die Schwere einer Sicherheitslücke bewertet. Der verwundbare Code wurde erstmals am 1. März 2026 im Plugin bdthemes-prime-slider-lite eingeführt und später auf die anderen angewendet.

Wordfence gab an, dass böswillige Akteure Schreibzugriff auf den DigitalOcean Spaces Bucket erlangt und legitime JSON-Antworten durch manipulierte Payloads ersetzt haben. Dadurch konnte der Angriff vollständig über die API gesteuert werden, ohne dass Plugin-Updates oder Dateien auf der Festplatte geändert wurden. Die Haupt-Payload, die über einen API-Endpunkt namens api-data-all-records geliefert wird, ist eine JavaScript-Datei namens w2.js. Dieses Skript kontaktiert zuerst einen Command-and-Control-Server (C2) unter ia-cdn[.]com/fz/c mit dem Ursprung der Opfer-Website und stoppt, wenn der Server einen Status 'skip' oder 'done' zurückgibt. Ein C2-Server ist ein Computer, den Angreifer verwenden, um Anweisungen an kompromittierte Websites zu senden. Wenn es fortfährt, verwendet das Skript die WordPress-REST-API, um ein neues Administratorkonto zu erstellen. Eine REST-API ist eine Reihe von Regeln, die es Programmen ermöglicht, über das Web zu kommunizieren. Anschließend lädt es ein gefälschtes Plugin-ZIP vom C2-Server herunter und installiert es über das Standard-Plugin-Upload-Formular, wodurch eine PHP-Web-Shell namens emer-run.php bereitgestellt wird. Eine Web-Shell ist ein verstecktes Skript, das einem Angreifer ermöglicht, Befehle remote an den Server zu senden.

Die Web-Shell installiert dann zwei Persistenzmodule im Must-Use-Plugins-Verzeichnis, die automatisch geladen werden und nicht über den normalen Plugin-Bildschirm deaktiviert werden können. Das erste Modul ist eine Magic-Login-Backdoor, die unauthentifizierten administrativen Zugang über einen URL-Parameter wie ?_wplogin= ermöglicht und auf den am längsten registrierten Administrator der Website abzielt. Das zweite Modul ist eine Anti-Analyse-Stealth-Komponente, die sich in WordPress-Datenbankabfragen einklinkt, um die betrügerischen Benutzerkonten aus der administrativen Benutzerliste auszublenden und die Gesamtzahl der Benutzer ohne sie anzuzeigen. Eine zweite Payload, x.js, wurde auf der eigenen Infrastruktur des Plugin-Entwicklers gehostet gefunden und den Opfern über einen API-Endpunkt namens api-data-records bereitgestellt. Diese Payload generiert deterministische Administrator-Anmeldeinformationen, die mathematisch aus dem Hostnamen der Opfer-Website abgeleitet werden. Wordfence sagte, dass der Algorithmus vorhersehbare Benutzernamen in der Form bd_ gefolgt von einem 6-stelligen Base36-Hash und Passwörter in der Form Bd@26! gefolgt vom Hash und dem Buchstaben x erzeugt, gepaart mit einer @wordpress.org-E-Mail-Adresse. Ein Base36-Hash ist ein kurzer Code aus Buchstaben und Zahlen. Da die Anmeldeinformationen deterministisch sind, müssen Angreifer keine zentrale Liste kompromittierter Websites speichern, und Incident-Responder können den genauen Benutzernamen und das Passwort berechnen, um auf verdächtigen Domains danach zu suchen.

Das WordPress-Sicherheitsunternehmen stellte fest, dass der in dieser Kampagne verwendete C2-Server mit zwei früheren Software-Supply-Chain-Angriffen in Verbindung steht, an denen das Plugin Advanced Responsive Video Embedder, verfolgt als CVE-2026-18072, und OptinMonster beteiligt waren. In diesen Fällen wurden die Plugins mit einer Backdoor versehen, um unauthentifizierten Angreifern vollen administrativen Zugriff zu gewähren, entweder durch ein einzelnes fest codiertes Token oder durch ein verstecktes Administratorkonto und ein verstecktes Plugin, die nur erstellt wurden, wenn sich ein Site-Administrator anmeldete. Wordfence glaubt, dass das Endziel der Kampagne darin besteht, verdeckte administrative Persistenz und Remote-Code-Ausführung in WordPress-Umgebungen zu etablieren. Die Tatsache, dass die bösartigen JSON-Datensätze und die sekundäre x.js-Payload direkt in den eigenen Bucket des Anbieters hochgeladen wurden, deutet auf eine schwerwiegende Upstream-Kompromittierung der Cloud-Speicher-Anmeldeinformationen oder der internen Infrastruktur von BdThemes hin.

Die Offenlegung erfolgt wenige Tage, nachdem WordPress eine separate Pre-Authentication-Reflected-XSS-Schwachstelle, CVE-2026-64638, auch bekannt als XSS2Shell, behoben hat, die mit 8,9 auf der CVSS-Skala bewertet wird. Pre-Authentication bedeutet, dass ein Angreifer kein Konto benötigt, um die Schwachstelle auszulösen. Diese Schwachstelle könnte ausgenutzt werden, um PHP-Code-Ausführung auf dem Server zu erreichen, wenn ein angemeldeter Administrator mit einer vom Angreifer kontrollierten Seite interagiert. Für WordPress-Website-Besitzer kann ein Managed-WordPress-Hosting-Service wie AEU Hosting die Exposition reduzieren, indem die Kernplattform und Plugins aktuell gehalten und auf bekannte Kompromittierungsindikatoren überwacht werden, obwohl kein Hosting-Anbieter einen anbieterseitigen Supply-Chain-Angriff wie diesen erkennen kann, bevor er öffentlich bekannt gegeben wird.