Hackers adulteram dados da BdThemes para assumir controle administrativo de sites WordPress

Pesquisadores identificaram um comprometimento da cadeia de suprimentos da BdThemes que afetou diversos plugins para WordPress. O incidente levou a equipe responsável pelo diretório de plugins da plataforma a suspender temporariamente os downloads dos produtos envolvidos enquanto realiza uma análise completa.

Diferentemente de ataques tradicionais à cadeia de suprimentos, nenhum arquivo de código-fonte foi alterado no repositório oficial WordPress.org. Segundo a Wordfence, os invasores comprometeram um fluxo remoto de dados JSON utilizado pelos plugins para exibir banners promocionais no painel administrativo.

Entre os plugins afetados estão Element Pack Addons for Elementor, com mais de 100 mil instalações ativas; Live Copy Paste for Elementor, com mais de 6 mil; Ultimate Store Kit, também com mais de 6 mil; além de Pixel Gallery Addons for Elementor, Prime Slider Addons for Elementor, Smart Admin Assistant e Ultimate Post Kit Addons for Elementor.

As páginas desses plugins no diretório do WordPress informam que eles foram fechados em 7 ou 8 de agosto de 2026 e permanecem indisponíveis para download enquanto passam por revisão.

O problema está relacionado a um componente interno chamado Biggopti, distribuído junto aos plugins. A biblioteca busca banners promocionais em um servidor de API e utiliza arquivos JSON armazenados em um bucket do DigitalOcean Spaces para apresentar o conteúdo dentro do painel administrativo do WordPress.

A Wordfence identificou uma vulnerabilidade de cross-site scripting (XSS) no processamento das respostas JSON, relacionada ao parâmetro “display_id” da API Sigmative e à ausência de tratamento adequado do conteúdo no lado do cliente. Dessa forma, um invasor com capacidade de modificar as respostas da API pode inserir scripts que são executados no navegador.

Como o código é carregado nas páginas do “wp-admin”, o JavaScript malicioso pode ser executado silenciosamente quando um administrador autenticado acessa o painel. A vulnerabilidade recebeu pontuação CVSS 5.4, classificada como de severidade média.

A alteração vulnerável teria sido introduzida inicialmente em 1º de março de 2026 no plugin “bdthemes-prime-slider-lite” e posteriormente incorporada aos demais. O diferencial do ataque é que toda a cadeia funciona por meio da infraestrutura de API, sem necessidade de publicar atualizações maliciosas dos plugins ou modificar seus arquivos armazenados no servidor WordPress.

Segundo a Wordfence, os responsáveis pelo ataque obtiveram acesso de escrita ao bucket utilizado pela BdThemes e substituíram respostas JSON legítimas por conteúdo preparado para explorar a vulnerabilidade XSS. A partir daí, o código executado no navegador de administradores cria contas privilegiadas não autorizadas, instala um plugin contendo um web shell e estabelece comunicação com uma infraestrutura de comando e controle (C2).

O principal payload é distribuído aos plugins pelo endpoint “api-data-all-records”. Um arquivo JavaScript chamado “w2.js” entra em contato com o servidor C2 em “ia-cdn[.]com” e envia a origem do site comprometido para receber instruções sobre o alvo.

Quando autorizado pelo servidor, o script cria uma nova conta administrativa utilizando a API REST do WordPress. Em seguida, baixa um arquivo ZIP apresentado como plugin e utiliza o mecanismo padrão de instalação da plataforma para implantar um web shell PHP chamado “emer-run.php”.

O web shell instala posteriormente dois mecanismos de persistência no diretório de plugins obrigatórios, conhecido como “mu-plugins”. Um deles cria uma porta dos fundos para acesso administrativo não autenticado mediante um parâmetro específico na URL. O outro atua como mecanismo de ocultação, interferindo em consultas ao banco de dados do WordPress para esconder contas maliciosas da lista de usuários e alterar a contagem apresentada aos administradores.

Os pesquisadores também localizaram um payload alternativo, chamado “x.js”, hospedado na própria infraestrutura do desenvolvedor e entregue por outro endpoint da API. Esse código gera credenciais administrativas determinísticas a partir do hostname do site comprometido.

O algoritmo produz nomes de usuário e senhas previsíveis matematicamente a partir do domínio. Segundo a Wordfence, isso permite que os responsáveis pela campanha recriem posteriormente as credenciais de um site sem precisar manter uma lista centralizada de todas as instalações comprometidas. Para equipes de resposta a incidentes, a mesma característica pode ajudar na identificação das contas criadas pelo ataque.

As credenciais geradas são utilizadas para criar um novo administrador malicioso, e informações sobre o comprometimento são posteriormente enviadas ao servidor C2.

A infraestrutura de comando e controle utilizada na campanha também foi relacionada pelos pesquisadores a outros dois ataques recentes à cadeia de suprimentos envolvendo plugins WordPress: Advanced Responsive Video Embedder, associado à CVE-2026-18072, e OptinMonster.

Nos incidentes anteriores, plugins foram modificados para fornecer acesso administrativo a invasores não autenticados, utilizando mecanismos como tokens incorporados ao código ou contas administrativas ocultas criadas quando um administrador legítimo acessava o site.

A relação entre as campanhas indica, segundo a análise, que o objetivo é estabelecer persistência administrativa discreta e capacidade de execução remota de código em ambientes WordPress.

Para a Wordfence, a presença tanto dos registros JSON maliciosos quanto do payload secundário “x.js” diretamente na infraestrutura do fornecedor indica um comprometimento significativo das credenciais de armazenamento em nuvem ou da infraestrutura interna da BdThemes.

A descoberta ocorre poucos dias depois de o WordPress corrigir outra vulnerabilidade XSS, identificada como CVE-2026-64638 e apelidada de XSS2Shell. Com pontuação CVSS 8.9, a falha pode levar à execução de código PHP no servidor quando um administrador autenticado interage com uma página controlada por um invasor.