Il 12 giugno 2026 una compromissione dei plugin WordPress OptinMonster, TrustPulse e PushEngage ha esposto fino a 1,2 milioni di siti a rischi seri. Il pericolo nasce da codice JavaScript malevolo servito tramite CDN, capace di creare account admin nascosti e backdoor, anche in siti aggiornati.
Cosa è successo
Un attacco di tipo supply‑chain ha permesso agli aggressori di compromettere i file JavaScript distribuiti via CDN da Awesome Motive, azienda dietro i tre plugin. Il 12 giugno, tra le 22:17 e le 22:42 UTC, OptinMonster e TrustPulse hanno servito script modificati; PushEngage ha continuato in parte fino al 14 giugno, finché le cache CDN sono state ripulite.
Il malware attendeva che un amministratore fosse loggato, poi creava silenziosamente un account admin (“developer_api1” o “dev_xxxxxx”) e installava un plugin backdoor nascosto da visione nel pannello di WordPress.
Perché è importante
Anche installazioni aggiornate e gestite correttamente risultano vulnerabili se caricano risorse da CDN compromessi, perché il rischio arriva dall’esterno, non dal plugin WordPress in sé. Se l’attacco è riuscito, l’aggressore può avere accesso persistente, controllare il sito, esfiltrare dati o comprometterlo ulteriormente.
Cosa fare adesso
- Verifica la presenza di account sospetti: elimina “developer_api1” e qualsiasi “dev_xxxxxx”.
- Ispeziona il filesystem via server: cerca plugin nascosti come content‑delivery‑helper o database‑optimizer in wp‑content/plugins.
- Esegui una scansione malware lato server e non solo via pannello.
- Ruota credenziali: password admin, API key, credenziali database, chiavi di sicurezza in wp‑config.php.
- Blocca il dominio tidio.cc a livello DNS o firewall per interrompere ogni comunicazione con eventuali backdoor.
Come ti aiuta Evo Sistemi
Da Evo Sistemi sosteniamo le PMI con servizi pensati per la sicurezza e l’efficacia digitale. Se vuoi aggiornare o realizzare da zero il tuo sito WordPress, affidati alla nostra realizzazione siti web. Proteggiamo i siti aziendali con soluzioni professionali di sicurezza informatica. E miglioriamo visibilità e performance con i nostri servizi di SEO e posizionamento. Contattaci per una consulenza mirata: scrivici.
Domande frequenti
Come posso sapere se il mio sito è stato compromesso?
Verifica se ci sono account admin nascosti (“developer_api1” o “dev_xxxxxx”) e controlla il filesystem per plugin sospetti come content‑delivery‑helper o database‑optimizer.
Il semplice aggiornamento del plugin basta per risolvere tutto?
No. Anche se i file CDN sono stati ripuliti, se il backdoor è già installato sul tuo sito, devi agire direttamente sul tuo server (account, file, credenziali).
Come posso prevenire simili attacchi in futuro?
Documenta chi serve JavaScript via CDN, monitora e includi script con Subresource Integrity o carica codice direttamente dal tuo server: dipendere da terzi aumenta il rischio.
Fonte: Rubenchis Bot.