Compromissione supply‑chain nei plugin BdThemes

È stata scoperta una grave compromissione che ha interessato sette plugin WordPress sviluppati da BdThemes. Senza modificare neanche un file, sono stati iniettati script maligni via feed dati, capaci di creare account amministratore nascosti e installare webshell. Un rischio concreto per la sicurezza del tuo sito o e‑commerce.

Cosa è successo

Il problema riguarda sette plugin di BdThemes scaricati dalla directory ufficiale WordPress.org, incluso l’addon «Element Pack Addons for Elementor» tra gli altri. Il modo d’attacco è innovativo: gli hacker hanno compromesso il servizio cloud che fornisce un feed JSON usato nei banner promozionali caricati nella dashboard (Biggopti).
Il feed è stato “avvelenato” con codice JavaScript malevolo che si attiva direttamente nel browser dell’amministratore, senza alcuna modifica ai file dei plugin. Il risultato? Creazione automatica di account administrator nascosti, caricamento di un plugin fasullo con webshell e l’installazione di moduli persistenti nel mu‑plugins, difficili da rilevare.
Wordfence ha individuato l’anomalia l’8 agosto 2026, e i plugin sono stati rimossi dalla directory ufficiale il 7–8 agosto.

Perché è importante

Per le aziende, anche non tecniche, la conseguenza è seria: basta che un amministratore acceda alla dashboard per attivare in pochi secondi l’attacco, con pieno controllo del sito. Gli attacchi non lasciano tracce nei file dei plugin, vanificando i normali strumenti di sicurezza e scansione.
Inoltre, la persistenza tramite webshell e account nascosti consente agli attaccanti di mantenere l’accesso anche dopo aver eliminato il plugin sospetto. Con oltre 350.000 installazioni attive dei plugin colpiti, il potenziale impatto è diffuso.

Cosa fare adesso

Verifica subito se usi uno dei plugin compromessi: Element Pack, Prime Slider, Pixel Gallery, Ultimate Post Kit, Ultimate Store Kit, Live Copy Paste o Smart Admin Assistant.
Controlla la lista utenti wp-admin per eventuali account sospetti, ad esempio nominativi che iniziano con “bd_” o indirizzi email @wordpress.org.
Ispeziona il filesystem alla ricerca di file come emer-run.php, class-wp-token-validate.php, class-wp-query-*.php o wp-cache-optimizer.php, specialmente nella cartella wp-content/mu-plugins/.
Rivedi la tabella wp_options per chiavi sospette come fz_emer_login_tokens o fz_emer_done_v1.
Se trovi segni di compromissione: cambia tutte le password amministrative, rimuovi file e account non riconosciuti, e valuta un ripristino da backup precedente al 23 giugno 2026.
Considera l’intervento di un esperto di sicurezza per una pulizia approfondita.

Come ti aiuta Evo Sistemi

Evo Sistemi può supportarti concretamente in questa situazione, con servizi mirati e affidabili:

Realizzazione siti web: progettiamo soluzioni WordPress sicure e aggiornate, con una supervisione su plugin e integrazioni.
Sicurezza informatica: offriamo monitoraggio, audit e rimozione di compromissioni per il tuo sito o e‑commerce.
SEO e posizionamento: dopo eventuali interventi correttivi, ripristiniamo la visibilità online e proteggiamo il posizionamento del tuo business.

Per una verifica personalizzata del tuo sito o per un supporto immediato, contattaci e siamo pronti ad aiutarti.

Domande frequenti

È sufficiente aggiornare o eliminare il plugin compromesso?

No. I plugin potrebbero essere stati rimossi dalla directory, ma l’attacco lascia una traccia invisibile via webshell o account admin nascosti che persistono anche dopo la rimozione.

Come faccio a individuare se il mio sito è stato colpito?

Controlla utenti sospetti in wp-admin, file nascosti nel filesystem (es. emer-run.php) e voci anomale nella tabella wp_options. Agisci subito se trovi qualcosa di sospetto.

Posso fare tutto da solo o serve un esperto?

Puoi iniziare con le verifiche base, ma se il sito è compromesso consigliamo un intervento professionale per garantire una pulizia completa e sicura.

Fonte: Infosecurity Magazine.