Sicherheitsforscher haben am 10. August 2026 einen umfangreichen Supply-Chain-Angriff auf mehrere populäre WordPress-Erweiterungen des Entwicklers BdThemes bestätigt. Die Attacke, über die Experten bereits in den vergangenen Tagen informierten, nutzt eine manipulierte Infrastruktur aus, um Schadcode auf eine Vielzahl von Websites auszuspielen. Betroffen sind Erweiterungen, die nach Branchenschätzungen auf mehreren hunderttausend Installationen weltweit eingesetzt werden.
Manipulation externer Schnittstellen
Der Angriff richtete sich nicht gegen den primären Programmcode der Plugins, sondern gegen eine externe Programmierschnittstelle (API). Den vorliegenden Analysen zufolge gelang es den Angreifern, einen JSON-Feed mit der Bezeichnung Biggopti zu kompromittieren. Dieser Feed wird in den DigitalOcean Spaces gehostet und von verschiedenen BdThemes-Produkten abgerufen. Durch die Manipulation dieser Datenquelle konnten die Akteure schädliche Inhalte direkt in die WordPress-Umgebungen der Nutzer einschleusen, ohne die offiziellen Update-Kanäle der Plugins direkt angreifen zu müssen.
Grundlage für die Kompromittierung ist eine Cross-Site-Scripting-Schwachstelle (XSS) in der Komponente display_id. Diese Sicherheitslücke weist einen CVSS-Score von 5.4 auf. Die Besonderheit der Schwachstelle liegt in ihrer automatischen Aktivierung: Der Schadcode wird unmittelbar ausgeführt, sobald sich ein Benutzer mit Administratorrechten auf der betroffenen WordPress-Seite anmeldet.
Wer sich mit der Sicherheit digitaler Systeme befasst, sollte auch den Schutz seiner geschäftlichen Infrastruktur vor modernen Bedrohungen im Blick behalten. Dieses kostenlose E-Book liefert fundierte Informationen zu aktuellen Cyberrisiken und zeigt, wie Sie Sicherheitslücken effektiv schließen. IT-Sicherheit stärken und Unternehmen proaktiv schützen
Betroffene Plugins und Umfang der Kampagne
Die Liste der betroffenen Erweiterungen umfasst wesentliche Teile des Portfolios von BdThemes. Konkret identifiziert wurden Manipulationen in den Plugins Element Pack, Prime Slider, Pixel Gallery sowie Ultimate Post Kit und Ultimate Store Kit. Ebenfalls betroffen sind die Werkzeuge Live Copy Paste und der Smart Admin Assistant.
Bei der Erweiterung Prime Slider lässt sich der betroffene Zeitraum genauer eingrenzen: Hier sind alle Versionen ab der Nummer 4.1.9 anfällig, die bereits im Frühjahr 2026 veröffentlicht wurde. Experten gehen davon aus, dass die aktive Angriffskampagne bereits seit dem 23. Juni 2026 läuft und damit über mehrere Wochen unentdeckt bleiben konnte.
Vorgehensweise und Etablierung von Backdoors
Im Zuge des Angriffs wird ein Payload mit der Bezeichnung w2.js geladen. Dieser stellt eine Verbindung zu einem Command-and-Control-Server unter der Adresse ia-cdn[.]com/fz/c her. Das Ziel der Angreifer ist die vollständige Übernahme der betroffenen Instanzen. Hierzu werden automatisiert neue Administrator-Konten angelegt. Diese Konten folgen einem erkennbaren Muster und nutzen das Präfix bd_ gefolgt von einem sechsstelligen Hash-Wert.
Um den Zugriff auch nach einer möglichen Entdeckung dauerhaft zu sichern, installieren die Angreifer zusätzliche Hintertüren. Dazu gehören die Webshell emer-run.php, verschiedene sogenannte MU-Plugins (Must-Use) sowie eine Magic-Login-Backdoor. Durch die Vorhersehbarkeit der generierten Zugangsdaten können die Konten jedoch gezielt identifiziert werden.
Da Cyberangriffe immer häufiger auch psychologische Manipulationstaktiken nutzen, ist eine umfassende Sensibilisierung für Sicherheitsrisiken heute unerlässlich. Der gratis Report zur Hacker-Abwehr enthüllt aktuelle Methoden der Kriminellen und hilft dabei, Bedrohungen frühzeitig zu entlarven. Kostenloses Anti-Phishing-Paket für Unternehmen anfordern
Reaktionen und Gegenmaßnahmen
Nach dem Bekanntwerden der Sicherheitsvorfälle reagierte die Plattform WordPress.org bereits am 7. August 2026 und nahm die betroffenen BdThemes-Erweiterungen vorerst offline. Seit dem 8. August 2026 laufen umfangreiche Maßnahmen zur Bereinigung der infizierten Systeme. Administratoren, die die genannten Erweiterungen einsetzen, wird dringend empfohlen, ihre Installationen auf die beschriebenen Administrator-Konten mit dem bd_-Präfix sowie auf unbekannte PHP-Dateien im Plugin-Verzeichnis zu untersuchen.
