Atak na łańcuch dostaw BdThemes: aktualizacja wtyczki tym razem nie chroniła

Co się stało

Na początku sierpnia 2026 roku badacze z Wordfence poinformowali o incydencie, który różni się od typowej historii „znaleziono lukę, wydano łatkę”. Chodzi o serię wtyczek producenta BdThemes — między innymi Element Pack Addons for Elementor, Prime Slider Addons for Elementor, Pixel Gallery Addons for Elementor, Ultimate Post Kit, Ultimate Store Kit, Live Copy Paste oraz Smart Admin Assistant. Wordfence otrzymał zgłoszenie 7 sierpnia, a same wtyczki zostały tymczasowo zdjęte z oficjalnego repozytorium WordPress.org na czas przeglądu prowadzonego przez zespół wtyczek.

Najciekawszy — i najbardziej niepokojący — jest sposób działania ataku. Wymienione wtyczki korzystają z wewnętrznego komponentu o nazwie Biggopti, który pobiera z zewnętrznego serwera treść banerów promocyjnych wyświetlanych w panelu wp-admin. Atakujący uzyskali dostęp do infrastruktury BdThemes odpowiadającej za te treści i podmienili zwracaną odpowiedź JSON na złośliwy kod. Efekt: skrypt uruchamiał się w przeglądarce zalogowanego administratora, wykorzystując jego uwierzytelnioną sesję do utworzenia dodatkowego, ukrytego konta z uprawnieniami administratora. Kolejny etap ataku instalował fałszywą wtyczkę z webshellem, dającą napastnikowi stały dostęp do serwera.

Dlaczego to inny scenariusz niż zwykle

Standardowa rada brzmi: aktualizuj wtyczki, a unikniesz większości problemów. Tutaj ta rada zawodzi, bo w kodzie samej wtyczki nic się nie zmieniło — plik na dysku pozostawał identyczny z tym, który instalowałeś miesiące temu. Złośliwa treść przychodziła z zewnątrz przy każdym załadowaniu panelu administracyjnego, więc nawet najświeższa wersja wtyczki nie dawała żadnej ochrony. To klasyczny atak na łańcuch dostaw — nie na kod, tylko na infrastrukturę, z której kod korzysta w tle. Pisaliśmy już o podobnym mechanizmie przy okazji backdoora w ARVE, gdzie problem również leżał poza samą aktualizacją wtyczki.

Dla kogoś, kto prowadzi stronę na WordPressie, płynie z tego konkretny wniosek: sama historia aktualizacji nie mówi nic o bezpieczeństwie w danym momencie. Jeśli korzystasz z którejkolwiek z wymienionych wtyczek, warto sprawdzić listę użytkowników w panelu pod kątem nieznanych kont z uprawnieniami administratora, przejrzeć katalog wtyczek pod kątem plików, których świadomie nie instalowałeś, oraz — jeśli to możliwe — tymczasowo wyłączyć produkty BdThemes do czasu zakończenia przeglądu przez zespół WordPress.org.

To też przypomnienie, dlaczego monitorowanie plików i logów ma sens niezależnie od tego, jak ostrożnie dobiera się wtyczki. Część hostingów oferuje skanowanie integralności plików albo alerty o nowych kontach administratora — to akurat obszar, w którym różnice między dostawcami bywają spore, dlatego w naszym rankingu sprawdzamy to osobno, a metodologię opisujemy na stronie jak testujemy. Jeśli nie masz pewności, czy Twój hosting w ogóle to monitoruje, to dobry moment, żeby zapytać dostawcę wprost, albo napisać do nas.