BdThemes: gekaperte Werbe-API verwandelt sieben Elementor-Plugins in ein Einfallstor für versteckte Admin-Konten

Wordfence hat am 8. August die Analyse eines der ungewöhnlichsten Supply-Chain-Angriffe im WordPress-Ökosystem des Jahres veröffentlicht: Sieben Plugins des Elementor-Add-on-Anbieters BdThemes wurden benutzt, um auf produktiven Seiten heimlich Administrator-Konten und Webshells anzulegen, ohne dass eine einzige Plugin-Datei im Repository verändert wurde. Betroffen sind Element Pack, Prime Slider, Pixel Gallery, Ultimate Post Kit, Ultimate Store Kit, Live Copy Paste und Smart Admin Assistant. Element Pack alleine steht laut WordPress.org bei über 100.000 aktiven Installationen, das gesamte BdThemes-Portfolio wirbt mit mehr als 350.000.

Der Trick lag in einer gemeinsamen Komponente namens Biggopti, die die Plugins nutzen, um im WordPress-Admin Werbebanner des Herstellers zu laden. Ein am 1. März eingespieltes Skript in Prime Slider setzte ein Feld aus der API-Antwort ohne Escaping direkt in das HTML des Dashboards ein. Ein im Mai nachgereichter Sanitizer griff nicht. Als die Angreifer im Sommer schreibenden Zugriff auf den Object-Storage-Bucket hinter der Vendor-API bekamen, brauchten sie nichts weiter zu tun, als die harmlose JSON-Antwort gegen eine mit Skript-Payload zu tauschen. Wordfence beziffert die Schwachstelle mit CVSS 5.4 und bezeichnet den Vektor als klassisches XSS im Feld display_id der Sigmative-Endpunkte.

Der frühestmögliche Beginn der Kampagne war der 23. Juni. Wordfence wurde am 7. August auf die aktiven Ausnutzungen aufmerksam, veröffentlichte die Analyse einen Tag später und meldete die Plugins an WordPress.org, die daraufhin alle sieben aus dem Verzeichnis zog. Die zwei zuvor kompromittierten API-Endpunkte lieferten bereits am Tag der Veröffentlichung wieder saubere Daten. Ein offizielles Statement von BdThemes gab es zum Redaktionsschluss der berichtenden Medien nicht, auch auf Anfragen von BleepingComputer reagierte der Hersteller nicht.

Was die Angreifer nach dem Payload-Drop taten, ist der Grund, warum ein reines Plugin-Update nicht reicht. Über die WordPress-REST-API legten sie stille Administrator-Konten an und installierten ein Fake-Plugin mit einer Webshell namens emer-run.php, dessen Persistenzschicht die neuen Accounts aus der User-Liste ausblendet und den User-Count entsprechend anpasst. Wer nur ins Backend geht und die Nutzer zählt, sieht nichts. Wordfence empfiehlt deshalb explizit einen Blick in die Datenbank statt in die UI: die wp_users-Tabelle direkt abfragen, die installierten Plugins auf dem Filesystem gegen die WordPress.org-Version vergleichen und die wp_options-Tabelle nach ungewöhnlichen Einträgen durchsuchen.

Was heute konkret zu tun ist

• Auf jeder Kundenseite, die eines der sieben Plugins fährt oder gefahren hat, per WP-CLI wp user list --role=administrator --fields=ID,user_login,user_registered,user_email laufen lassen und jeden Account prüfen, den ihr nicht selbst angelegt habt.
• Das Plugin-Verzeichnis auf dem Server auf Dateien scannen, die nicht zum Original gehören, insbesondere emer-run.php und alles unter wp-content/plugins/, was verdächtig frisch ist.
• Die wp_options-Tabelle nach unbekannten Einträgen filtern, dort werden Persistenz-Hooks oft geparkt.
• Betroffene Plugins nicht bloß deaktivieren, sondern deinstallieren, bis BdThemes eine geprüfte neue Version liefert und WordPress.org die Sperre aufhebt.
• Falls Kompromittierung nachgewiesen wird: ein Backup einspielen, das definitiv vor dem 23. Juni liegt, oder die Seite sauber neu aufsetzen.

Der Fall zeigt, wie unauffällig ein Supply-Chain-Angriff aussehen kann, wenn er über die Werbe-Infrastruktur eines legitimen Anbieters läuft. Die Signatur der Plugin-Dateien bleibt sauber, das Auto-Update greift nicht, die üblichen Malware-Scanner schauen an der falschen Stelle. Für Agenturen, die auf BdThemes-Erweiterungen aufsetzen, ist das ein Anlass, die eigene Plugin-Basis in Kundenprojekten aktiv einzuschränken, statt Elementor-Add-ons großzügig zu bündeln.

Wer solche Sicherheits- und Wartungslücken bei Bestandskunden systematisch zum Gespräch machen will, findet im Leitfaden für Webdesign-Leads Ideen, wie so ein Audit als Türöffner für Relaunches und Betreuungspakete taugt.