Wordfence、WordPress管理画面のフィード経由でのBdThemesサプライチェーン侵害を報告

Why it matters

Plugin developers that fetch vendor-controlled promotional content inside `wp-admin` add that upstream system to the security boundary protecting logged-in administrators.

Selim Ranaの BdThemesは、サイト所有者に多数のデザインツールを提供することでWordPressビジネスを構築した。これらの製品の背後にあるインフラの侵害が報告され、その共有機能の1つである、顧客の認証済み管理ダッシュボード内で動作するプロモーションフィードに埋め込まれたリスクが露呈した。

BleepingComputerはWordfenceの研究者を引用して、攻撃者がベンダー管理のストレージバケットへの書き込みアクセスを取得し、正当なJSONレコードを悪意あるコンテンツに置き換えたと月曜に報じた。その報告によれば、BdThemesのプラグインは毒されたフィードを取得し、脆弱なブラウザコードを通じてレンダリングしたため、JavaScriptが管理者アカウントを作成しウェブシェルをインストールできるようになったという。

Ranaは2012年にバングラデシュのBoguraでBdThemesを設立した。Sigmativeの公開資料によると、BdThemesは2025年1月にSigmativeの名称の下へ移り、元のWordPressおよびElementor製品群を超えて事業を拡大した。その配布によりRanaは相当な足跡を得た：BdThemesは自社製品が35万以上のアクティブサイトで稼働していると述べ、代表的な無料プラグインはWordPress.orgで10万以上のアクティブインストールが確認されている。

BleepingComputerが伝えるWordfenceの調査によれば、BdThemesが製品群を通じて利用していた同じ共有インフラが、攻撃者に中央集中的な配信チャネルを与えていた。

プロモーションバナーが特権コードになった

Wordfenceの研究者は8月8日にこの侵害を公開した。これはWordfenceのウェブアプリケーションファイアウォールを通じて攻撃を検知した翌日のことだった。BleepingComputerは、Biggop LibraryがベンダーのAPIからプロモーションバナーを取得し、それをWordPressの管理ダッシュボードに表示するBdThemesのコンポーネントを動かしていたと報じた。

BleepingComputerは研究者らを引用して、攻撃者がベンダー管理のストレージバケットへの書き込みアクセスを取得したと報告した。悪意あるプラグインパッケージがWordPress.orgのリポジトリを通過する必要はなかった。顧客に到達するための更新も不要だった。脆弱なプラグインは、ログインした管理者がwp-adminページにアクセスしたときにリモートフィードを読み込み、悪意あるスクリプトを認証済みブラウザセッション内に置いた。

BleepingComputerが伝えるWordfenceの調査によれば、注入されたJavaScriptは不正な管理者アカウントを作成した。w2.jsと呼ばれるペイロードはemer-run.phpウェブシェルを含む偽のプラグインをインストールし、注入されたコードはデータベースクエリを操作して通常のユーザーリストから不正アカウントを隠していた。

Wordfenceは、この根底にあるクロスサイトスクリプティング脆弱性を中程度の深刻度と評価した 。その理由は、脆弱性を悪用するにはまずBdThemesの上流インフラが侵害されている必要があったためだ。研究者らによれば、その条件が満たされると、観測されたペイロードは管理者権限とリモートコード実行をもたらしたという。

1つの共有コンポーネントが被害範囲を拡大した

WordfenceはElement Pack、Prime Slider、Pixel Gallery、Ultimate Post Kit、Ultimate Store Kitを含む複数の影響を受けるプラグインを特定した。BdThemesはこれらの製品全体で同じBiggop Libraryとリモートプロモーションシステムを使用していた。

Element Packのディレクトリ掲載ページには10万以上のアクティブインストールが表示されている。Wordfenceの脆弱性記録はUltimate Post Kitをおよそ3万のアクティブインストールと見積もっている。BdThemesが主張する35万以上のアクティブインストールという広い数字は、感染サイト数の計数というよりも到達可能な潜在的範囲の指標として読むべきだ。

Wordfenceは、毒されたプロモーションレコードの日付に基づき、キャンペーンが始まった可能性のある最短の開始日を6月23日とした。研究者らは野外での攻撃を8月7日に観測した。

この攻撃はソフトウェア整合性チェックの背後にある基本的な前提も回避した。WordPress.orgからインストールされたパッケージのファイルが変更されていなくても、後でBdThemesのインフラから取得されたコードがサイトを侵害し得た。ファイル比較ツールは正当なプラグインファイルを検出する一方で、管理者のブラウザは攻撃者のJavaScriptを実行していた可能性がある。

この設計上の選択はプラグインベンダーにとって特に重要だ。プロモーションバナーは成長チャネルであり、BdThemesは最も価値のある画面内でアップグレードや他の製品を広告できる。これらのバナーをリモートで読み込むことは、マーケティングシステムをこのコンポーネントを使用する全ての管理者にとってのセキュリティ境界の一部にしてしまった。

Wordfenceは8月8日の分析を公開した時点でBiggop Libraryの欠陥を未修正として挙げた。顧客は引き続き、脆弱なリリースと修正済みリリースを区別し、影響を受けるインストールを特定する方法を説明するバージョンレベルの情報を必要としている。

BdThemesは信頼回復の課題に直面している

Ranaは10年以上をかけてBdThemesを、混雑したWordPressおよびElementor用アドオン市場で認知される供給者へと育て上げた。今回の侵害は、その配布上の優位性に負荷をかけている。なぜなら顧客は同じ管理コンポーネントを共有する製品群全体にわたってセキュリティを評価しなければならないからだ。

当面のエンジニアリング作業は、リモートフィードからの悪意あるコンテンツの遮断を超える。BdThemesは攻撃者制御下の値を削除または正しくエスケープし、上流インフラへのアクセスを与え得る資格情報をローテーションし、共有ライブラリを含むすべての製品をレビューし、インストール済みプラグインの外部から取得されるコンテンツの権限を削減する必要がある。管理者には、脆弱なリリースと修正済みリリースを区別するバージョンレベルのガイダンスも必要だ。

ペイロードを実行したサイトの数が影響の中心的な指標であり続ける。アクティブインストールの合計は到達可能な母集団を示すに過ぎず、実際の感染はログインした管理者が毒された応答が有効な間にダッシュボードを開いた場合にのみ発生する。ペイロードを実行したサイトは、上流のコンテンツが変更された後も悪意あるアカウントやウェブシェルを保持している可能性がある。

Ranaにとって回復は、その区別を可視化かつ検証可能にすることに依存している。BdThemesは幅広いプラグインカタログにわたってプロモーションを中央集権化することで成長した。信頼を回復するには、共有チャネルが再設計されたこと、影響を受けたインストールが識別可能であること、そして侵害された顧客に対して具体的な修復手順が示されることをBdThemesが示す必要がある。