Plugin-uri ShapedPlugin Pro compromise – malware livrat prin canalul oficial de actualizări

Mai multe plugin-uri WordPress Pro dezvoltate de ShapedPlugin au fost infectate cu cod malițios în cadrul unui atac sofisticat asupra lanțului de distribuție. Atacatorii au reușit să compromită pipeline-ul de build și distribuție al dezvoltatorului, injectând un backdoor în versiunile Pro distribuite prin canalele oficiale de actualizare licențiate.

Ce plugin-uri sunt afectate?

Incidentul vizează exclusiv versiunile Pro ale următoarelor plugin-uri:

• Product Slider Pro for WooCommerce (versiunile anterioare 3.5.4)
• Real Testimonials Pro (versiunea 3.2.5)
• Smart Post Show Pro (versiunile anterioare 4.0.2)

Un detaliu esențial: versiunile gratuite disponibile pe WordPress.org nu sunt afectate. Compromiterea s-a produs exclusiv prin infrastructura Easy Digital Downloads (EDD) a ShapedPlugin, prin care utilizatorii cu licențe plătite primeau actualizările.

Cum funcționează atacul

Versiunile compromise conțin un loader care se activează la fiecare pagină din panoul de administrare WordPress. Acesta descarcă un payload de pe un server extern, îl instalează și îl activează ca un plugin fals, care ulterior se ascunde din lista de plugin-uri vizibilă în WordPress Admin.

Odată instalat, malware-ul:

• Capturează credențialele de autentificare în text clar și codurile 2FA
• Stabilește mai multe metode de persistență, inclusiv un endpoint REST personalizat care permite scriere arbitrară de fișiere
• Instalează un web shell cu funcționalități de execuție a comenzilor
• Extrage conținutul complet al fișierului wp-config.php (credențiale bază de date, chei de autentificare)
• Colectează toate conturile de administrator cu datele de înregistrare
• Fură credențialele de mail din plugin-urile WP Mail SMTP, Post SMTP și Easy WP SMTP
• Exportă datele comenzilor WooCommerce din ultimele 3 luni

După extragere, fișierul responsabil se șterge singur pentru a îngreuna investigarea incidentului.

Vulnerabilitatea Product Slider Pro a primit identificatorul CVE-2026-49777, cu un scor CVSS de 10.0 — severitate maximă.

De ce este acest atac deosebit de periculos

Utilizatorii care și-au cumpărat licențe legitime și și-au actualizat plugin-urile prin canalele oficiale ale ShapedPlugin au primit, fără să știe, malware. Acesta este tocmai pericolul atacurilor asupra lanțului de distribuție: victimele fac exact ceea ce ar trebui să facă — instalează actualizări din surse de încredere.

Ce trebuie să faci dacă folosești aceste plugin-uri

Dacă ai instalat oricare dintre versiunile afectate, acționează imediat:

1. Resetează toate parolele conturilor de administrator
2. Revocă și regenerează secretele 2FA pentru toți utilizatorii
3. Verifică lista conturilor de administrator pentru adăugiri neautorizate
4. Controlează configurațiile plugin-urilor de mail pentru credențiale SMTP modificate
5. Actualizează la cele mai recente versiuni ale plugin-urilor, disponibile după validarea de securitate efectuată de ShapedPlugin

ShapedPlugin a confirmat incidentul și revizuiește procesele de distribuție și lansare pentru a preveni situații similare.

Actualizările din surse oficiale nu sunt întotdeauna sigure, mai ales când vorbim de plugin-uri premium distribuite prin sisteme proprii, în afara ecosistemului WordPress.org. Monitorizarea activității neobișnuite, utilizarea unui firewall de aplicații web și auditurile periodice de securitate rămân esențiale, indiferent de sursa plugin-urilor instalate.

Sursă: thehackernews