Serangan Supply-Chain pada Plugin BdThemes Membuat Admin WordPress Ilegal

Infrastruktur milik BdThemes, pengembang berbagai plugin premium untuk WordPress, telah disusupi oleh pelaku ancaman dalam serangan supply-chain. Serangan tersebut memungkinkan penyerang membuat akun administrator ilegal pada situs WordPress yang menggunakan plugin terdampak.

Alih-alih memodifikasi file plugin secara langsung, penyerang menyalahgunakan remote JSON feed yang digunakan komponen plugin untuk menampilkan informasi promosi di dashboard administrator WordPress.

Serangan ini menjadi perhatian karena kode berbahaya dapat dieksekusi ketika administrator yang sudah login membuka halaman wp-admin, tanpa perlu menginstal pembaruan plugin atau melakukan tindakan tertentu.

Plugin BdThemes Ditangguhkan dari WordPress.org

Mulai Sabtu, seluruh produk BdThemes yang terdampak tidak lagi tersedia untuk diunduh setelah tim WordPress Plugins menutup plugin tersebut sementara waktu untuk menjalani pemeriksaan keamanan.

BdThemes mengembangkan berbagai plugin untuk membantu pembuatan dan pengelolaan situs WordPress, termasuk Element Pack, Prime Slider, Ultimate Post Kit, Pixel Gallery, dan Ultimate Store Kit.

Plugin gratis Element Pack sendiri tercatat memiliki lebih dari 100.000 instalasi aktif di WordPress.org. BdThemes secara keseluruhan mengklaim portofolionya telah digunakan pada lebih dari 350.000 instalasi aktif.

Besarnya jumlah instalasi tersebut membuat insiden ini memiliki potensi dampak yang cukup luas terhadap situs WordPress.

Serangan Memanfaatkan API yang Telah Disusupi

Perusahaan keamanan WordPress Defiant mulai mendeteksi serangan melalui sistem Wordfence Web Application Firewall (WAF) pada 7 Agustus 2026.

Menurut hasil investigasi, penyerang terlebih dahulu memperoleh akses untuk menulis ke storage bucket milik vendor. Akses tersebut kemudian digunakan untuk memodifikasi sebuah static remote JSON data stream yang diambil oleh komponen banner promosi di dashboard administrator.

Masalahnya, kode yang digunakan untuk memproses respons JSON tersebut memiliki kerentanan Cross-Site Scripting (XSS).

Kerentanan itu memungkinkan data promosi yang seharusnya berisi informasi sah digantikan dengan JavaScript berbahaya.

Dengan demikian, serangan tidak harus dilakukan dengan mengubah file plugin yang telah terpasang di setiap situs. Penyerang cukup mengubah data yang diberikan oleh server vendor.

Kerentanan XSS Berasal dari Perubahan Kode pada 2026

Peneliti menemukan bahwa celah yang memungkinkan serangan tersebut berasal dari kelemahan pada kode yang diperkenalkan pada Maret 2026.

Kerentanan berada pada Biggop Library, sebuah library yang digunakan komponen Biggopti untuk mengambil banner promosi dari API vendor dan menampilkannya di dashboard WordPress.

Parameter display_id dari Sigmative API diproses tanpa output escaping yang memadai.

Kondisi tersebut memungkinkan pelaku yang berhasil menguasai server API untuk memasukkan script arbitrer ke dalam respons yang kemudian diproses oleh plugin.

Ketika administrator mengakses halaman yang telah terinfeksi, JavaScript berbahaya tersebut dapat dijalankan menggunakan konteks sesi administrator yang sedang aktif.

Penyerang Membuat Akun Administrator Tersembunyi

Payload yang diamati dalam serangan digunakan untuk memanfaatkan sesi autentikasi administrator WordPress.

Salah satu fungsi utamanya adalah membuat akun administrator baru pada situs yang telah terinfeksi.

Masalahnya menjadi lebih serius karena kode berbahaya juga memanipulasi query database WordPress agar akun administrator ilegal tersebut tidak muncul secara normal dalam daftar pengguna.

Dengan cara tersebut, penyerang dapat mempertahankan akses tanpa mudah terlihat oleh administrator situs.

Serangan ini menunjukkan bagaimana kompromi terhadap satu komponen dalam rantai pasokan dapat berubah menjadi akses administratif pada banyak situs yang menggunakan produk tersebut.

Payload Kedua Memasang Webshell

Serangan juga tidak berhenti pada pembuatan akun administrator.

Payload tambahan bernama w2.js digunakan untuk membangun persistence melalui sebuah webshell bernama emer-run.php.

Webshell tersebut dipasang melalui plugin palsu sehingga penyerang dapat mempertahankan akses ke situs yang telah dikompromikan.

Dengan persistence tersebut, akses penyerang tidak hanya bergantung pada keberadaan akun administrator ilegal atau eksekusi JavaScript melalui dashboard.

Jika berhasil dipasang, webshell dapat menjadi jalur untuk melakukan aktivitas lanjutan pada server WordPress.

Serangan Sulit Dideteksi

Salah satu aspek paling berbahaya dari kampanye ini adalah sifatnya yang API-driven.

Penyerang tidak perlu mengubah file plugin yang sudah terpasang, tidak membutuhkan pembaruan plugin, dan tidak memerlukan interaksi khusus dari administrator selain membuka halaman dashboard.

Kode berbahaya dapat dieksekusi setiap kali administrator yang telah login mengakses halaman wp-admin yang mengambil respons API yang telah dipalsukan.

Kondisi tersebut membuat serangan relatif sulit ditemukan hanya dengan memeriksa apakah file plugin telah dimodifikasi.

Selain itu, penyembunyian akun administrator ilegal dari daftar pengguna semakin menyulitkan administrator untuk mengetahui bahwa situs mereka telah disusupi.

Kampanye Kemungkinan Sudah Berlangsung Sejak Juni

Berdasarkan analisis terhadap data yang tersedia, peneliti memperkirakan kampanye tersebut mungkin telah dimulai sejak 23 Juni 2026.

Dua endpoint API yang sebelumnya digunakan untuk mengirim data berbahaya kini telah mengembalikan JSON yang bersih.

Sementara itu, plugin yang terdampak ditarik dari direktori WordPress.org pada 8 Agustus sambil menunggu proses investigasi dan pemeriksaan lebih lanjut.

Pada saat laporan ini diterbitkan, BdThemes belum memberikan pernyataan resmi mengenai insiden tersebut melalui situsnya.

Pengguna Plugin BdThemes Perlu Memeriksa Situs

Pemilik situs WordPress yang menggunakan plugin BdThemes terdampak sebaiknya tidak hanya menunggu pembaruan plugin.

Karena serangan dapat menciptakan akun administrator ilegal dan memasang persistence, administrator perlu memeriksa daftar pengguna, aktivitas login, perubahan file, plugin yang tidak dikenal, serta aktivitas jaringan yang mencurigakan.

Jika ditemukan akun administrator yang tidak dikenal atau file seperti webshell, situs sebaiknya diperlakukan sebagai potentially compromised dan dilakukan investigasi lebih lanjut.

Administrator juga perlu memperhatikan perubahan pada konfigurasi WordPress, aktivitas pengguna dengan hak istimewa tinggi, serta indikasi koneksi ke infrastruktur yang tidak biasa.

Insiden BdThemes kembali menunjukkan risiko supply-chain attack pada ekosistem WordPress. Bahkan ketika file plugin pada server terlihat tidak berubah, komponen eksternal seperti API dan remote content dapat menjadi jalur bagi penyerang untuk menjalankan kode berbahaya dalam konteks administrator yang telah terautentikasi.

Sumber: Wordfence