Десятки плагинов WordPress отключены из-за бэкдора, внедрённого новым владельцем

Десятки плагинов WordPress отключены из-за бэкдора, внедрённого новым владельцем. Фото: СС0

Вредоносная закладка была обнаружена после того, как новый корпоративный владелец приобрёл компанию-разработчика Essential Plugin, насчитывающую, по данным её сайта, более 400 тысяч установок плагинов и более 15 тыс. клиентов. Согласно официальной странице плагинов WordPress, затронутые расширения активны более чем на 20 тыс. сайтов.

Основатель Anchor Hosting Остин Гиндер на прошлой неделе поднял тревогу в своём блоге, подробно описав атаку на цепочку поставок. Гиндер выяснил, что некий покупатель, идентифицированный лишь как «Крис» с опытом в SEO, криптовалютах и маркетинге онлайн-казино, приобрёл Essential Plugin в 2025 году через онлайн-площадку Flippa примерно за шестизначную сумму.

Вскоре после сделки, а именно 8 августа 2025 года, в исходный код плагинов был добавлен бэкдор, который оставался в спящем режиме около восьми месяцев. Однако в начале апреля 2026 года бэкдор активировался и начал рассылать вредоносный код на все сайты с установленными плагинами.

По данным расследования, бэкдор был внедрён через первый же легальный апдейт от нового владельца и представлял собой классическую атаку с удалённым выполнением кода. Вредоносный код получал команды напрямую с сервера злоумышленника analytics.essentialplugin.com и мог изменять критические файлы, в частности wp-config.php.

Самым изощрённым элементом атаки стало использование смарт-контрактов Ethereum для разрешения домена командного сервера: традиционный захват домена не остановил бы атаку, так как управление осуществлялось через обновляемый контракт в блокчейне.

После активации бэкдор подменял содержимое сайтов исключительно для поисковых роботов вроде Googlebot, показывая владельцам ресурсов обычную версию, что позволяло злоумышленникам долгое время оставаться незамеченными.

Хотя плагины были удалены из каталога WordPress и помечены как «окончательно закрытые», Гиндер предупредил владельцев сайтов, что простое обновление до последней версии недостаточно — необходимо полностью удалить скомпрометированные расширения и проверить целостность файлов.

Эта атака стала уже вторым случаем взлома плагина WordPress за последние две недели и обнажила системную проблему экосистемы: WordPress не уведомляет пользователей о смене владельца плагинов, что создаёт благоприятную среду для атак на цепочку поставок, когда злоумышленники намеренно приобретают популярное программное обеспечение для внедрения вредоносного кода, отмечают специалисты.