Wie Wordfence-Forscher Paolo Tresso hervorhebt, unterscheidet sich der Fall von klassischen Supply-Chain-Angriffen auf Software: Im offiziellen WordPress.org-Repository seien keinerlei Quellcodedateien verändert worden. Der Angriff lief stattdessen vollständig über eine API-gestützte Manipulation externer JSON-Daten und erforderte weder Plugin-Updates noch Änderungen an Dateien auf dem Server.
Im Zentrum steht die in den Plugins enthaltene Bibliothek Biggopti. Sie lädt Werbebanner aus einem DigitalOcean-Spaces-Bucket und rendert sie im WordPress-Administrationsbereich. Laut Wordfence ist die JSON-Verarbeitung an dieser Stelle über den Parameter „display_id“ der Sigmative-API für Cross-Site Scripting anfällig, weil eine clientseitige Bereinigung unzureichend erfolgt. Die Schwachstelle erhielt einen CVSS-Wert von 5,4 und wird damit als mittelschwer eingestuft.
Besonders problematisch ist, dass der eingeschleuste JavaScript-Code auf jeder „wp-admin“-Seite ausgeführt wird, sobald ein Administrator angemeldet ist. Wordfence zufolge verschafften sich die Angreifer Schreibzugriff auf den betroffenen Bucket und ersetzten legitime JSON-Antworten durch präparierte Nutzdaten. Der Schadcode werde so bei jedem Laden des Admin-Bereichs unbemerkt im Browser des Administrators aktiviert, lege unerlaubte Administratorkonten an, lade ein Web-Shell-Plugin hoch und nehme Kontakt zu einem Command-and-Control-Server auf.
Die Hauptnutzlast wird laut Wordfence über den API-Endpunkt „api-data-all-records“ ausgeliefert. Zusätzlich fanden die Forscher auf der Infrastruktur des Plugin-Entwicklers eine alternative Nutzlast namens „x.js“, die über den Endpunkt „api-data-records“ an Opfer ausgeliefert wird. Diese Variante erzeugt „deterministische“ Zugangsdaten für Administratorkonten, die mathematisch aus dem Hostnamen der betroffenen Website abgeleitet werden.
Wordfence beschreibt das Verfahren so: Es entstehen vorhersagbare Benutzernamen mit dem Präfix „bd_“ und einem sechs Zeichen langen Base36-Hash sowie Passwörter nach dem Muster „Bd@26!“ plus Hash und angehängtem „x“. Dazu wird eine E-Mail-Adresse mit der Domain „@wordpress.org“ kombiniert. Weil diese Zugangsdaten deterministisch erzeugt werden, müssen die Angreifer laut Wordfence keine zentrale Liste kompromittierter Websites speichern; Incident-Responder können die zu erwartenden Zugangsdaten für verdächtige Domains selbst berechnen.
Die so generierten Zugangsdaten werden verwendet, um einen schädlichen Administrator anzulegen; anschließend werden die Ergebnisse des Angriffs an den C2-Server exfiltriert. Nach Einschätzung von Wordfence steht der in dieser Kampagne eingesetzte C2-Server mit zwei weiteren Supply-Chain-Angriffen der vergangenen Monate in Verbindung: auf Advanced Responsive Video Embedder mit CVE-2026-18072 sowie auf OptinMonster. In diesen beiden Fällen waren die WordPress-Plugins mit Hintertüren versehen worden, die nicht authentifizierten Angreifern vollständigen administrativen Zugriff verschafften – entweder über ein fest eingebautes Token oder über ein verstecktes Administratorkonto und ein verborgenes Plugin, die erst angelegt beziehungsweise installiert wurden, wenn sich ein Website-Administrator anmeldete.
Wordfence wertet das als Hinweis darauf, dass das Ziel der Kampagne in verdeckter administrativer Persistenz und Remotecodeausführung in WordPress-Umgebungen liegt. Dass die schädlichen JSON-Einträge und die zweite Nutzlast „x.js“ direkt in den eigenen Bucket des Anbieters hochgeladen wurden, deute auf eine schwerwiegende vorgelagerte Kompromittierung von BdThemes’ Cloud-Speicher-Zugangsdaten oder interner Infrastruktur hin.
Die Entwicklung folgt wenige Tage auf einen weiteren von WordPress behobenen XSS-Fehler: die vor der Anmeldung ausnutzbare reflektierte Schwachstelle CVE-2026-64638, auch bekannt als XSS2Shell, mit einem CVSS-Wert von 8,9. Sie kann genutzt werden, um PHP-Code auf dem Server auszuführen, wenn ein angemeldeter Administrator mit einer von Angreifern kontrollierten Seite interagiert.