WordPress: backdoor nei plugin Essential, la supply chain crolla su Flippa

Il 7 aprile 2026 WordPress.org ha chiuso permanentemente 31 plugin del portfolio Essential Plugin dopo che un acquirente li aveva comprati su Flippa per una cifra a sei cifre, aveva iniettato backdoor PHP nella release 2.6.7 dell'8 agosto 2025 e aveva attivato il payload due giorni prima per servire SEO spam invisibile ai proprietari dei siti. L'attacco non ha sfruttato una vulnerabilità zero-day tecnica, ma un vuoto di governance: l'assenza di qualsiasi notifica o review per i trasferimenti di proprietà nel repository ufficiale dei plugin.

Come funzionava il meccanismo di attacco

La compromissione ha seguito una sequenza precisa. A luglio 2025 Flippa ha pubblicato il case study della vendita. L'8 agosto 2025 è uscita la versione 2.6.7 con changelog "Check compatibility with WordPress version 6.8.2": una nota che nascondeva 191 linee di PHP aggiuntive, tra cui una backdoor basata su deserialization per remote code execution. Otto mesi di dormienza hanno permesso alla nuova versione di propagarsi attraverso il meccanismo di aggiornamento automatico di WordPress, normalmente protettivo ma in questo caso convertito in vettore di distribuzione.

Il 5-6 aprile 2026 il payload si è attivato. La finestra di injection concreta, secondo la ricostruzione forense, è durata 6 ore e 44 minuti: dalle 04:22 alle 11:06 UTC del 6 aprile. Il modulo malevolo wpos-analytics scaricava il file wp-comments-posts.php e iniettava codice in wp-config.php, garantendo persistenza anche oltre l'update del plugin stesso. Il payload serviva link spam, redirect e pagine fake esclusivamente a Googlebot, in una tecnica di cloaking che rendeva l'anomalia invisibile agli amministratori dei siti.

L'infrastruttura C2 su blockchain

Il comando e controllo ha aggirato le contromisure tradizionali di takedown. Invece di un dominio convenzionale, vulnerabile a seizure o blacklist, il payload risolveva il server di comando tramite smart contract Ethereum, interrogando endpoint RPC pubblici della blockchain. Questa architettura rende il domain seizure inefficace: non esiste un registrar da contattare o un record DNS da bloccare, ma solo un indirizzo smart contract distribuito su un ledger immutabile.

La scelta tecnica rivela familiarità con l'ecosistema crittografico coerente con il profilo dell'acquirente, documentato dalle fonti come attivo in SEO, criptovalute e marketing del gambling online. Il nome reale di "Kris" non è emerso; resta ignoto se abbia operato per proprio conto o per terzi.

La scoperta e la risposta di WordPress.org

L'attacco è stato scoperto da Austin Ginder di Anchor Hosting a partire da un alert di una digital marketing agency, come riporta TechRepublic citando direttamente il ricercatore. Ginder ha condotto l'audit di sicurezza, ha pubblicato la lista dei 31 plugin coinvolti e guide di patching. TechRepublic riporta che Countdown Timer Ultimate, uno dei plugin del portfolio, contava oltre 20.000 installazioni attive al momento della scoperta.

WordPress.org ha reagito il 7 aprile 2026 con la chiusura permanente di tutti i plugin del portfolio Essential Plugin. Tuttavia l'update di emergenza alla versione 2.6.9.1 ha limitato a neutralizzare il meccanismo di phone-home: il codice precedentemente iniettato in wp-config.php è rimasto intatto sui server compromessi, lasciando aperta la necessità di pulizia manuale.

Il buco normativo: trust commerciale senza verifica

Il caso esprime una criticità strutturale dell'ecosistema WordPress. L'acquirente legale eredita commit access, reputazione storica del plugin e canale di aggiornamento automatico senza alcuna review del codice o notifica agli utenti. WordPress.org non dispone di un registro dei cambi di controllo: una lacuna che, come nota TechRepublic citando Ginder, "rende più facile per qualsiasi attaccante prendere silenziosamente il controllo dei plugin e spingere malware senza che gli utenti lo sappiano".

Il contrasto con altri ecosistemi è marcato. npm e PyPI hanno introdotto controlli di supply chain che il repository di WordPress, nonostante alimenti circa il 43% del web, non ha adottato. Il trust qui è diventato bene commerciabile trasferibile su marketplace legittimi: Flippa ha gestito la transazione secondo le proprie regole, senza alcun meccanismo di due diligence sulla sicurezza del codice che l'acquirente avrebbe poi distribuito a milioni di siti.

"Someone bought more than 30 WordPress plugins on the open market, quietly injected backdoors into all of them, waited eight months, and then activated a payload that served hidden SEO spam to Google while the websites' owners saw nothing wrong."

Cosa fare adesso

• Verificare la presenza di codice sospetto in wp-config.php sui siti che hanno utilizzato plugin del portfolio Essential Plugin, anche dopo l'aggiornamento alla versione 2.6.9.1
• Consultare le guide di patching pubblicate da Austin Ginder per la rimozione manuale del codice iniettato
• Rivedere la provenienza e la cronologia dei cambi di proprietà dei plugin di terze parti installati, verificando eventuali transizioni recenti di sviluppatore
• Monitorare i log di accesso per identificare richieste sospette verso analytics.essentialplugin.com o pattern di interrogazione a endpoint RPC Ethereum dai server del sito

Perché l'ecosistema resta esposto

Il caso Essential Plugin non è una compromissione tecnica in senso stretto: è una compromissione della governance commerciale. Il backdoor ha funzionato perché l'architettura di trust di WordPress.org assume che il mantenitore di un plugin rimanga identico nel tempo, senza prevedere che quell'identità possa essere acquistata. Il risultato è che un marketplace legittimo, Flippa, è diventato l'ingresso preferenziale per un attacco alla supply chain.

Le fonti non indicano se WordPress.org stia sviluppando meccanismi di notifica per i trasferimenti di proprietà. Resta ignoto il numero totale preciso di siti compromessi: le fonti parlano di "migliaia" senza cifra definitiva. Non risulta assegnato alcun CVE per questa vulnerabilità, né disponibile un punteggio CVSS.

Per le aziende che dipendono da WordPress, il messaggio è che la due diligence sui plugin non può più limitarsi al codice: deve estendersi alla struttura di proprietà, alla stabilità del mantenitore e alla tracciabilità delle transazioni commerciali che ne determinano il controllo. Il meccanismo di aggiornamento automatico, progettato per proteggere, richiede ora un contesto di verifica che l'ecosistema ancora non fornisce.

Fonti

• https://thenextweb.com/news/wordpress-plugins-backdoor-supply-chain-essential-plugin-flippa-2
• https://www.techrepublic.com/article/news-malicious-wordpress-plugins-backdoor-april-2026/
• https://support.techrepublic.com/
• https://thenextweb.com/news/why-2026-will-be-the-year-of-governed-cybersecurity-ai
• https://thenextweb.com/news/every-saas-company-is-building-ai-features-right-now
• https://thenextweb.com/news/ai-analytics-agents-need-guardrails-not-more-model-size

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti