Uma campanha maliciosa colocou usuários de sites WordPress em alerta após hackers adulterarem dados utilizados por plugins da BdThemes para exibir conteúdo promocional dentro do painel administrativo. A manipulação permitiu que código malicioso fosse executado no navegador de administradores e utilizado em tentativas de assumir o controle dos sites.
Segundo a análise da Wordfence, o ataque não ocorreu por meio de uma alteração direta no código dos plugins distribuídos pelo WordPress.org. Em vez disso, os criminosos comprometeram um fluxo remoto de dados JSON utilizado pelos plugins para carregar banners promocionais no painel.
A técnica chama atenção porque demonstra como um componente externo, aparentemente destinado apenas a exibir informações, pode se transformar em uma porta de entrada para ataques contra usuários com privilégios administrativos.
O ataque explorou confiança em conteúdo remoto
Plugins WordPress frequentemente utilizam serviços externos para buscar informações adicionais, como atualizações, anúncios, notificações e conteúdos promocionais.
No caso investigado, os plugins da BdThemes consultavam um fluxo remoto de dados JSON para apresentar banners dentro da área administrativa.
Os atacantes conseguiram adulterar esse conteúdo e inserir instruções maliciosas no material que chegava aos administradores.
A diferença é importante: o código oficial dos plugins não precisou ser modificado para que o ataque atingisse os usuários.
O problema estava na confiança depositada pelo plugin em um recurso externo.
Administradores eram o principal alvo
O ataque tinha uma característica estratégica: o conteúdo malicioso era executado dentro do painel administrativo do WordPress.
Isso tornava os usuários com privilégios elevados especialmente importantes para os invasores.
Um administrador autenticado possui permissões que normalmente permitem instalar plugins, alterar configurações, modificar usuários e editar partes importantes do site.
Se o navegador desse administrador executar código malicioso, o invasor pode tentar aproveitar a sessão já autenticada para realizar ações que, em condições normais, exigiriam acesso administrativo.
Esse tipo de cenário é particularmente perigoso porque o atacante não precisa necessariamente descobrir a senha do administrador.
Ele pode tentar utilizar a sessão legítima já aberta no navegador.
Código malicioso pode permitir tomada de controle
Uma vez executado no contexto administrativo, o código injetado pode tentar realizar requisições para a própria instalação do WordPress utilizando os privilégios do administrador.
Entre os objetivos possíveis estão a criação de novas contas administrativas, alterações na configuração do site e instalação de componentes maliciosos.
O resultado pode ser uma tomada de controle que continua mesmo depois que o conteúdo remoto adulterado seja removido.
Esse mecanismo é semelhante a outros ataques recentes contra a cadeia de fornecimento do ecossistema WordPress, nos quais criminosos utilizam componentes confiáveis para atingir administradores.
Em junho de 2026, por exemplo, uma campanha comprometeu um CDN utilizado por produtos WordPress e passou a entregar JavaScript malicioso apenas quando um administrador autenticado acessava um site afetado. O código tentava criar contas administrativas ocultas e instalar backdoors.
Ataque não exigiu alteração do plugin oficial
Um dos aspectos mais relevantes do caso BdThemes é justamente a ausência de uma alteração direta nos arquivos distribuídos pelo repositório oficial.
Isso significa que simplesmente verificar se o plugin baixado do WordPress.org foi modificado pode não ser suficiente para identificar esse tipo de ataque.
O componente comprometido estava fora do pacote principal.
Essa estratégia reduz algumas chances de detecção e explora uma característica comum de aplicações modernas: a dependência de serviços externos para complementar o funcionamento do software.
Na prática, o plugin pode estar íntegro, mas o conteúdo que ele busca remotamente pode ter sido adulterado.
A ameaça lembra ataques de cadeia de suprimentos
Ataques de cadeia de suprimentos normalmente procuram comprometer um fornecedor ou componente confiável para alcançar uma quantidade maior de vítimas.
No ecossistema WordPress, isso pode ocorrer de várias maneiras.
Um invasor pode comprometer diretamente um plugin, explorar uma vulnerabilidade em uma extensão, roubar credenciais de desenvolvedores ou manipular um serviço externo utilizado por vários sites.
O caso da BdThemes mostra uma variação ainda mais sutil: o atacante não precisa necessariamente modificar o software distribuído.
Ele pode atacar a infraestrutura que fornece informações complementares ao software.
Esse modelo aumenta a dificuldade de investigação porque a organização afetada pode estar utilizando uma versão legítima e atualizada do plugin e, ainda assim, receber conteúdo malicioso.
Por que o WordPress é um alvo tão atraente?
O WordPress alimenta uma parcela significativa da web e possui um enorme ecossistema de plugins e temas.
Essa flexibilidade é uma das principais razões para a popularidade da plataforma, mas também cria uma superfície de ataque extensa.
Sites corporativos, lojas virtuais, portais de notícias e serviços públicos podem depender de dezenas de componentes de terceiros.
Cada plugin adicional pode representar uma nova conexão com APIs, servidores externos ou bibliotecas.
Quanto maior essa cadeia de dependências, maior a necessidade de avaliar não apenas o código instalado, mas também os serviços dos quais ele depende.
Outros ataques mostram a evolução da ameaça
O incidente envolvendo a BdThemes acontece em um cenário de aumento das campanhas direcionadas a sites WordPress.
Em outro ataque observado em 2026, criminosos comprometeram credenciais associadas a um CDN e passaram a distribuir JavaScript adulterado para produtos WordPress. O código era ativado somente para administradores autenticados e podia criar contas fraudulentas, instalar backdoors e manter o acesso mesmo depois da remoção do script malicioso.
Também existem vulnerabilidades diretamente relacionadas a produtos da BdThemes.
O NIST registra, por exemplo, a CVE-2024-33568, relacionada ao Element Pack Pro, envolvendo problemas de path traversal e desserialização de dados não confiáveis em versões afetadas do plugin. A vulnerabilidade foi posteriormente atualizada no registro para refletir versões corrigidas mais recentes.
É importante, porém, não confundir os episódios: o ataque descrito nesta matéria envolve a manipulação do fluxo remoto de dados JSON, e não deve ser tratado automaticamente como exploração da CVE-2024-33568.
O que administradores devem fazer
Administradores de sites WordPress que utilizam produtos da BdThemes devem verificar se os plugins estão atualizados e acompanhar os comunicados de segurança do fornecedor.
Também é recomendável revisar a lista de usuários administrativos e procurar contas que não tenham sido criadas pela equipe responsável pelo site.
Outras medidas importantes incluem:
- ativar autenticação multifator para contas administrativas;
- remover usuários administrativos desnecessários;
- manter WordPress, plugins e temas atualizados;
- restringir permissões de administradores;
- monitorar alterações de usuários e plugins;
- realizar varreduras de segurança no servidor;
- verificar alterações inesperadas em arquivos;
- revisar conexões com serviços externos;
- trocar credenciais caso exista suspeita de comprometimento.
Em casos nos quais um administrador tenha acessado o painel durante o período de exposição, também pode ser necessário investigar sessões, tokens e alterações realizadas no site.
Atualização não é a única preocupação
O episódio reforça uma lição importante para quem administra sites: manter plugins atualizados continua sendo essencial, mas não resolve todos os riscos.
Um componente pode estar utilizando a versão correta e ainda assim depender de uma infraestrutura externa que tenha sido comprometida.
Por isso, a segurança de uma instalação WordPress precisa considerar todo o ecossistema ao redor da plataforma.
Isso inclui plugins, temas, APIs, CDNs, serviços de atualização, bibliotecas externas e sistemas responsáveis por entregar conteúdo ao navegador.
Confiança também precisa ser monitorada
A principal característica desse ataque é justamente o abuso da confiança.
O administrador acessa um painel legítimo.
O plugin instalado é legítimo.
A conexão é feita por uma funcionalidade legítima.
Mas o conteúdo entregue por uma fonte externa foi manipulado.
Para o usuário, o ataque pode parecer uma operação normal até que o código malicioso seja executado.
O caso da BdThemes mostra, portanto, que a segurança de aplicações modernas não depende apenas de proteger o código principal. É necessário controlar também quem pode fornecer conteúdo ao sistema e quais permissões esse conteúdo recebe quando chega ao usuário.
Para administradores brasileiros de WordPress, a recomendação é simples: além de manter o sistema atualizado, vale revisar contas privilegiadas, monitorar alterações administrativas e desconfiar de qualquer comportamento inesperado no painel.
Em um cenário no qual sites dependem cada vez mais de serviços externos, uma pequena integração pode acabar oferecendo aos invasores o caminho necessário para assumir toda a plataforma.
