BdThemes-Plugins: Supply-Chain-Angriff legt versteckte WP-Admins an

Veröffentlicht am 13.08.2026

Ihre WordPress-Website kann kompromittiert worden sein, ohne dass eine einzige Datei auf Ihrem Server verändert wurde. Genau das ist das Beunruhigende am Supply-Chain-Angriff auf beliebte BdThemes-Plugins, den das Sicherheitsteam von Wordfence Anfang August 2026 aufgedeckt hat. Angreifer manipulierten nicht das Plugin selbst, sondern eine externe Datenquelle, aus der das Plugin regelmäßig Werbebanner nachlädt. Das Ergebnis: heimliche Administrator-Konten, versteckte PHP-Hintertüren und dauerhafte Backdoors – ausgelöst allein dadurch, dass ein angemeldeter Administrator die Verwaltungsoberfläche seiner Website aufrief.

Allein das kostenlose Plugin Element Pack Addons for Elementor hat laut BleepingComputer mehr als 100.000 aktive Installationen. Betroffen sind insgesamt sieben BdThemes-Pluginpakete. Wenn Sie eines davon einsetzen, sollten Sie diesen Artikel bis zum Ende lesen – denn dies ist kein gewöhnliches Update-Thema, sondern potenziell ein Sicherheitsvorfall, der forensische Prüfung erfordert.

Was ist passiert?

In den betroffenen BdThemes-Plugins steckt eine Komponente namens Biggopti. Diese lädt bei jedem Aufruf des WordPress-Verwaltungsbereichs (wp-admin) Bannerdaten aus einer externen Quelle nach – konkret aus einem Cloud-Speicher (DigitalOcean Spaces, abgesichert über Cloudflare). Diese Daten kommen als sogenannte JSON-Datei, ein strukturiertes Textformat zum Datenaustausch zwischen Programmen.

Die Angreifer erlangten Schreibzugriff auf diese vorgelagerte Datenquelle und „vergifteten“ sie. Sie mussten dazu kein manipuliertes Plugin ins offizielle WordPress.org-Verzeichnis einschleusen – ein entscheidender Unterschied zu klassischen Supply-Chain-Angriffen. Paolo Tresso von Wordfence beschreibt es so:

„Anders als bei herkömmlichen Software-Lieferketten-Angriffen wurde keine einzige Quellcode-Datei im offiziellen WordPress.org-Repository verändert. Stattdessen vergifteten die Angreifer einen statischen entfernten JSON-Datenstrom, der von einer administrativen Werbebanner-Komponente abgerufen wird.“ (Quelle: The Hacker News)

Das Problem im Detail: Ein Wert namens display_id aus dieser JSON-Datei wurde direkt in den HTML-Code der Verwaltungsseite eingebaut – ohne ausreichende Bereinigung (im Fachjargon „Escaping“, das gefährliche Zeichen unschädlich macht). Dadurch konnten die Angreifer über eine präparierte Zeichenkette schädliches JavaScript in die Browser-Sitzung eines angemeldeten Administrators einschleusen. Man nennt das Cross-Site-Scripting (XSS) – das unbefugte Ausführen von fremdem Skript-Code im Kontext einer Website.

Das Tückische: Das Schadskript lief bei jedem Aufruf von wp-admin automatisch mit – und zwar mit den vollen Rechten des eingeloggten Administrators.

Warum das gefährlicher ist, als der Schweregrad vermuten lässt

Wordfence stuft die technische Grundschwäche mit einem CVSS-Wert von 5.4 als „mittel“ ein. Doch dieser Wert bildet nur die XSS-Schwachstelle selbst ab, nicht den tatsächlichen Schaden der Kampagne. Denn was die Angreifer mit dem einmal ausgeführten Skript anrichteten, ist erheblich:

• Sie legten über die berechtigte Administrator-Sitzung ein weiteres, unbefugtes Administrator-Konto an.
• Sie installierten über ein Schein-Plugin (z. B. unter dem neutralen Namen wp-smart-thumbnails) eine PHP-Webshell namens emer-run.php – ein Werkzeug, mit dem Angreifer beliebigen Code auf dem Server ausführen können.
• Sie richteten dauerhafte Hintertüren als sogenannte MU-Plugins ein (Must-Use-Plugins, die WordPress automatisch und ohne Möglichkeit der Deaktivierung im Dashboard lädt).
• Ein Stealth-Modul versteckte die bösartigen Konten aus der Benutzerliste und den Zählwerten – Sie sehen sie im normalen WordPress-Dashboard also nicht.

Wordfence fasst das Ziel der Kampagne unmissverständlich zusammen:

„Das Hauptziel dieser Kampagne ist weitverbreitete, stille administrative Persistenz und Remote-Codeausführung über Millionen von WordPress-Umgebungen hinweg.“ (Quelle: Wordfence)

Und das vielleicht wichtigste Zitat für die Einordnung:

„Es ist kein Plugin-Update nötig, um Opfer zu werden. Keine Datei auf der Festplatte wird verändert. Der Angriff ist vollständig API-getrieben, unsichtbar für dateibasierte Integritätsscanner und kaum sichtbar für Web Application Firewalls.“ (Quelle: Wordfence)

Wer ist betroffen?

Betroffen sind sieben BdThemes-Pluginpakete, in denen die Biggopti-Komponente steckt – allen voran Element Pack Addons for Elementor mit über 100.000 aktiven Installationen. BdThemes bewirbt sein Gesamtportfolio laut BleepingComputer mit mehr als 350.000 aktiven Installationen.

Wichtig zur Einordnung: Diese Zahlen sind keine Opferzahlen. Es gibt bislang keine öffentlich bestätigte Zahl kompromittierter Websites oder betroffener personenbezogener Datensätze. Ob Ihre Website tatsächlich getroffen wurde, hängt von zwei Bedingungen ab:

1. Eine betroffene Plugin-Version war während des Expositionszeitraums aktiv installiert.
2. Ein angemeldeter Administrator hat in dieser Zeit die Seite wp-admin aufgerufen.

Als frühestmöglichen Startzeitpunkt der Kampagne nennt Wordfence den 23. Juni 2026 (Startdatum des vergifteten „Summer-Sale“-Datensatzes). Wordfence beobachtete die Kampagne am 7. August 2026 aktiv. Die betroffenen Plugins wurden anschließend im WordPress-Verzeichnis vorübergehend geschlossen (Wordfence datiert dies auf den 7., BleepingComputer auf den 8. August).

Gibt es einen Patch?

Hier ist die Lage ernüchternd und wichtig zu verstehen: Am 8. August 2026 lieferten die vergifteten API-Endpunkte laut Wordfence zwar wieder sauberes JSON – die manipulierte Auslieferung wurde also gestoppt. Das entfernt aber keine bereits angelegten Konten, Webshells oder MU-Plugin-Backdoors.

Für alle sieben Plugins vermerkte Wordfence am 8. August ausdrücklich „No known patch available“ – also keine bekannte sichere Version. Die Recherche bis zum 12. August 2026 ergab keinen belastbaren Nachweis einer später veröffentlichten, sicheren Pluginversion oder einer Wiederfreigabe. BleepingComputer berichtete zudem am 10. August, dass BdThemes zu diesem Zeitpunkt keine offizielle Stellungnahme veröffentlicht und auf eine Medienanfrage nicht reagiert hatte.

Konsequenz: Halten Sie betroffene Plugins deaktiviert. Vertrauen Sie keiner unbestätigten Version. Bewerten Sie eine Neuinstallation erst nach einem expliziten Sicherheitsrelease des Herstellers und nach erfolgreicher Kompromittierungsprüfung neu.

So prüfen Sie, ob Sie betroffen sind

Weil sich der Angriff aktiv versteckt, reicht ein Blick ins WordPress-Dashboard nicht aus. Gehen Sie systematisch vor:

1. Plugin-Inventur erstellen: Prüfen Sie unter „Plugins“ oder per Dateiverwaltung, ob eines der sieben BdThemes-Plugins installiert ist – und gleichen Sie die Version gegen die betroffenen Versionsgrenzen ab. Beziehen Sie auch deaktivierte Plugins sowie Staging- und Klon-Systeme ein.
2. Expositionsfenster klären: Hat seit dem 23. Juni 2026 ein Administrator wp-admin aufgerufen, während eine betroffene Version aktiv war? Falls unbekannt, gehen Sie nicht von Entwarnung aus, sondern führen Sie die forensischen Prüfungen durch.
3. Benutzer außerhalb des Dashboards prüfen: Da ein Stealth-Modul Konten ausblenden kann, kontrollieren Sie die Benutzer direkt in der Datenbank. Achten Sie auf unerwartete Administratoren, verdächtige E-Mail-Domänen wie @wordpress.org oder @developer.wordpress.org und Benutzernamen im Muster bd_ plus sechs alphanumerischen Zeichen.
4. Dateibaum serverseitig durchsuchen: Suchen Sie nach emer-run.php, unbekannten Plugin-Verzeichnissen wie wp-smart-thumbnails sowie im Ordner wp-content/mu-plugins nach Dateien wie class-wp-token-validate.php, class-wp-query-*.php und wp-cache-optimizer.php. Berücksichtigen Sie die von Wordfence veröffentlichten MD5-Werte und variierenden Dateinamen.
5. Datenbank forensisch prüfen: Suchen Sie nach den Optionen fz_emer_login_tokens und fz_emer_done_v1 sowie nach kürzlichen Änderungen an Benutzer- und Optionsdaten.
6. Logs auswerten: Sichern Sie Web-, PHP- und Egress-Logs und suchen Sie nach Verbindungen zu ia-cdn[.]com/fz/c bzw. Abrufen von ia-cdn[.]com/fz/w2.js sowie den von Wordfence genannten Endpunkten. Fehlende Treffer sind kein Entlastungsbeweis, da Logs unvollständig oder abgelaufen sein können.
7. Im Zweifel als kompromittiert behandeln: Bei mindestens einem gefundenen Indikator (IoC) oder wenn eine Ausführung nicht sicher ausgeschlossen werden kann, behandeln Sie die Website als potenziell vollständig kompromittiert und ziehen qualifizierte Incident-Response-Unterstützung hinzu.

Das müssen Sie jetzt konkret tun

1. Plugins sofort deaktivieren: Alle sieben genannten BdThemes-Plugins in den betroffenen Versionen unverzüglich deaktivieren und bis zu einem verifizierten Sicherheitsrelease nicht wieder aktivieren. Wenn funktional möglich, deinstallieren und einen dokumentierten Wechsel der Abhängigkeit planen.
2. Bei Verdacht zuerst Beweise sichern: Erstellen Sie eine forensische Kopie von Dateien, Datenbank, relevanten Logs und Zeitstempeln – bevor Sie bereinigen. Isolieren Sie danach die Website bzw. mindestens die administrativen Zugänge, ohne die Originalumgebung vorschnell zu überschreiben.
3. Unbefugte Konten und Backdoors serverseitig entfernen: Da die Webshell beliebigen PHP-Code ausführen konnte, ist eine saubere Wiederherstellung aus einem nachweislich vor dem Expositionsfenster erstellten Backup oft verlässlicher als eine reine Einzeldatei-Bereinigung. Gleichen Sie zusätzlich Kern-, Theme- und Plugin-Dateien mit vertrauenswürdigen Originalquellen ab.
4. Alle Zugangsdaten rotieren: Nach einem Verdachts- oder Bestätigungsfall alle WordPress-Admin-Passwörter, Hosting-/SFTP-/SSH-/Panel-Zugänge, Datenbankzugänge, API- und CDN-Schlüssel sowie WordPress-Security-Keys und Salts erneuern. Beenden Sie alle bestehenden Sitzungen.
5. Serverseitiges Monitoring einrichten: Überwachen Sie neue Administratoren, Änderungen in wp-content/mu-plugins, ausgehende Verbindungen zu Command-and-Control-Servern und verdächtige Plugin-Installationen. Reine Datei-Integritätschecks reichen hier nicht, weil die Erstinfektion ohne lokale Plugin-Dateiänderung erfolgte.
6. Grundschutz dauerhaft stärken: Administratorrechte minimieren, Mehrfaktor-Authentisierung für Admins aktivieren, Plugin-/Theme-Inventar pflegen, Backups offline bzw. unveränderbar halten und externe Ressourcen in Admin-Kontexten möglichst reduzieren.

DSGVO-Einordnung

Hinweis: Dies ist allgemeine Information, keine Rechtsberatung.

Ein erfolgreicher Angriff ermöglichte unbefugte Administratorrechte und PHP-Codeausführung. Enthält Ihre Website personenbezogene Daten – etwa aus Kontaktformularen, Kunden-, Shop-, Newsletter- oder Bewerberdaten oder auch Logdaten – kann dies eine Verletzung des Schutzes personenbezogener Daten darstellen. Ob eine meldepflichtige Datenschutzverletzung vorliegt, ergibt sich nicht automatisch aus der Plugin-Installation. Entscheidend sind die tatsächliche oder vernünftigerweise anzunehmende Zugänglichkeit der Daten, die Datenkategorien und das Risiko für Betroffene.

Nach Art. 33 DSGVO ist eine Datenschutzverletzung der zuständigen Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Kenntniserlangung zu melden – es sei denn, sie führt voraussichtlich zu keinem Risiko für Rechte und Freiheiten natürlicher Personen. Bei hohem Risiko sind zusätzlich die Betroffenen zu benachrichtigen. Die Landesbeauftragte für den Datenschutz Niedersachsen weist darauf hin:

„Auch wenn Sie keine Meldung abgeben müssen, obliegt Ihnen eine Dokumentationspflicht für die Verfahrensüberprüfung zu der Datenpanne gemäß Artikel 33 Abs. 5 DSGVO.“

Arbeiten Sie mit einem Auftragsverarbeiter (etwa einer Agentur oder einem Hoster), muss dieser Vorfälle unverzüglich an Sie als Verantwortlichen melden. Art. 32 DSGVO verlangt risikoadäquate technische und organisatorische Maßnahmen. Bei Verstößen sieht Art. 83 Abs. 4 einen Bußgeldrahmen von bis zu 10 Mio. EUR oder bis zu 2 % des weltweiten Vorjahresumsatzes vor – je nachdem, welcher Betrag höher ist. Das ist kein automatischer Betrag, sondern eine Einzelfallbewertung. Für den konkreten BdThemes-Vorfall wurde in den geprüften Quellen keine öffentlich dokumentierte deutsche Sanktion festgestellt.

Einordnung: Ein Muster, das sich häuft

Der BdThemes-Vorfall reiht sich in eine Serie ähnlicher WordPress-Supply-Chain-Angriffe im Sommer 2026 ein. So wurde am 28. Juli 2026 das Plugin ARVE (Version 10.8.7) mit rund 20.000 aktiven Installationen als kritische Backdoor gemeldet (CVE-2026-18072, CVSS 9.8). Und schon am 12. Juni 2026 war bei OptinMonster und TrustPulse ein manipuliertes CDN-Skript für einige Stunden aktiv – auch dort waren nur Websites betroffen, auf denen währenddessen ein Administrator eingeloggt war.

Das gemeinsame Muster: Angreifer zielen nicht mehr nur auf das Plugin auf Ihrem Server, sondern auf die externen Datenströme dahinter. Dateibasierte Sicherheitsscanner laufen dabei ins Leere.

Fazit

Wenn Sie eines der sieben betroffenen BdThemes-Plugins einsetzen, ist dies kein Routine-Update-Thema, sondern ein potenzieller Sicherheitsvorfall. Besonders dringend ist die Lage, wenn seit dem 23. Juni 2026 ein Administrator die Verwaltungsoberfläche genutzt hat. Deaktivieren Sie die betroffenen Plugins sofort, prüfen Sie serverseitig auf die genannten Indikatoren – und verlassen Sie sich dabei nicht auf das WordPress-Dashboard, denn die Angreifer verstecken ihre Spuren gezielt.

Ohne konkreten Indikator und ohne Admin-Nutzung im Expositionsfenster ist eine Kompromittierung nicht belegt. Doch wegen möglicher verborgener Konten und Dateien ist eine serverseitige Prüfung in jedem Fall angezeigt. Handeln Sie jetzt – und ziehen Sie bei Verdacht qualifizierte Unterstützung hinzu, bevor Sie Ihre Website weiter im öffentlichen Betrieb lassen.