Hackers invadem fornecedor de plugin e usam atualização para atacar sites WordPress

Um ataque contra a infraestrutura responsável pelo Admin Menu Editor Pro, popular plugin para WordPress, permitiu que criminosos distribuíssem atualizações contaminadas diretamente pelo canal oficial do desenvolvedor. Pelo menos 1.500 sites receberam versões maliciosas capazes de instalar uma porta dos fundos e criar contas administrativas ocultas.

O incidente chama atenção porque os administradores não instalaram um plugin obtido em uma página falsa ou em um repositório desconhecido. A atualização adulterada foi distribuída pelo próprio servidor utilizado pelo desenvolvedor do Admin Menu Editor Pro, caracterizando um ataque à cadeia de suprimentos.

A versão afetada inicialmente foi a 2.35. Segundo as informações divulgadas após a descoberta do incidente, o pacote malicioso ficou disponível em 14 de setembro de 2026, aproximadamente entre 6h e 13h no horário UTC.

Nesse intervalo, clientes que atualizaram normalmente o plugin poderiam ter instalado o código malicioso sem perceber qualquer irregularidade.

O desenvolvedor Janis Elsts informou que a análise dos registros do servidor indicou que aproximadamente 230 clientes foram atingidos na primeira etapa do ataque. Como muitos utilizam a licença em vários projetos, a atualização chegou a pelo menos 1.500 instalações do WordPress.

“Com base na análise dos logs do servidor de atualização, aproximadamente 230 clientes foram afetados no ataque inicial. A versão maliciosa foi instalada em pelo menos 1.500 sites, muitas vezes em vários sites por cliente”, explicou Elsts.

O número real de instalações potencialmente comprometidas pode ser maior. Segundo o desenvolvedor, centenas de outros clientes baixaram o plugin durante ou próximo ao período do ataque e também precisam verificar seus ambientes.

Atualização oficial carregava uma porta dos fundos

A versão adulterada continha um arquivo chamado “wp-user-consent.php”, colocado dentro da pasta “includes” do Admin Menu Editor Pro.

O nome foi escolhido de maneira a parecer um componente legítimo relacionado ao consentimento do usuário, mas o arquivo funcionava como um web shell.

Esse tipo de código permite manter um canal de acesso ao ambiente comprometido e pode ser utilizado para executar comandos no servidor.

O malware também criava uma conta administrativa escondida no WordPress. Dessa forma, mesmo depois da instalação inicial, os invasores poderiam manter acesso privilegiado ao site.

A presença de uma conta administrativa não autorizada representa um risco elevado. Com esse nível de privilégio, um criminoso pode alterar páginas, manipular plugins, inserir códigos, modificar configurações e potencialmente acessar informações armazenadas pelo site.

Outro mecanismo identificado durante a investigação utilizava o diretório “wp-content/object-cache/”, além de registros no banco de dados com nomes iniciados por “wp_ocache”.

A escolha desses nomes ajudava a atividade maliciosa a se misturar com componentes aparentemente legítimos do WordPress.

Tentativa de correção também foi comprometida

O episódio ganhou uma dimensão ainda mais preocupante quando o desenvolvedor tentou resolver o problema.

Depois de identificar a versão 2.35 adulterada, ela foi retirada do servidor. Uma versão 2.36, considerada inicialmente limpa, foi preparada e disponibilizada aproximadamente às 19h UTC.

O problema é que o invasor aparentemente ainda mantinha acesso à infraestrutura do desenvolvedor.

Como consequência, a versão 2.36 também acabou comprometida antes de chegar aos clientes.

Isso significa que administradores que perceberam o problema e rapidamente atualizaram da 2.35 para a 2.36 poderiam continuar expostos.

A situação levou o desenvolvedor a retirar o site adminmenueditor.com do ar enquanto trabalhava na recuperação da infraestrutura.

A investigação apontou sinais de que o invasor poderia ter obtido acesso em nível de root ao servidor, condição que oferece controle extremamente elevado sobre o ambiente.

Diante desse cenário, simplesmente substituir o arquivo contaminado não seria suficiente para garantir que a infraestrutura voltasse a ser confiável.

Ataque é diferente de explorar uma falha no plugin

Um detalhe importante é que o incidente não ocorreu porque criminosos descobriram uma vulnerabilidade no Admin Menu Editor Pro e passaram a atacar instalações expostas na internet.

O alvo inicial foi a própria infraestrutura responsável por distribuir o software.

Esse modelo é conhecido como ataque à cadeia de suprimentos.

Em vez de atacar individualmente milhares de sites, o criminoso compromete um fornecedor considerado confiável e utiliza o mecanismo legítimo de distribuição para alcançar os clientes.

Para o administrador, identificar esse tipo de ataque pode ser particularmente difícil.

Uma das principais recomendações de segurança para WordPress é justamente manter plugins e temas atualizados. Neste caso, entretanto, executar a atualização oficial foi o mecanismo que levou o código malicioso até os servidores.

Isso não significa que atualizações devam ser evitadas. Vulnerabilidades conhecidas em plugins desatualizados continuam sendo uma das principais portas de entrada para ataques.

O episódio demonstra, porém, que a procedência da atualização é apenas uma das camadas necessárias em uma estratégia de segurança.

Versão gratuita não foi afetada

O Admin Menu Editor permite personalizar a área administrativa do WordPress, reorganizar menus e controlar quais opções ficam disponíveis para diferentes usuários.

Sua versão gratuita possui mais de 300 mil instalações ativas no ecossistema WordPress.

O ataque, entretanto, atingiu especificamente o Admin Menu Editor Pro, distribuído pelo próprio desenvolvedor fora do repositório oficial WordPress.org.

Até o momento, não existem evidências de que a edição gratuita distribuída pelo WordPress.org tenha sido comprometida.

A distinção é importante para evitar que todos os usuários do Admin Menu Editor interpretem o incidente como uma infecção generalizada.

O risco está concentrado nos clientes da edição Pro que receberam as versões comprometidas durante o período do ataque.

Administradores devem procurar sinais de comprometimento

Sites que instalaram as versões 2.35 ou 2.36 do Admin Menu Editor Pro precisam passar por uma verificação de segurança.

Um dos principais indicadores é a existência do arquivo “includes/wp-user-consent.php” dentro da pasta do plugin.

Também deve ser verificada a presença inesperada do diretório “wp-content/object-cache/”.

No banco de dados, administradores precisam observar a tabela “wp_users” em busca de contas desconhecidas, especialmente usuários administrativos com nomes iniciados por “wp_”.

A tabela “wp_options” também pode apresentar entradas suspeitas iniciadas por “wp_ocache”.

Encontrar um desses elementos deve ser tratado como forte indicação de comprometimento.

A simples exclusão da conta desconhecida pode não ser suficiente, já que o invasor pode ter instalado outros mecanismos para recuperar o acesso ao ambiente.

Backup anterior ao ataque é alternativa mais segura

Para ambientes comprovadamente comprometidos, restaurar um backup confiável produzido antes do ataque aparece como uma das medidas mais seguras.

Isso reduz a possibilidade de deixar arquivos, contas ou mecanismos de persistência instalados pelo invasor.

A versão 2.34 do Admin Menu Editor Pro é considerada anterior ao comprometimento conhecido.

Administradores também devem avaliar a troca das credenciais utilizadas no ambiente, principalmente contas administrativas e outros segredos que poderiam ter sido acessados enquanto o invasor mantinha controle sobre o site.

Em instalações corporativas, a análise dos logs do servidor também é importante para identificar acessos, alterações de arquivos e outras atividades ocorridas durante o período de comprometimento.

Outro cuidado é verificar se o WordPress possui administradores que não foram criados pela equipe responsável.

Uma conta maliciosa pode não aparecer de maneira evidente no painel caso o código utilizado pelo invasor tenha mecanismos destinados a ocultá-la.

Atualização automática exige estratégia de segurança

O ataque também reacende a discussão sobre atualizações automáticas em ambientes WordPress.

Desativá-las indiscriminadamente não é uma solução, já que versões antigas podem conter vulnerabilidades conhecidas e exploradas ativamente.

Em sites críticos, porém, administradores podem adotar processos adicionais, como manter backups recentes e isolados, testar novas versões antes da implantação em produção, monitorar alterações inesperadas nos arquivos e acompanhar alertas de segurança dos fornecedores utilizados.

Ferramentas de integridade também podem identificar arquivos PHP inesperados criados dentro de diretórios de plugins.

A revisão periódica das contas administrativas é outra medida simples capaz de revelar acessos que passaram despercebidos.

Ataques à cadeia de suprimentos desafiam modelo de confiança

O comprometimento do Admin Menu Editor Pro mostra um dos maiores desafios atuais da segurança de software: confiar no fornecedor não elimina completamente o risco.

Plugins, bibliotecas e outras dependências recebem atualizações constantemente. Esse modelo permite corrigir vulnerabilidades rapidamente, mas também cria uma rota eficiente de distribuição caso a infraestrutura do desenvolvedor seja comprometida.

No caso do Admin Menu Editor Pro, os criminosos não precisaram convencer centenas de administradores a instalar arquivos enviados por e-mail ou baixar plugins piratas.

Eles exploraram justamente a confiança depositada no mecanismo oficial de atualização.

Para quem administra um WordPress, o episódio deixa uma orientação objetiva: usuários da versão gratuita não aparecem entre os afetados conhecidos, enquanto clientes do Admin Menu Editor Pro que instalaram as versões 2.35 ou 2.36 devem verificar seus sites imediatamente.

A existência do arquivo “wp-user-consent.php”, de contas administrativas desconhecidas ou dos demais indicadores identificados na investigação deve ser encarada como sinal de que o ambiente pode ter sido comprometido.

Em segurança digital, atualizar continua sendo essencial. O caso demonstra, entretanto, que atualização, backup, monitoramento e controle de acesso precisam funcionar como camadas complementares de proteção.