Múltiples plugins de pago de ShapedPlugin fueron comprometidos en un ataque a la cadena de suministro que distribuyó versiones infectadas a clientes a través del sistema oficial de actualización del proveedor. El malware instalaba un plugin falso que se hacía pasar por componentes de WooCommerce, robaba credenciales y otorgaba a los operadores capacidades de escritura remota de archivos.
ShapedPlugin es un vendedor de plugins de WordPress especializado en componentes de interfaz de usuario y plugins de visualización de contenido, con una base de instalación activa de más de 400.000 para los productos gratuitos. El incidente de seguridad afectó solo a tres plugins de pago: Product Slider Pro anterior a la versión 3.5.4 para WooCommerce, Real Testimonials Pro 3.2.5 y Smart Post Show Pro anterior a la versión 4.0.2.
Según datos recopilados por la empresa de seguridad WordPress Defiant a través de su firewall Wordfence, el backdoor se inyectó en las versiones Pro de ShapedPlugin el 21 de mayo, y los primeros informes de clientes sobre actualizaciones potencialmente maliciosas aparecieron el 10 de junio. Los investigadores confirmaron la brecha después de descargar plugins infectados del sitio de ShapedPlugin el 12 de junio, y el editor reconoció el incidente el 16 de junio.
Nuestro equipo inició de inmediato una investigación al identificar el problema, y ya hemos implementado las medidas necesarias para mitigar el asunto.
El editor añadió que estaban preparando versiones actualizadas de los plugins y validándolas antes de enviarlas a los canales de actualización.
Compromiso de la cadena de suministro
Según el análisis de Wordfence, los plugins infectados contienen un archivo malicioso cargador (LicenseLoader.php) que se activa cuando un administrador de WordPress accede al panel de administración del sitio. Contacta con el servidor de comando y control (C2), descarga la segunda etapa (backdoor), la instala como un plugin falso (woocommerce-subscription o woocommerce-notification), informa al atacante y luego se autodestruye para eliminar evidencias.
El plugin falso, oculto de la lista de plugins de WordPress, intenta robar la siguiente información en sitios infectados: credenciales de inicio de sesión de WordPress (nombres de usuario, contraseñas, cookies de sesión, roles de usuario, direcciones IP y detalles del navegador), secretos de autenticación de dos factores (2FA) de plugins populares de seguridad, credenciales de base de datos y claves de autenticación de WordPress de wp-config.php, detalles de cuentas de administrador, credenciales SMTP/correo electrónico y datos de pedidos de WooCommerce de los últimos tres meses, incluyendo información del método de pago.
Los investigadores creen que se trató de un compromiso en la cadena de compilación, basándose en las modificaciones de archivos, los patrones de marcas de tiempo que sugieren inyección automatizada y las referencias de compilación de Git contenidas en los paquetes. Además, las versiones alojadas en WordPress.org se confirmaron como limpias, lo que sugiere que los atacantes obtuvieron acceso a la infraestructura de lanzamiento de ShapedPlugin.
WordPress está rastreando actualmente el incidente bajo el CVE-2026-10735, mientras que también se presentó el CVE-2026-49777 como duplicado.
Contexto y recomendaciones
El compromiso de ShapedPlugin ocurre poco después de que otro importante producto de WordPress, OptinMonster, fuera vulnerado en un ataque a la cadena de suministro a través de CDN, posible debido a una falla en un servidor de marketing que permitió al hacker robar credenciales de una cuenta de CDN. En el caso de ShapedPlugin, el punto de compromiso parece ser la cadena de compilación.
BleepingComputer contactó al proveedor de plugins para obtener una declaración, y la empresa remitió al lanzamiento de Real Testimonial Pro versión 3.2.6, que incluye una única corrección descrita como "Fix: Some WPCS-related warnings". ShapedPlugin también indicó que se publicará una declaración oficial después de que Wordfence confirme que los parches resolvieron el problema.
Según Wordfence, las correcciones estuvieron disponibles en Product Slider Pro versión 3.5.4 y Smart Post Show Pro versión 4.0.2. Se recomienda a los administradores de sitios web que, si encuentran plugins falsos de WooCommerce, restablezcan todas las contraseñas de sus sitios, regeneren los secretos de autenticación de dos factores (2FA) y revisen las listas de usuarios en busca de adiciones maliciosas.
Deja una respuesta