Cinq extensions WordPress BdThemes compromises créent des comptes administrateur frauduleux

Cinq extensions WordPress vendues par l'éditeur BdThemes servent depuis fin juin de porte d'entrée à des attaquants qui créent des comptes administrateur frauduleux sur les sites qui les utilisent. Le laboratoire de sécurité Wordfence, qui a détecté la campagne le 7 août via son pare-feu, publie son analyse le 8 août. Les extensions concernées sont Element Pack, Prime Slider, Ultimate Post Kit, Pixel Gallery et Ultimate Store Kit — des compléments au constructeur de pages Elementor, très répandus sur les sites de PME et d'agences. Element Pack seul dépasse 100 000 installations actives selon le répertoire WordPress.org ; l'ensemble du portefeuille BdThemes revendique plus de 350 000 installations.

Un flux de données piégé, pas le code de l'extension

Ce qui distingue cette attaque d'une compromission de plugin classique : le code publié sur WordPress.org n'a pas été modifié. Les attaquants ont obtenu un accès en écriture au serveur de stockage de BdThemes et y ont remplacé les données servies par une API que ces produits interrogent pour afficher des bannières promotionnelles, via un composant interne nommé Biggopti. La faille qui rend cela exploitable est une injection de script (XSS) dans la bibliothèque Biggop, introduite début mars 2026 : le code de Biggopti insère un champ de la réponse JSON reçue directement dans une page HTML sans l'échapper.

Depuis fin juin, ce champ contient un script malveillant. Il s'exécute dans le navigateur de tout administrateur connecté au site, avec sa session authentifiée, et l'utilise pour créer un nouveau compte administrateur au nom de l'attaquant. Un second fichier installe un webshell de persistance en se faisant passer pour un module légitime. BleepingComputer, qui cite le rapport Wordfence, précise que les comptes frauduleux sont ensuite masqués par une manipulation directe des requêtes envoyées à la base de données WordPress — ils n'apparaissent pas forcément dans l'écran habituel de gestion des utilisateurs.

Pas de correctif au moment de la publication

BdThemes a retiré les cinq produits du répertoire officiel WordPress.org le 8 août, le temps d'une investigation. Mais BleepingComputer indique qu'aucune version corrigée n'était disponible à cette date. Garder le plugin installé et actif ne protège donc pas : tant que le flux de données distant reste compromis côté éditeur, le site reste exposé à chaque chargement de page d'administration.

Infosecurity Magazine, qui a consulté séparément l'analyse Wordfence, situe la même chronologie : détection le 7 août, publication le 8, retrait le même jour. Les deux sources s'accordent sur le mécanisme — accès au stockage de l'éditeur, flux JSON empoisonné, faille d'échappement datée de mars — mais divergent sur le nombre exact de plugins touchés : BleepingComputer en cite cinq nommément, Infosecurity Magazine évoque sept produits sans tous les nommer. Le chiffre exact reste donc incertain au 11 août.

Ce qu'il faut faire aujourd'hui

1. Vérifiez si votre site utilise l'une des cinq extensions citées : Element Pack, Prime Slider, Ultimate Post Kit, Pixel Gallery, Ultimate Store Kit. Si votre site a été construit avec Elementor par une agence, la question mérite d'être posée directement à votre prestataire.
2. Si l'une de ces extensions est active, désactivez-la en attendant un correctif confirmé — la retirer ne suffit pas à effacer un compte déjà créé, mais coupe le canal d'attaque tant qu'aucune version saine n'est publiée.
3. Faites vérifier la liste des comptes administrateur WordPress. Un compte que personne ne reconnaît, même avec un nom qui semble légitime, doit être supprimé et son origine tracée.
4. Demandez à votre prestataire de vérifier le répertoire des extensions à la recherche de fichiers ajoutés récemment qui se font passer pour des plugins, ainsi que la table options de la base de données — c'est là que Wordfence situe une partie de la manipulation.
5. Changez le mot de passe de tous les comptes administrateur existants par précaution, cette étape est peu coûteuse et réduit le risque si un compte légitime a été utilisé comme point de départ.

Wordfence n'a pas publié à ce stade de décompte du nombre de sites effectivement compromis, seulement du nombre d'installations actives des produits concernés.