Grave ataque a la cadena de suministro: más de 30 plugins de WordPress comprometidos tras su compra

Tue, 14 Apr 2026 14:30:00 +0200

En abril de 2026 se ha descubierto un ataque a la cadena de suministro de WordPress a gran escala. Un comprador adquirió la empresa 'Essential Plugin', responsable de más de 30 extensiones populares de WordPress, y añadió código malicioso en todas ellas. El ataque, que comenzó tras la venta en la plataforma Flippa por una cifra de seis dígitos, consistía en insertar una puerta trasera en los plugins mediante un módulo denominado 'wpos-analytics'. Este módulo contactaba con un servidor remoto y descargaba un archivo disfrazado que inyectaba código PHP en el archivo wp-config.php, permitiendo la inserción de contenido malicioso y enlaces ocultos solo visibles para Googlebot. La infraestructura del atacante utilizaba contratos inteligentes de Ethereum para resolver los dominios de control, lo que hacía imposible los métodos tradicionales de cierre. El malware permaneció inactivo durante ocho meses antes de activarse entre el 5 y el 6 de abril de 2026. En cuanto se detectó, el equipo de Wo