超30个WordPress插件因所有权变更被植入恶意代码
2026年4月18日，安全研究机构BleepingComputer报道，超过30个WordPress插件被植入恶意代码，允许未经授权访问运行这些插件的网站。恶意代码由攻击者于2025年8月植入，近期通过更新向用户推送，生成垃圾页面并导致重定向，指令来自命令与控制（C2）服务器。
该事件由托管服务商Anchor Hosting创始人Austin Ginder发现。他收到关于一个插件包含第三方访问代码的线索后展开调查，发现EssentialPlugin插件包内的所有插件均被植入后门。Ginder指出，恶意代码通过以太坊智能合约动态解析C2域名，查询公共区块链RPC端点，使传统域名封禁失效。
WordPress.org发布的2.6.9.1版本修复了插件的“电话回家”机制，但未处理wp-config.php文件，导致SEO垃圾内容仍可向Googlebot推送。Ginder称，攻击者仅向Googlebot展示垃圾内容，网站管理员难以察觉。
此事件暴露了WordPress插件市场的信任问题。EssentialPlugin的Flippa交易记录公开，买家背景涉及SEO与赌博营销，但WordPress.org未对所有权变更进行审查，也未触发额外代码审核或用户通知。此前2017年，买家“Daley Tias”以1.5万美元收购Display Widgets插件（20万安装量）后注入贷款广告，并进一步控制至少9个插件。
WordPress.org插件团队在事件暴露后迅速响应，但攻击从植入到发现已历时8个月。安全专家呼吁建立所有权变更审核机制，提升插件生态安全性。
编辑点评
此次WordPress插件大规模被植入恶意代码事件，凸显了开源生态中所有权变更缺乏监管的系统性风险。攻击者利用插件市场对新所有者无审查机制的漏洞，通过智能合约动态切换C2域名，极大提升了追踪和阻断难度。这不仅是技术漏洞，更是治理机制缺失的体现。全球数百万网站依赖WordPress平台，插件生态的安全直接关系到数字基础设施的稳定性。事件可能引发对开源软件供应链安全的广泛审查，推动平台方建立所有权变更验证、代码审计及用户通知机制。同时，攻击者利用区块链技术规避传统封禁，标志着网络攻击手段向去中心化、自动化演进，对全球网络安全防御体系提出新挑战。未来，开源社区、企业及监管机构需共同构建更透明、可追溯的插件生态治理框架。