Het idee is om slachtoffers niet een voor een aan te vallen, maar te besmetten wat ze allemaal installeren. MITRE rangschikt deze techniek onder de naam "Supply Chain Compromise": de aanvaller manipuleert een product of het leveringsmechanisme ervan voordat het bij de eindgebruiker aankomt. Voor een WordPress-site betekent dit dat een volkomen normale update, van de juiste maker en via het juiste kanaal, een backdoor kan installeren.
Mogelijke ingangen
OWASP heeft er in de Top 10 van 2025 een eigen categorie van gemaakt ("Software Supply Chain Failures"), die tekortkomingen bij het bouwen, verspreiden of bijwerken van software samenbrengt. In de WordPress-wereld zie je vier scenario's:
- het account van de ontwikkelaar wordt gestolen, vaak met een wachtwoord dat elders al was gelekt;
- de plugin wordt overgenomen, waardoor de nieuwe eigenaar het legitieme recht krijgt om te publiceren;
- de updateserver van een premium leverancier wordt gehackt;
- de buildketen (coderepository, continuous integration) wordt stroomopwaarts gecompromitteerd.
Echte voorbeelden
Buiten WordPress noemt OWASP de compromittering van SolarWinds in 2019, die via een software-update ongeveer 18.000 organisaties trof. Binnen WordPress illustreren vier gedocumenteerde aanvallen tussen 2024 en 2026 elk een van de ingangen: vijf plugins op wordpress.org die in juni 2024 via ontwikkelaarsaccounts werden besmet, een portfolio van 31 plugins dat werd opgekocht en daarna besmet, een versie van Smart Slider 3 Pro die vanaf de server van de maker werd verspreid, en Pro-plugins van ShapedPlugin die in hun buildketen werden gecompromitteerd. Recenter werd Rank Math PRO 3.0.123 een paar uur lang besmet verspreid, en werden bij TeamUpdraft gestolen UpdraftCentral-sleutels gebruikt om kwaadaardige plugins te installeren.
Hoe je het risico verkleint
Je kunt niet zelf elke regel code van een update controleren. Je kunt wel je blootstelling beperken en de signalen van een compromittering snel opmerken:
- Minder afhankelijkheden: elke plugin is een extra leverancier. Verwijder plugins die je niet meer gebruikt.
- Let op eigendomswisselingen: een overname is op zich niet verdacht, maar is een reden om de volgende versies aandachtig te bekijken.
- Spreid premium updates op belangrijke sites door ze eerst via een stagingomgeving te laten lopen, zonder dringende beveiligingspatches uit te stellen.
- Bescherm je eigen toegang als ontwikkelaar of bureau met tweefactorauthenticatie: WordPress.org heeft die vanaf oktober 2024 verplicht gesteld voor auteurs van plugins en thema's.
- Houd in de gaten wat buiten de plugin verandert: nieuwe beheerders, wp-config.php, de map mu-plugins, de bestanden van het thema.
Voor WordPress: wat WP Masquerade kan doen
WP Masquerade analyseert de code van plugins niet en herkent geen kwaadaardige software die in een update verstopt zit. Het helpt wel de gevolgen te zien: het activiteitenlogboek van WP Masquerade Pro registreert het aanmaken van accounts en het installeren en bijwerken van plugins, zodat je een compromittering kunt dateren en een toegevoegde beheerder kunt terugvinden. De integriteitscontrole dekt alleen de bestanden van de WordPress-core, niet die van plugins: volg bij een waarschuwing over een besmette plugin de opschoonprocedure van de maker of de onderzoekers, en zet een schone back-up terug als je twijfelt.