ওয়ার্ডপ্রেস প্লাগইন নিরাপত্তা ভঙ্গ: হ্যাকার ৩০টি প্লাগইন কিনেছে, ৮ মাস লুকিয়ে ছিল এবং ডোমেইন ব্লক বাইপাস করতে ইথেরিয়াম স্মার্ট কন্ট্র্যাক্ট ব্যবহার করেছে

ওয়ার্ডপ্রেস প্লাগইন নিরাপত্তা তদন্তের মুখে পড়েছে কারণ একটি হ্যাকার রিপোর্ট করা মতে একটি ওয়ার্ডপ্রেস প্লাগইন পোর্টফোলিও কিনে 30+ প্লাগইনে ব্যাকডোর স্থাপন করেছে। আক্রমণকারী প্রায় 8 মাস ধরে পে-লোড লুকিয়েছিলেন, প্রথম ম্যালিশিয়াস আপডেটটি প্রকাশিত হয় 2025-08-08 (চেঞ্জলগে শুধুমাত্র “compatibility update” লেখা ছিল)। দু্‌ষ্কৃতকারী কোডটি এপ্রিল 2026-এর শুরুতে পরিকল্পিত সক্রিয়করণ উইন্ডো পরে wp-config.php-তে ইনজেক্ট করা হয় (প্রথম কলব্যাক প্রায় 2026-04-05/06; সম্পূর্ণ wp-config.php লেখার সময় 2026-04-06 11:06 UTC)। পরে এটি Googlebot-উপযোগী স্প্যাম লিঙ্ক তৈরি করে এবং একটি অরক্ষিত REST API পথ প্রকাশ করে যা রিমোট কোড এক্সিকিউশনকে সক্ষম করতে পারে। ওয়ার্ডপ্রেস প্লাগইন সুরক্ষা প্রতিরক্ষা সম্পর্কে সবচেয়ে লক্ষণীয় হলো যে কমান্ড-এন্ড-কন্ট্রোল (C2) অবকাঠামো প্রচলিত ব্লকিং এড়িয়ে গেছে। স্থির ডোমেইনের উপর নির্ভর করার বদলে আক্রমণকারী C2 রেজলিউশন লজিকটি একটি ইথেরিয়াম স্মার্ট কনট্র্যাক্টে এমবেড করে এবং পাবলিক RPC নোডের মাধ্যমে আপডেটেড পয়েন্টারগুলি ক্যোয়ারী করেছে। এটি DNS ব্লকলিস্ট এবং ডোমেইন টেকডাউনকে কার্যহীন করে তুলতে পারে যতক্ষণ না কনট্র্যাক্ট নিজেই পরিবর্তিত হয়। উত্তরে, WordPress.org রিপোর্টedly প্রভাবিত Essential Plugin লেখক অ্যাকাউন্টসমূহ বন্ধ করেছে এবং এক দিনে 30+ প্লাগইন অক্ষম করেছে (2026-04-07), যা নিরাপত্তা গবেষক Austin Ginder নিশ্চিত করেছেন। যদিও কোনও জিরো-ডে দাবি করা হয়নি, প্রধান সমস্যা হ'ল সাপ্লাই-চেইন ট্রাস্ট: ওয়ার্ডপ্রেস ইকোসিস্টেম ক্রেতাদেরকে প্লাগইন আপডেট অনুমতিগুলি গ্রহণ করতে দেয় শক্তিশালী পর্যালোচনা বা মালিকানা পরিবর্তনের সময় ব্যবহারকারী বিজ্ঞপ্তি ছাড়াই।