ورڈپریس پلگ ان سیکیورٹی کی خلاف ورزی: ہیکر نے 30 پلگ ان خریدے، 8 ماہ تک چھپ گیا اور ڈومین بلاکس کو بائی پاس کرنے کے لیے ایتھریم اسمارٹ کنٹریکٹس استعمال کیے

ورڈپریس پلگ ان سیکیورٹی کی سخت نگرانی ہو رہی ہے کیونکہ مبینہ ہیکر نے ایک ورڈپریس پلگ ان پورٹ فولیو خریدا اور 30+ پلگ انز میں بیک ڈور نصب کیے۔ حملہ آور نے پے لوڈ کو تقریباً 8 ماہ تک چھپا رکھا، پہلی مالیشس اپڈیٹ 2025-08-08 کو پوسٹ کی گئی (چینج لاگ میں صرف “compatibility update” لکھا تھا)। بیک ڈور کوڈ کو اپریل 2026 کے شروع میں اسٹیج شدہ ایکٹیویشن ونڈو کے بعد wp-config.php میں انجیکٹ کیا گیا (پہلا کال بیک تقریباً 2026-04-05/06؛ مکمل wp-config.php لکھائی 2026-04-06 11:06 UTC تک مکمل ہوئی)۔ اس کے بعد اس نے Googlebot ہدف شدہ اسپام لنکس کیے اور ایک غیر محفوظ REST API راستہ ظاہر کیا جو ریموٹ کوڈ ایگزیکیوشن ممکن بنا سکتا ہے۔ ورڈپریس پلگ ان سیکیورٹی دفاع کے لیے سب سے قابلِ ذکر بات یہ ہے کہ کمانڈ اینڈ کنٹرول (C2) انفراسٹرکچر نے روایتی بلاکنگ سے بچا۔ مقررہ ڈومین پر انحصار کرنے کے بجائے حملہ آور نے C2 ریزولوشن لاجک کو ایک ایتھیریم اسمارٹ کنٹریکٹ میں ایمبیڈ کیا اور پبلک RPC نوڈز کے ذریعے اپڈیٹڈ پوائنٹرز نکالے۔ اس سے DNS بلیک لسٹس اور ڈومین ٹیک ڈاؤنز غیر مؤثر ہو سکتی ہیں جب تک کنٹریکٹ خود تبدیل نہ ہو۔ جواباً WordPress.org نے مبینہ طور پر متاثرہ Essential Plugin مصنف کھاتوں کو بند کر دیا اور ایک دن میں 30+ پلگ انز کو غیر فعال کر دیا (2026-04-07)، یہ بات سیکیورٹی محقق آسٹن گنڈر نے تصدیق کی۔ اگرچہ کسی زیرو-ڈے کا دعویٰ نہیں کیا گیا، بنیادی مسئلہ سپلائی چین اعتماد ہے: ورڈپریس ماحولیاتی نظام خریداروں کو پلگ ان اپ ڈیٹ کی اجازتیں حاصل کرنے کی اجازت دیتا ہے بغیر سخت جائزے یا صارف نوٹس کے جب ملکیت بدلتی ہے۔