# هجوم سلسلة توريد على إضافات BdThemes في WordPress دون تعديل سطر من كودها

> **المغزى:** مقارنة إصدارات الإضافات بالمستودع الرسمي لم تكن لتكشف شيئًا هنا، فسطح الهجوم لا يقتصر على التحديث الذي يُقبل بل يشمل كل بيانات تجلبها الإضافة وهي تعمل.

- المصدر: المغزى (https://almaghza.com/a/2026-08-13-bdthemes-plugins-supply-chain/)
- التاريخ: 30 صفر - 13 أغسطس 2026 (2026-08-13)
- القسم: أمن سيبراني
- الوسوم: WordPress، هجمات سلسلة التوريد، DigitalOcean، الأمن السيبراني

تلقت Wordfence في 7 أغسطس 2026 بلاغًا عن هجوم سلسلة توريد استهدف إضافات شركة BdThemes لـ WordPress، وهي من أشهر إضافات Elementor. والإضافات المتأثرة:

- Element Pack Addons for Elementor
- Prime Slider
- Pixel Gallery
- Ultimate Post Kit
- Ultimate Store Kit
- Live Copy Paste
- Smart Admin Assistant

ولم يغيّر المهاجمون أي كود في مستودع WordPress.org، ولم ينشروا تحديثًا خبيثًا. فهذه الإضافات تضم نظامًا داخليًا للبانرات اسمه Biggopti، يجلب محتواه من feed خارجي، هو ملف JSON ثابت مرفوع على bucket في DigitalOcean Spaces خلف Cloudflare. أي أن الإضافة المثبتة على الخادم تجلب بيانات من الخارج أثناء عملها وتثق بها. وما فعله المهاجمون هو تسميم هذا الملف.

وكانت النتيجة حسابات admin جديدة على المواقع المصابة، وwebshells مزروعة، وأبوابًا خلفية بقيت مفتوحة.

والجانب الأصعب في الحادثة أن رقم إصدار الإضافة لم يتغير، وسجل التحديثات بقي نظيفًا، والملفات مطابقة للمستودع الرسمي. فأي مراجعة أمنية تقارن نسخ الإضافات بالأصل لم تكن لترى شيئًا.

وتشير التوقيتات في السجلات المسمومة إلى أن الحملة ربما بدأت منذ 23 يونيو 2026، ولم تُنظَّف الـ endpoints إلا في 8 أغسطس. أي أن تحديث الإضافات قبل أسبوع لا يعني وحده أن الموقع سليم.

وتوسع الحادثة تعريف سطح الهجوم لمن يدير مواقع WordPress، خصوصًا الوكالات والمطورين الذين يديرون عشرات المواقع لعملائهم. فالخطر لا يقتصر على التحديث الذي يُقبل، بل يشمل كل بيانات تجلبها الإضافة من خوادم خارجية وهي تعمل.

## المصادر

- [تحليل The Hacker News للهجوم](https://thehackernews.com/2026/08/bdthemes-supply-chain-attack-poisons.html)
- [تغطية BleepingComputer](https://www.bleepingcomputer.com/news/security/bdthemes-plugins-supply-chain-hack-creates-rogue-wordpress-admins/)
- [مدونة Wordfence](https://www.wordfence.com/blog/)
- [إضافات BdThemes على WordPress.org](https://wordpress.org/plugins/search/bdthemes/)