Alguien compró más de 30 plugins de WordPress para introducir en ellos una puerta trasera

WordPress.org cerró a principios de abril más de 30 plugins vinculados a un mismo autor después de que se activara en ellos una puerta trasera que llevaba varios meses en espera y que ha afectado potencialmente a miles de páginas web.

Los más de 30 plugins eliminados fueron creados hacia 2015 por un equipo de desarrolladores ubicado en India, primero bajo la marca 'WP Online Support' y más tarde como 'Essential Plugin'. Pero a principios de 2025 fueron adquiridos por alguien llamado 'Kirs'.

Este cambio de dueño está en el origen del problema de ciberseguridad que han generado los plugins, con "cientos de miles de instalaciones activas", como apunta el desarrollador Austin Ginder, fundador de la empresa Anchor Hosting, en el análisis que ha realizado.

Tras el aviso de un cliente por una alerta de seguridad, Ginder realizó un análisis forense a las copias de seguridad para determinar cuándo esos plugins, que durante años habían sido de confianza, se habían convertido en un problema.

Con él pudo averiguar que los días 5 y 6 de abril se activó una puerta trasera en los plugins de 'Essential Plugin', aunque su instalación se hizo ocho meses atrás, con una actualización implementada en agosto del año pasado.

Ginder afirma que WordPress.org cerró todos los plugins de manera permanente el 7 de abril.