La via ufficiale di ShapedPlugin diventa il canale dell’attacco
Il punto non è solo che un plugin sia infetto. È che la compromissione passa dal canale di aggiornamento pagato e fidato, quindi entra dove la verifica manuale tende a fidarsi di più. Una volta aperto il pannello di amministrazione, il codice malevolo si installa come falso componente di WooCommerce, ruba credenziali e segreti 2FA, e lascia anche la possibilità di scrivere file da remoto.
Le release contaminate riguardano tre plugin premium: Product Slider Pro per WooCommerce prima della 3.5.4, Real Testimonials Pro 3.2.5 e Smart Post Show Pro prima della 4.0.2. Wordfence conferma il caricamento malevolo tramite il flusso ufficiale di ShapedPlugin; il plugin finto si nasconde dalla lista di WordPress, esfiltra accessi, chiavi del database, chiavi di autenticazione e dati WooCommerce, poi si cancella per ridurre le tracce. Gli articoli indicano anche due CVE associate, CVE-2026-10735 e CVE-2026-49777.
Per gli ambienti WordPress gestiti in questa modalità, il rischio non finisce con la patch del vendor. Se le credenziali o i token sono già passati dal plugin falso, vanno considerati compromessi: il canale che dovrebbe portare fiducia è stato usato come vettore di distribuzione.