O Admin Menu Editor Pro entrou no centro de um incidente de segurança que expõe novamente os riscos dos ataques à cadeia de suprimentos no ecossistema WordPress. Versões maliciosas do plugin pago foram distribuídas depois que o site usado pelo desenvolvedor para disponibilizar atualizações foi comprometido, permitindo que um invasor inserisse código capaz de instalar um web shell e criar contas ocultas em sites de clientes.
O incidente envolve especificamente as versões 2.35 e 2.36 do Admin Menu Editor Pro. Segundo informações divulgadas pelo desenvolvedor Janis Elsts e reportadas por veículos especializados, cerca de 1.500 instalações WordPress podem ter recebido as versões comprometidas. O número representa instalações potencialmente afetadas, enquanto a quantidade de clientes diretamente identificados é menor e ainda pode mudar durante a investigação.
O caso merece atenção porque o plugin é utilizado para personalizar o painel administrativo do WordPress, controlar menus e permissões e modificar a experiência de diferentes usuários. A versão gratuita do Admin Menu Editor, distribuída pelo WordPress.org, não aparece como afetada pelo incidente.
Como ocorreu o ataque ao Admin Menu Editor Pro
O ataque começou com o comprometimento da infraestrutura utilizada para distribuir o Admin Menu Editor Pro. Em 14 de setembro, um invasor conseguiu acesso não autorizado ao site adminmenueditor.com e colocou à disposição uma versão adulterada do pacote do plugin.
A primeira versão comprometida foi a 2.35. Ela continha um arquivo adicional chamado includes/wp-user-consent.php, cujo nome poderia passar despercebido em uma inspeção superficial, mas que fazia parte da cadeia utilizada para instalar um web shell nos sites que recebiam a atualização.
O problema ficou ainda mais complexo quando o desenvolvedor percebeu a invasão, removeu a versão comprometida e publicou a 2.36, considerada inicialmente uma versão limpa. Entretanto, o atacante ainda mantinha acesso à infraestrutura e conseguiu comprometer também essa nova versão.
A investigação posterior indicou que o invasor havia obtido privilégios elevados no servidor usado pelo desenvolvedor. Isso explica por que simplesmente remover a primeira versão maliciosa não foi suficiente para interromper o ataque.
Esse comportamento demonstra uma característica importante dos ataques de cadeia de suprimentos: o administrador pode instalar uma atualização aparentemente legítima, obtida pelo mecanismo oficial do fornecedor, e ainda assim executar código malicioso.
O próprio perfil do desenvolvedor no WordPress.org confirma que Janis Elsts é responsável pelo Admin Menu Editor, que possui mais de 300 mil instalações ativas em sua versão disponível no repositório.
O que o código malicioso fazia no servidor
O arquivo includes/wp-user-consent.php funcionava como parte do mecanismo utilizado para estabelecer persistência no site comprometido.
Entre os artefatos identificados estão:
- wp-user-consent.php, dentro do diretório do Admin Menu Editor Pro;
- /wp-content/object-cache/, utilizado para armazenar componentes adicionais;
- contas ocultas criadas na tabela wp_users;
- registros específicos na tabela wp_options;
- arquivos adicionais em wp-content/mu-plugins;
- tarefas agendadas do WordPress associadas ao comprometimento.
A criação de uma conta oculta é especialmente relevante. Mesmo depois da remoção do arquivo inicial, uma conta administrativa controlada pelo invasor pode fornecer outro caminho para recuperar acesso ao site.
Por isso, desinstalar o plugin não deve ser considerado, isoladamente, uma limpeza completa.
Indicadores de comprometimento do Admin Menu Editor Pro
Administradores que instalaram as versões 2.35 ou 2.36 devem realizar uma inspeção cuidadosa do ambiente.
O primeiro ponto é verificar o diretório do plugin:
wp-content/plugins/admin-menu-editor-pro/includes/wp-user-consent.phpA existência desse arquivo é um dos principais indicadores associados ao incidente. Também deve ser investigado o diretório:
wp-content/object-cache/Segundo as informações divulgadas sobre o incidente, determinados subdiretórios e scripts PHP encontrados nesse local podem indicar a presença do código malicioso.
A investigação também deve alcançar o banco de dados. Na tabela:
wp_usersprocure contas inesperadas com nomes iniciados por wp_, especialmente aquelas que não pertencem a nenhum administrador legítimo.
Outro ponto é a tabela:
wp_optionsonde devem ser procuradas opções com nomes relacionados a wp_ocache ou _wp_ocache_.
Também vale verificar o diretório:
wp-content/mu-plugins/e procurar arquivos inesperados associados ao padrão identificado na investigação, além de revisar tarefas WP-Cron desconhecidas.
A análise não deve depender apenas do painel do WordPress. Como algumas contas podem ter sido deliberadamente ocultadas, uma inspeção direta do banco de dados e dos arquivos do servidor oferece uma visão mais completa.
Admin Menu Editor Pro: gratuito e Pro não foram afetados da mesma forma
É importante separar os produtos envolvidos.
O incidente está relacionado ao Admin Menu Editor Pro, distribuído pela infraestrutura comercial do desenvolvedor. A versão gratuita do Admin Menu Editor, disponível no WordPress.org, não aparece como afetada pelas versões maliciosas descritas neste caso.
A versão 2.34 do Pro também é considerada não afetada nas informações disponíveis até o momento. Já quem recebeu as versões 2.35 ou 2.36 deve tratar a instalação com atenção especial e realizar uma investigação do ambiente.
Como limpar um WordPress comprometido pelo Admin Menu Editor Pro
A abordagem mais segura é restaurar o site a partir de um backup confiável anterior ao comprometimento. As orientações associadas ao incidente recomendam utilizar uma cópia feita antes de 14 de setembro, desde que seja possível confirmar que ela estava íntegra.
Quando não existe um backup confiável, a recuperação exige uma investigação mais cuidadosa.
Primeiro, o site deve ser colocado sob controle administrativo e, quando necessário, temporariamente isolado para evitar que o invasor continue utilizando a instalação enquanto a limpeza acontece.
Em seguida:
- Remova o Admin Menu Editor Pro comprometido e não reutilize imediatamente uma cópia suspeita.
- Examine e remova os arquivos maliciosos identificados, incluindo includes/wp-user-consent.php.
- Verifique /wp-content/object-cache/ e remova componentes associados ao ataque depois de preservar evidências necessárias para investigação.
- Audite a tabela wp_users e elimine contas que não pertençam a usuários legítimos.
- Examine wp_options em busca das entradas associadas ao comprometimento.
- Inspecione mu-plugins e tarefas WP-Cron para identificar mecanismos adicionais de persistência.
- Revise os logs do servidor em busca de logins administrativos, alterações de arquivos e requisições incomuns.
- Altere as senhas de todos os usuários do WordPress após a limpeza.
- Substitua outras credenciais potencialmente expostas, incluindo acessos ao banco de dados, hospedagem, FTP/SFTP, SSH e painéis administrativos.
- Regere as chaves de autenticação e salts do wp-config.php para invalidar sessões existentes.
A orientação de trocar credenciais é particularmente importante porque a instalação de um web shell significa que não é possível assumir que apenas o arquivo do plugin foi acessado.
O que o caso ensina sobre atualizações automáticas
O incidente do Admin Menu Editor Pro também evidencia uma questão importante para administradores Linux, equipes DevOps e responsáveis por hospedagem: atualização automática não significa automaticamente atualização confiável.
O mecanismo de atualização estava funcionando conforme projetado. O problema estava na origem do pacote. Quando o servidor do fornecedor é comprometido, uma atualização assinada pelo fluxo habitual de distribuição pode carregar código malicioso antes que o administrador tenha qualquer oportunidade de examiná-lo.
Isso não significa que atualizações automáticas devam ser abandonadas. Em ambientes críticos, porém, é importante combinar atualização com backups testados, monitoramento de integridade, logs centralizados, controle de privilégios e mecanismos de detecção de alterações inesperadas.
Também é recomendável manter uma estratégia de recuperação que permita retornar rapidamente a um estado conhecido e confiável.
Conclusão
O comprometimento do Admin Menu Editor Pro mostra como um ataque contra a infraestrutura de um fornecedor pode ultrapassar rapidamente os limites de um único servidor e alcançar centenas ou milhares de instalações WordPress.
As versões 2.35 e 2.36 devem receber atenção especial. Administradores precisam verificar arquivos, diretórios, usuários, banco de dados, tarefas agendadas e logs, sem presumir que a simples remoção do plugin encerrou o incidente.
Para quem administra WordPress profissionalmente, o episódio reforça a necessidade de manter backups anteriores às atualizações, monitoramento de integridade e processos de resposta a incidentes. Em um ataque de cadeia de suprimentos, a confiança depositada no mecanismo oficial de atualização pode ser justamente o caminho usado para chegar ao servidor final.
Se o Admin Menu Editor Pro 2.35 ou 2.36 esteve instalado em seu ambiente, a recomendação prática é iniciar a verificação imediatamente, mesmo que o site aparente estar funcionando normalmente. O desenvolvedor também indicou que a lista inicial de clientes afetados pode não representar todos os casos.