Eval PHP, um plugin para WordPress que não é atualizado desde 2012, está sendo utilizado por invasores para atacar sites e blogs. Originalmente, o plugin serve para administradores executarem códigos PHP diretamente de uma página, agora está sendo utilizado para injetar código malicioso.
Até recentemente, o plugin mal registrava um download por dia, mas recentemente disparou para um pico de 7 mil downloads diários, totalizando mais de 100 mil até agora, tudo isso porque foi descoberta uma vulnerabilidade que permite a invasão disseminação de malware em sites.
Primeiramente o invasor precisa ter acesso a uma conta de administrador do site alvo, depois disso, basta instalar o plugin e utilizá-lo para injetar código malicioso em uma postagem. O código será executado toda vez que a página for acessada por algum navegador e pode ser inserido na raiz do site, comprometer dados dos sites e dos clientes, disseminar malwares e até mesmo facilitar a invasão de outros sites.
Para evitar, ou conseguir ao menos remediar este tipo de problema, é recomendável que cada conta administrativa do site tenha autenticação de dois fatores e que sejam feitos e mantidos backups regulares.