דלת אחורית בשלושה תוספי Pro של ShapedPlugin הגיעה לאתרי וורדפרס דרך העדכון הרשמי
ב-18 ביוני 2026 דווח שתוקפים חדרו לתשתית ההפצה של ShapedPlugin והחדירו נוזקה לשלושה תוספי Pro. הנוזקה מתחזה לתוסף WooCommerce, וגונבת סיסמאות ונתוני הזמנות.
TL;DR בקצרה
- תוקפים החדירו דלת אחורית לתוספי Product Slider Pro, Real Testimonials Pro ו-Smart Post Show Pro, והם הגיעו ללקוחות דרך העדכון הרשמי.
- לפי ShapedPlugin, הגרסאות הפגועות הן 3.5.2, 3.2.4, 3.2.5 (בין 12 ל-16 ביוני) ו-4.0.1. הגרסאות החינמיות לא נפגעו.
- הנוזקה מתחזה לתוסף בשם woocommerce-subscription, ולפי BleepingComputer היא מנסה לגנוב סיסמאות, סודות 2FA ופרטי הזמנות.
- הפתרון: עדכון לגרסה נקייה, ניקוי הקוד הזדוני, החלפת מפתחות וסיסמאות והגדרה מחדש של 2FA.
תוקפים חדרו לתשתית ההפצה של ShapedPlugin והחדירו דלת אחורית לשלושה תוספי Pro של וורדפרס. התוספים הגיעו ללקוחות משלמים דרך מערכת העדכונים הרשמית של החברה. BleepingComputer דיווח על כך ב-18 ביוני 2026. הגרסאות החינמיות ב-WordPress.org נשארו נקיות.
איך מתקפת שרשרת האספקה של ShapedPlugin עבדה
במתקפת שרשרת אספקה התוקפים לא פורצים לאתר שלכם. הם פורצים לספק, והספק מעביר את הנוזקה אליכם בעדכון שנראה לגיטימי. כאן הנפגעים הם תוספי Product Slider Pro for WooCommerce, Real Testimonials Pro ו-Smart Post Show Pro.
לפי ההודעות של ShapedPlugin, הנוזקה מוסיפה קטע קוד לקובץ functions.php של ערכת העיצוב. הקוד קורא מהמסד קטע מוצפן, כותב אותו לקובץ זמני ומריץ אותו בכל טעינת עמוד. כך היא מתקינה את עצמה מחדש גם אחרי מחיקה.
היא גם יוצרת תיקיית תוסף מזויפת בשם woocommerce-subscription. זה לא התוסף הרשמי של WooCommerce. באתרים מסוימים הופיעה בקשה להתקין אותו. בנוסף, יש לה דרכי הישרדות: קבצים בתיקיית mu-plugins, קבצי PHP לא מוכרים ומשימות WP-Cron שמשחזרות קבצים שנמחקו. ויש סיכוי שנוצרו גם מנהלים לא מורשים.
BleepingComputer מוסיף שהנוזקה מנסה לגנוב כניסות לוורדפרס, עוגיות ותפקידי משתמשים. היא מחפשת גם סודות 2FA של תוספי אבטחה ופרטי מסד נתונים מהקובץ wp-config.php. בנוסף, היא מחפשת סיסמאות SMTP ונתוני הזמנות של WooCommerce מהחודשים האחרונים. לפי הדיווח, הכוונה לשלושה חודשים, כולל אמצעי התשלום.
אילו גרסאות של תוספי ShapedPlugin פגועות ומה התיקון
לפי הודעות האבטחה של ShapedPlugin, הגרסה הפגועה של Product Slider Pro היא 3.5.2, והנקייה היא 3.5.3 ואילך. ב-Smart Post Show Pro הפגועה היא 4.0.1, והנקייה היא 4.0.2 ואילך.
ב-Real Testimonials Pro הפגועות הן 3.2.4 וגם 3.2.5, אבל רק אם הורדתם או עדכנתם אותה בין 12 ל-16 ביוני 2026. גרסה 3.2.5 שהותקנה לפני 12 ביוני נקייה. הגרסה הנקייה היא 3.2.6 ואילך. BleepingComputer מציין גבולות רחבים במקצת, ולכן כדאי לעדכן לגרסה האחרונה בכל מקרה.
הציר: מהחדירה ועד הדיווח ב-18 ביוני
לפי ההודעה על Real Testimonials Pro, חבילה זדונית של גרסה 3.2.4 הופיעה סביב 16 במאי. החברה הסירה אותה ב-23 במאי והוציאה את 3.2.5 הנקייה. ב-12 ביוני התוקפים שינו את הקובץ של 3.2.5 בלי להחליף את מספר הגרסה. ב-16 ביוני החברה זיהתה זאת והוציאה את 3.2.6.
לקוחות דיווחו על עדכונים חשודים כבר ב-10 ביוני, לפי BleepingComputer. ב-12 ביוני אישרה חברת Wordfence את הפריצה אחרי שהורידה תוספים נגועים מאתר ShapedPlugin. לפי BleepingComputer, האירוע קיבל את המזהה CVE-2026-10735.
מה זה אומר עבורכם
- בדקו אילו תוספי Pro אצלכם: חפשו את Product Slider Pro, Real Testimonials Pro ו-Smart Post Show Pro באתרים שאתם מנהלים, כולל אתרי לקוחות.
- עדכנו: עברו ל-3.5.3, ל-3.2.6 או ל-4.0.2 ואילך. אם יש לכם גיבוי נקי מלפני ההתקנה הפגועה, אפשר לשחזר אותו ואז לעדכן.
- חפשו את סימני הנוזקה: בדקו את התיקייה woocommerce-subscription, את האפשרות theme_options_scripts במסד, קבצי PHP לא מוכרים ב-mu-plugins ומנהלים שלא יצרתם.
- החליפו כל מפתח וסיסמה: עדכנו את המפתחות ב-wp-config.php ואת סיסמאות וורדפרס, האחסון, ה-FTP, ה-SSH והמסד. בנו מחדש את 2FA.
- בחנות WooCommerce, הניחו חשיפה: אם הותקנה גרסה פגועה, הניחו שנתוני ההזמנות האחרונות בסיכון. החליפו גם מפתחות SMTP, ושקלו לבדוק עם ספק התשלומים.
מה קרה מאז
ב-7 ביולי 2026 אישרה ShapedPlugin את האירוע בהודעה ל-BleepingComputer. לדבריה, היא הוציאה את תשתית ההפצה מהאוויר ובנתה אותה מחדש. היא גם העבירה את קבצי המוצרים לשרתי AWS מבודדים והחליפה סיסמאות. החברה לא מצאה עדות לגישה לנתוני לקוחות במערכות שלה, והבדיקה נמשכת.
מקורות והרחבה
- ShapedPlugin update flow hacked to infect WordPress sitesBleepingComputer
- Security Advisory: Real Testimonials Pro 3.2.4 and 3.2.5 compromiseShapedPlugin
- Woo Product Slider Pro security advisoryShapedPlugin
- WordPress security advisory: Smart Post Pro 4.0.1 compromiseShapedPlugin
- PSA: Supply chain compromise targets ShapedPluginWordfence
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
