Атака на ланцюг постачання — один із найнебезпечніших і найскладніших для виявлення видів кіберзагроз. Замість того, щоб штурмувати укріплений периметр компанії, зловмисники компрометують довіреного постачальника програмного забезпечення, оновлень, бібліотек коду чи хмарних сервісів — і через нього потрапляють одночасно до тисяч організацій.

У 2025 році кількість таких інцидентів подвоїлася, а збитки від найбільших із них вимірюються мільярдами доларів. Україна на власному прикладі знає, чим закінчуються подібні кампанії: атака NotPetya у 2017 році, що почалася через українську бухгалтерську програму, стала однією з найруйнівніших кіберподій в історії.

Що таке атака на ланцюг постачання

Сучасна організація — це не ізольована фортеця. Її ІТ-інфраструктура побудована на десятках, а часом і сотнях зовнішніх компонентів: операційних системах, антивірусному ПЗ, бухгалтерських програмах, бібліотеках із відкритим кодом, SaaS-платформах, інструментах для розробників, постачальниках хмарних послуг. Усі ці елементи об’єднує одне — їм за замовчуванням довіряють. Саме на цій довірі й паразитують ініціатори загроз.

Атака на ланцюг постачання (англ. supply chain attack) — це кіберінцидент, у якому зловмисник проникає до цільової організації не напряму, а через скомпрометованого постачальника або компонент, що використовується в її роботі. Замість того, щоб атакувати добре захищену корпоративну мережу, нападники шукають найслабшу ланку в ланцюзі — стороннього вендора, відкритий пакет коду, оновлення програмного забезпечення — і через нього отримують доступ одразу до всіх його клієнтів.

За даними OWASP, ризик збоїв у ланцюзі постачання ПЗ у 2025 році очолив рейтинг найкритичніших загроз для веб-застосунків — рівно половина опитаних експертів поставила цю категорію на перше місце. Згідно з галузевими дослідженнями, близько 30 % усіх витоків даних сьогодні так чи інакше пов’язані з третіми сторонами або компрометацією ланцюга постачання, а середня вартість усунення наслідків такого інциденту перевищує 4,9 млн доларів.

Як працює атака на ланцюг постачання

Логіка такої атаки проста й елегантна — у цьому й полягає її небезпека. Зловмисники не намагаються пробити лобом захист великої корпорації чи державної установи. Натомість вони знаходять компанію або проєкт, який забезпечує цільову організацію певними послугами або ПЗ, і компрометують саме його. Далі шкідливий код розповсюджується через легітимні, підписані канали — як звичайне оновлення, нова версія бібліотеки чи стандартна інтеграція API.

Класичний сценарій складається з кількох етапів:

• Розвідка. Зловмисники аналізують екосистему цільової організації, шукаючи постачальників із найслабшим захистом, але максимальним рівнем доступу — зазвичай це компанії, що надають інструменти моніторингу, оновлення, керування ідентифікацією.
• Компрометація постачальника. Атакувальники проникають в інфраструктуру вендора через фішинг, експлуатацію вразливостей, викрадення облікових даних розробників або соціальну інженерію.
• Впровадження бекдору. У легітимний продукт — оновлення, бібліотеку, плагін чи інтеграцію — вбудовується шкідливий код. Часто він підписаний справжнім цифровим сертифікатом постачальника, через що системи безпеки сприймають його як довірений.
• Масове розповсюдження. Скомпрометована версія потрапляє до клієнтів через звичайні канали — серверне оновлення, репозиторій пакетів, маркетплейс розширень. Один інцидент може зачепити тисячі організацій одночасно.
• Постексплуатація. Отримавши плацдарм у мережах жертв, нападники розгортають додаткове шкідливе ПЗ, викрадають дані, шифрують системи або встановлюють постійний прихований доступ для подальших операцій.

Чому такі атаки настільки небезпечні

Атаки на ланцюг постачання обходять відразу кілька рівнів захисту. Antivirus та EDR-рішення довіряють підписаним оновленням від відомих вендорів. Системи контролю доступу пропускають трафік від легітимних інструментів, які вже мають високі привілеї в інфраструктурі. CI/CD-пайплайни автоматично завантажують нові версії бібліотек із публічних репозиторіїв без додаткової перевірки.

Ще одна особливість — ефект мультиплікатора. Один скомпрометований постачальник миттєво перетворюється на сотні чи тисячі заражених організацій. Атакувальники витрачають ресурси на одну операцію, а отримують доступ до десятків галузей одночасно — від банків і державних установ до критичної інфраструктури.

До того ж такі атаки часто залишаються невиявленими місяцями. У випадку SolarWinds зловмисники мали доступ до мереж жертв близько року, перш ніж їх помітили. Це дає достатньо часу, щоб ретельно вивчити внутрішні системи, викрасти конфіденційні дані та закріпити присутність.

Основні різновиди атак на ланцюг постачання

Компрометація програмного забезпечення

Найпоширеніший і найвідоміший сценарій. Атакувальники проникають у систему збірки чи розповсюдження ПЗ постачальника й вбудовують шкідливий код у легітимні релізи. Жертва встановлює оновлення, довіряючи цифровому підпису, — і отримує бекдор у власну мережу. Саме за такою схемою розгорталися інциденти SolarWinds, NotPetya та CCleaner.

Атаки на пакети з відкритим кодом

Сучасна розробка майже повністю спирається на open-source — npm, PyPI, RubyGems, Maven. Один популярний пакет може бути задіяний в мільйонах проєктів. Зловмисники компрометують облікові записи мейнтейнерів, публікують шкідливі версії популярних бібліотек або створюють пакети-двійники зі схожими назвами (так звані typosquatting-атаки). У 2025 році саморозповсюджуваний хробак Shai-Hulud заразив сотні npm-пакетів, викрадаючи токени GitHub та npm із систем розробників.

Атаки на CI/CD та інструменти розробників

Окремий тренд останніх років — компрометація автоматизованих систем збірки. У березні 2025 року атакувальники зламали популярний GitHub Action tj-actions/changed-files і модифікували його код, через що в публічних логах опинилися секрети тисяч проєктів. Інцидент призвів, зокрема, до компрометації частини інфраструктури Coinbase. Це показало, що ризики переходять від коду до самих автоматизованих процесів його доставки.

Зловживання SaaS-інтеграціями та OAuth-токенами

У серпні 2025 року стало відомо про масштабну компрометацію інтеграції між Salesloft та Drift. Атакувальники отримали OAuth-токени оновлення, які організації видавали для роботи Drift, і використали їх для доступу до даних понад 700 компаній — без шкідливого ПЗ і без жодних викрадених паролів. Жертвами стали платформи Salesforce, хмарні системи, корпоративна пошта.

Апаратні атаки

Менш помітний, але не менш небезпечний напрям — підміна або модифікація обладнання на етапі виробництва, транспортування чи обслуговування. У 2024 році Міністерство юстиції США оголосило обвинувачення у справі про багаторічне постачання контрафактного мережевого обладнання Cisco з Китаю до американських лікарень, шкіл і навіть систем, що обслуговували винищувачі F-15, F-18, F-22 і бомбардувальники B-52.

Український прецедент: NotPetya та M.E.Doc

27 червня 2017 року в Україні почалася подія, яку згодом назвуть найруйнівнішою кібератакою в історії. Десятки великих компаній, банки, аеропорти, метрополітен, державні установи, навіть системи моніторингу радіації Чорнобильської АЕС — усе одночасно вийшло з ладу. Шкідливе ПЗ, яке згодом отримало назву NotPetya, маскувалося під вимагач, але насправді було вайпером — інструментом, призначеним не для отримання викупу, а для безповоротного знищення даних.

Точкою входу стала українська бухгалтерська програма M.E.Doc від компанії «Інтелект-Сервіс» — фактично стандартне рішення для подання податкової звітності, встановлене майже на кожному підприємстві країни. За даними дослідників ESET та Cisco Talos, бекдор у механізмі оновлення M.E.Doc існував щонайменше з квітня–травня 2017 року. Російське хакерське угруповання Sandworm (підрозділ ГРУ) використало довірений канал доставки оновлень, щоб одночасно заразити тисячі організацій.

Опинившись у мережі, NotPetya розповсюджувався автоматично за допомогою експлойта EternalBlue (вразливість у протоколі SMB Windows) та інструмента Mimikatz, який витягував облікові дані з пам’яті. Швидкість була шокуючою: мережа великого українського банку лягла за 45 секунд, частина транспортного хабу — за 16. Близько 80 % уражених систем перебували в Україні, але епідемія перекинулася на 60+ країн через міжнародні підрозділи компаній.

Глобальні втрати оцінили щонайменше у 10 млрд доларів. Maersk зазнав збитків на 250–300 млн, Merck — на 870 млн, FedEx (TNT Express) — на 400 млн, Saint-Gobain — на 384 млн доларів. За оцінкою РНБО та галузевих експертів, NotPetya на три дні зупинив третину української економіки, а прямі збитки для країни сягнули сотень мільйонів доларів. Офіс директора національної розвідки США та британський NCSC офіційно атрибутували атаку російському ГРУ.

NotPetya став хрестоматійним прикладом того, як одна скомпрометована третя сторона — навіть невелика родинна ІТ-компанія — може стати інструментом нанесення стратегічної шкоди в кіберпросторі.

Інші резонансні атаки на ланцюг постачання

SolarWinds (2020)

Російське угруповання APT29 (Cozy Bear), пов’язане зі Службою зовнішньої розвідки РФ, скомпрометувало інфраструктуру збірки платформи моніторингу мереж SolarWinds Orion і вбудувало бекдор SUNBURST у легітимні оновлення продукту. Шкідливе ПЗ потрапило приблизно до 18 000 клієнтів, серед яких — десятки федеральних відомств США, Microsoft, FireEye, корпорації зі списку Fortune 500. Атакувальники мали прихований доступ до мереж жертв близько року, перш ніж її виявила компанія FireEye у грудні 2020 року.

Атаки на британську роздрібну торгівлю (2025)

Навесні 2025 року угруповання Scattered Spider у партнерстві з операторами шифрувальника DragonForce провело скоординовану кампанію проти найбільших британських ритейлерів. Marks & Spencer постраждав від атаки на VMware ESXi-сервери, через що довелося зупинити онлайн-замовлення та сервіс Click & Collect у понад 1000 магазинах. Удару зазнали також Harrods, Co-op і Dior.

Ingram Micro (липень 2025)

Один зі світових ІТ-дистриб’юторів зазнав атаки шифрувальника від групи SafePay. Зловмисники викрали 3,5 ТБ конфіденційних даних і зашифрували системи, що спричинило багатоденний глобальний збій у платформах для замовлень, ліцензування та партнерських інтеграцій. Оскільки Ingram Micro перебуває в центрі технологічного ланцюга постачання, наслідки відчули реселери, MSP-провайдери та вендори по всьому світу.

Shai-Hulud (npm, 2025)

Самопоширюваний хробак, що став, за оцінкою фахівців, головною подією року в галузі. Шкідливе ПЗ скрізь шукало секрети — токени GitHub, npm, ключі API — і публікувало їх у відкритих репозиторіях. Друга хвиля наприкінці 2025 року отримала функцію вайпера: якщо хробак не знаходив дійсних токенів, він стирав файли користувача. Один із наслідків — крадіжка криптовалюти на 8,5 млн доларів у користувачів Trust Wallet через підмінене розширення в Chrome Web Store.

Як захищатися: рекомендації для організацій

Повністю усунути ризик атаки на ланцюг постачання неможливо — будь-яка сучасна ІТ-інфраструктура спирається на десятки зовнішніх компонентів. Але цей ризик можна суттєво знизити, якщо систематично працювати з довірою до постачальників і впроваджувати багаторівневий захист.

• Архітектура нульової довіри (Zero Trust). Жодному компоненту — навіть внутрішньому — не довіряти за замовчуванням. Кожен запит і кожне з’єднання мають проходити автентифікацію та авторизацію.
• Інвентаризація залежностей (SBOM). Постійно вести облік усіх компонентів — клієнтських і серверних, бібліотек і фреймворків. Без розуміння того, з чого складається ваш стек, неможливо швидко відреагувати на новину про компрометацію конкретного пакета.
• Перевірка постачальників. Оцінювати рівень кібербезпеки вендорів перед інтеграцією, фіксувати вимоги в договорах, регулярно проводити повторні аудити. Особливу увагу приділяти тим постачальникам, чиє ПЗ матиме високі привілеї у вашій мережі.
• Сегментація та обмеження привілеїв. Засоби моніторингу та керування на кшталт SolarWinds Orion отримують широкий доступ до інфраструктури — це робить їх ідеальною мішенню. Мікросегментація мережі обмежує можливості зловмисника рухатися горизонтально навіть після успішного проникнення.
• Багатофакторна автентифікація та апаратні ключі. Особливо для облікових записів розробників, мейнтейнерів open-source-пакетів і всіх привілейованих користувачів. Більшість великих атак на npm 2025 року починалася з фішингу та компрометації одного маейнтейнера.
• Закріплення версій та підписаний код. Не використовувати «найсвіжішу» версію бібліотеки автоматично — фіксувати конкретні версії, перевіряти підписи, проганяти оновлення через staging-середовище перед розгортанням у продакшен.
• Моніторинг аномалій. SIEM-системи, контроль за активністю в Active Directory, інструменти запобігання витоку даних (DLP). Підозріла поведінка довіреного інструмента — найважливіший сигнал, який часто є єдиним способом виявити атаку.
• Резервне копіювання. Бекапи мають бути регулярними, актуальними та зберігатися в ізольованому середовищі. Урок Maersk: компанію врятувала лише копія Active Directory, що випадково вціліла на сервері в Гані, який перед атакою був офлайн через перебої з електропостачанням.

А що робити звичайному користувачеві?

Атаки на ланцюг постачання — переважно загроза для організацій, але деякі принципи захисту корисно застосовувати й приватним користувачам. Завантажуйте програми лише з офіційних магазинів і сайтів виробників. Уникайте піратських копій ПЗ і неперевірених розширень для браузерів — саме через них найчастіше потрапляють трояни. Вмикайте автоматичне оновлення операційної системи та антивірусу, але обережно ставтеся до маловідомих утиліт, що просять надати широкі привілеї.

Висновок

Атаки на ланцюг постачання — це системна проблема цифрової економіки, побудованої на взаємній довірі між тисячами компаній і відкритих проєктів. Кожна нова інтеграція, кожна стороння бібліотека, кожне автоматичне оновлення — це водночас зручність і потенційний вектор атаки. Кейси NotPetya, SolarWinds, Shai-Hulud та інших великих інцидентів останніх років доводять: одного скомпрометованого вендора достатньо, щоб поставити під удар цілі галузі.

Для організацій це означає необхідність переосмислити саму концепцію довіри в ІТ-інфраструктурі — від архітектури нульової довіри до прискіпливого аудиту партнерів. Для держав — потребу в національних стратегіях кіберзахисту, що враховують ризики залежності від іноземного ПЗ. Для України, що десятиліттями перебуває в епіцентрі російських кіберагресій, це не теоретичне питання, а пряме питання національної безпеки.

Ця стаття Атака на ланцюг постачання: як зловмисники проникають через довірених партнерів раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Компанія Disc Soft Limited — розробник популярного емулятора оптичних дисків DAEMON Tools — підтвердила, що її інфраструктуру було скомпрометовано в результаті атаки на ланцюг постачання. Зловмисники впродовж місяця поширювали з офіційного сайту троянізовані інсталятори безкоштовної версії DAEMON Tools Lite, які заражали системи користувачів бекдорами та інфостилерами. Розробники випустили оновлену версію 12.6, що не містить шкідливого коду.

Що сталося: атака на ланцюг постачання

За даними Disc Soft, у білд-середовищі компанії було зафіксовано несанкціоноване втручання, через яке частина інсталяційних пакетів вийшла у скомпрометованому стані. 5 травня вийшла версія DAEMON Tools Lite 12.6, що не містить підозрілих файлів.

«Менш ніж за 12 годин після виявлення проблеми ми змогли впровадити рішення. За результатами поточного аналізу інцидент стосувався виключно безкоштовної версії DAEMON Tools Lite та не вплинув на жоден з інших наших продуктів», — повідомили в Disc Soft.

У компанії наголосили, що не мають підтверджень заяв про ураження всіх користувачів DAEMON Tools, а платні версії — DAEMON Tools Pro та DAEMON Tools Ultra — не постраждали. Disc Soft підтвердила, що інфраструктуру вдалося убезпечити, проте на цьому етапі компанія не атрибутує атаку конкретним ініціаторам загроз і не розкриває вектор первинного доступу — розслідування триває.

Хто в зоні ризику: користувачам безкоштовної Lite з 8 квітня

Інцидент стосується тих, хто завантажував або встановлював DAEMON Tools Lite версії 12.5.1 (free) починаючи з 8 квітня. Таким користувачам розробник радить:

• видалити застосунок;
• провести повне сканування системи актуальним антивірусним або захисним ПЗ;
• завантажити та встановити нову версію DAEMON Tools Lite 12.6 виключно з офіційного сайту.

Disc Soft видалила троянізовану збірку, яка більше не підтримується: тепер під час її запуску відображається попередження з пропозицією оновитися до актуальної версії.

Як працював шкідливий код: дві стадії та RAT-вкладення

Атаку першими публічно описали аналітики Kaspersky. За їхніми даними, троянізовані інсталятори (версії від 12.5.0.2421 до 12.5.0.2434) мали дійсний цифровий підпис і поширювалися саме з офіційного сайту, що убезпечувало їх від базових перевірок репутації. Вкладений у бінарники шкідливий код розгортав корисне навантаження, яке закріплювалося в системі та активувало бекдор під час старту ОС.

На першій стадії в систему доставлявся простий інфостилер. Він збирав дані для профілювання жертви — ім’я хоста, MAC-адресу, перелік запущених процесів та встановленого ПЗ, мовну локаль системи — й передавав їх на сервери, підконтрольні зловмисникам. На основі результатів частина інфікованих пристроїв отримувала другу стадію: легкий бекдор, здатний виконувати команди, завантажувати файли та запускати код безпосередньо в пам’яті.

Щонайменше в одному випадку дослідники зафіксували розгортання QUIC RAT — шкідливого ПЗ для віддаленого доступу, яке вміє ін’єктувати код у легітимні процеси та підтримує кілька протоколів зв’язку.

Масштаб: понад 100 країн та тисячі заражених пристроїв

За оцінками дослідників, троянізовані інсталятори DAEMON Tools Lite з 8 квітня встановили на тисячах систем у понад 100 країнах. Серед уражених — організації роздрібної торгівлі, наукові, державні та промислові структури в Росії, Білорусі та Таїланді, а також домашні користувачі в Україні, Росії, Бразилії, Туреччині, Іспанії, Німеччині, Франції, Італії та Китаї.

В оновленні до початкового звіту дослідники підтвердили, що версія DAEMON Tools Lite 12.6.0.2445, випущена після їхнього розкриття, більше не демонструє шкідливої поведінки.

Що це означає для користувачів в Україні

Інцидент із DAEMON Tools — типова атака на ланцюг постачання: цифровий підпис розробника та офіційний сайт у цьому сценарії не є гарантією безпеки. Зокрема:

• якщо ви встановлювали DAEMON Tools Lite 12.5.1 (free) з 8 квітня, варто негайно перевірити пристрій і оновити програму до 12.6;
• рекомендуємо перевірити журнали мережевої активності на наявність підозрілих з’єднань з невідомими серверами;
• фахівцям з кібербезпеки в організаціях варто врахувати індикатори компрометації, опубліковані дослідниками, у системах виявлення;
• про підозру на компрометацію корпоративних систем слід повідомити CERT-UA (cert.gov.ua) та, у разі шкоди, Кіберполіцію.

Окрема ремарка: серед дослідників, які першими описали цю атаку, — компанія Kaspersky (Лабораторія Касперського), що має російське походження. Користувачам та організаціям в Україні нагадуємо, що використання захисного ПЗ російського або білоруського походження (зокрема Kaspersky та Dr.Web) є небезпечним з огляду на безпекові ризики та чинні рекомендації українських державних регуляторів. Інформацію про індикатори компрометації краще брати з первинних звітів та звіряти з даними інших дослідницьких команд.

Як знизити ризик подібних атак

• Завантажуйте програмне забезпечення лише з офіційних джерел, але не покладайтеся виключно на цей критерій: атаки на ланцюг постачання спрямовані саме на легітимні канали дистрибуції.
• Підтримуйте захисне ПЗ та операційну систему в актуальному стані; вмикайте захист на основі поведінкового аналізу.
• Використовуйте принцип мінімальних привілеїв та окремий обліковий запис без прав адміністратора для повсякденної роботи.
• Вмикайте багатофакторну автентифікацію для критичних сервісів, щоб ускладнити подальше використання викрадених даних.
• Регулярно створюйте резервні копії важливих даних і зберігайте їх офлайн або в незалежному середовищі.
• Для організацій — впроваджуйте моніторинг кінцевих точок (EDR) та контроль вихідного мережевого трафіку, щоб швидше виявляти зв’язок з керувальними серверами.

Ця стаття DAEMON Tools підтвердили злам: інсталятори безкоштовної версії містили шкідливе ПЗ раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Невідомий зловмисник придбав на торговому майданчику Flippa портфель із понад 30 безкоштовних WordPress-плагінів з багаторічною репутацією — і додав до кожного з них прихований бекдор. Шкідливий код непомітно існував на сайтах вісім місяців, перш ніж був активований у квітні 2026 року. WordPress.org закрив усі 31 плагін в один день.

Купівля репутації: як усе починалося

Портфель плагінів під назвою Essential Plugin (раніше — WP Online Support) будувала індійська команда розробників починаючи з 2015 року. За понад десять років вони створили понад 30 безкоштовних плагінів із преміум-версіями: слайдери, галереї, таймери зворотного відліку, спливаючі вікна, тестимоніали тощо.

Наприкінці 2024 року доходи бізнесу впали на 35–45%, і один із засновників виставив весь портфель на продаж через майданчик Flippa. Покупець, відомий лише як «Kris» із досвідом у SEO, криптовалюті та гемблінг-маркетингу, придбав бізнес за шестизначну суму. Flippa навіть опублікував кейс-стаді про цей правочин у липні 2025 року.

Перший же SVN-коміт нового власника виявився бекдором. Засновник хостингової компанії Anchor Hosting Остін Гіндер опублікував у своєму блозі детальний опис атаки на ланцюг постачання.

Бекдор: вісім місяців очікування

8 серпня 2025 року новий власник випустив версію 2.6.7 плагіна Countdown Timer Ultimate. У журналі змін значилося лише «перевірка сумісності з WordPress 6.8.2». Насправді оновлення додавало прихований модуль, який дозволяв зловмисникові дистанційно керувати сайтом.

Шкідливий код нічого не робив протягом восьми місяців — аж до 5–6 квітня 2026 року, коли атака була активована. Модуль зв’язався із зовнішнім сервером і завантажив файл із назвою, навмисне схожою на стандартний файл WordPress. Далі у файл налаштувань сайту wp-config.php інжектувався масивний блок прихованого коду.

Шкідливе ПЗ показувало спам-посилання та підроблені сторінки лише пошуковим роботам — власники сайтів нічого не бачили. Щоб ускладнити блокування, зловмисники використовували адресу управляючого сервера, закодовану в смарт-контракті Ethereum: традиційне блокування домену не спрацювало б, адже нову адресу можна оновити прямо в блокчейні.

WordPress.org закрив усі плагіни за один день

7 квітня 2026 року команда WordPress.org Plugins Team остаточно закрила всі 31 плагін від автора essentialplugin. 8 квітня платформа примусово оновила плагіни на всіх сайтах до версії 2.6.9.1, яка нейтралізувала механізм зв’язку з сервером зловмисника. Однак примусове оновлення не очистило wp-config.php — якщо сайт вже встиг отримати шкідливий код, той продовжував працювати.

Список уражених плагінів

Перевірте свій сайт на наявність будь-якого з наведених нижче плагінів та негайно видаліть їх:

• Accordion and Accordion Slider
• Album and Image Gallery Plus Lightbox
• Audio Player with Playlist Ultimate
• Blog Designer for Post and Widget
• Countdown Timer Ultimate
• Featured Post Creative
• Footer Mega Grid Columns
• Hero Banner Ultimate
• HTML5 VideoGallery Plus Player
• Meta Slider and Carousel with Lightbox
• Popup Anything on Click
• Portfolio and Projects
• Post Category Image with Grid and Slider
• Post Grid and Filter Ultimate
• Preloader for Website
• Product Categories Designs for WooCommerce
• Responsive WP FAQ with Category (sp-faq)
• SlidersPack — All in One Image Sliders
• SP News And Widget
• Styles for WP PageNavi — Addon
• Ticker Ultimate
• Timeline and History Slider
• Woo Product Slider and Carousel with Category
• WP Blog and Widgets
• WP Featured Content and Slider
• WP Logo Showcase Responsive Slider and Carousel
• WP Responsive Recent Post Slider
• WP Slick Slider and Image Carousel
• WP Team Showcase and Slider
• WP Testimonial with Widget
• WP Trending Post Slider and Widget

Що робити: покроковий алгоритм дій

1. Перевірте список встановлених плагінів. У панелі керування WordPress перейдіть до розділу «Плагіни» і порівняйте з наведеним вище списком.
2. Деактивуйте та видаліть уражені плагіни. Не просто деактивуйте — видаляйте повністю. Шукайте альтернативи від перевірених авторів.
3. Перевірте файл wp-config.php. Відкрийте файл через файловий менеджер хостингу або FTP. Нормальний розмір — близько 3–4 КБ. Якщо файл значно більший (6+ КБ) або ви бачите незрозумілий код у кінці рядка require_once ABSPATH . wp-settings.php — сайт скомпрометований.
4. Якщо wp-config.php заражений — зверніться до фахівця. Просте видалення плагіна не допоможе: необхідне повне очищення сайту, перевірка всіх файлів і, можливо, відновлення з резервної копії, зробленої до 5 квітня 2026 року.
5. Перевірте резервні копії. Порівняйте розмір wp-config.php у резервних копіях за різні дати. Якщо резервні копії зберігаються на хостингу, звернення до служби підтримки допоможе встановити точний момент зараження.
6. Змініть паролі. Після очищення сайту змініть паролі адміністратора WordPress, бази даних та облікового запису хостингу.
7. Встановіть плагін безпеки. Плагіни на кшталт Wordfence або iThemes Security допоможуть виявляти підозрілі зміни файлів у майбутньому.
8. Відстежуйте сповіщення WordPress.org. Коли платформа закриває плагін через безпеку, у панелі адміністратора WordPress з’являється відповідне попередження. Ніколи не ігноруйте ці повідомлення.

Системна проблема: WordPress не перевіряє нових власників плагінів

Це вже не перший подібний випадок. Тижнем раніше аналогічна атака була виявлена з плагіном Widget Logic. У 2017 році покупець плагіна Display Widget (200 000 активних встановлень) так само впровадив спам-код після придбання.

WordPress.org не має жодного механізму для перевірки зміни власника плагіна. Ні сповіщення користувачів, ні додаткової перевірки коду при появі нового коміттера. Команда безпеки платформи відреагувала швидко після виявлення атаки — але між впровадженням бекдора і його виявленням минуло вісім місяців.

Цей інцидент ілюструє ключовий ризик ланцюжка постачання програмного забезпечення: навіть багаторічний надійний інструмент може стати загрозою після зміни власника. Перевіряйте, хто розробляє плагіни, які ви використовуєте, і стежте за змінами в їхньому авторстві.

Ця стаття Хтось купив 31 WordPress-плагін і вбудував бекдор у кожен з них раніше була опублікована на сайті CyberCalm, її автор — Побокін Максим