הקובץ שנוחת על השרת הוא קובץ PHP קטן, ומי ששלח אותו לא התחבר לאתר, אין לו שם משתמש ואין לו סיסמה. הוא גם לא צריך אחד. התוסף מקבל את הקובץ מכל מי שפונה לכתובת הנכונה, ומהרגע שהוא נשמר הוא הופך לקוד שרץ על האתר עצמו.

מה קרה

החולשה מסומנת CVE-2026-27540 ונמצאת ב-WooCommerce Wholesale Lead Capture, תוסף בתשלום לחנויות וורדפרס שאוסף פניות של לקוחות סיטונאיים. לפי הפרסומים הפומביים הוא מותקן בכ-6,000 אתרים, ובסולם החומרה המקובל היא מדורגת 9.8 מתוך 10. את הבעיה דיווח החוקר Teemu Saarentaus, והיצרן פרסם תיקון בגרסה 2.0.3.2 עוד בפברואר השנה.

המנגנון עצמו פשוט להסבר. בתוסף יש כתובת פנימית שאפשר לפנות אליה בלי להתחבר לאתר, ושם הקובץ שנשלח אליה נבדק מול רשימת סיומות מותרות שהתוקף בעצמו יכול לשנות. כך קובץ PHP עובר את הבדיקה ונשמר על השרת. לסוג החולשה הזה קוראים unauthenticated arbitrary file upload.

מה שמועלה הוא בדרך כלל webshell, קובץ קטן שפותח לתוקף חלון פקודות מרוחק על השרת ומאפשר לו להמשיך משם לאן שירצה. גרסה אחרת של הניצול פשוט רושמת משתמש חדש עם הרשאות מנהל, בלי לגעת בקבצים בכלל. Wordfence, שמפעילה חומת אש לאתרי וורדפרס, מדווחת שחסמה יותר מ-100 אלף ניסיונות, עם גלים בולטים בין 4 ל-17 ביוני, ב-1 ביולי וב-30 באוגוסט.

למה זה חשוב לכם

חלק גדול מהחנויות הקטנות בישראל רצות על וורדפרס עם WooCommerce, ולא מעט מהן מורכבות מעשרה תוספים שהותקנו פעם אחת ואיש לא נגע בהם מאז. התוסף הזה במיוחד אוסף בדיוק את מה שתוקף מחפש: שמות, כתובות מייל, מספרי טלפון ופרטי עסק של לקוחות.

ומי שרק קונה? מבחוץ אין שום דרך לראות את זה. אתר פרוץ נראה בדיוק כמו אתר תקין, וההבדל מתגלה מאוחר, כשעמוד התשלום הוחלף בעותק ששולח את פרטי הכרטיס גם לתוקף.

מה עושים?

אם אתם מפעילים חנות וורדפרס, היכנסו לעמוד התוספים ובדקו אם WooCommerce Wholesale Lead Capture מותקן אצלכם. אם כן, עדכנו אותו לגרסה 2.0.3.2 או חדשה יותר. תוסף שאינכם משתמשים בו עדיף למחוק ולא רק לכבות, כי תוסף מושבת עדיין יושב על השרת.

פתחו את התיקייה wp-content/uploads וחפשו בה קבצים עם סיומת php. שם אמורים לשבת תמונות ומסמכים בלבד, וקובץ PHP במקום הזה הוא סימן לפריצה ולא תקלה טכנית.

עברו על רשימת המשתמשים בוורדפרס והסתכלו על החשבונות עם הרשאות מנהל. חשבון שאתם לא מזהים צריך להימחק, ומיד אחריו יש להחליף את כל הסיסמאות.

אם מצאתם אחד מהשניים, עדכון התוסף כבר לא מספיק. שחזרו את האתר מגיבוי שקדם לפריצה, ורק אחר כך עדכנו את התוסף בגרסה החדשה.

כקונים, שווה להשתמש בכרטיס אשראי שמוגדר לשלוח התראה מיידית על כל חיוב. זה לא מונע את הגניבה, אבל מקצר מאוד את הזמן שבין החיוב הראשון לבין החסימה.

התיקון זמין כבר שבעה חודשים. גל הניסיונות האחרון היה לפני שבועיים.