В 2026 году главная угроза для сайтов на WordPress приходит не от хакеров, ломающих пароли, а от самих разработчиков плагинов. Точнее, от тех, кто покупает эти плагины. За последние полгода сообщество пережило две крупные волны supply chain атак, и это изменило правила игры.
Как работает атака через смену владельца
Схема проста и цинична. Злоумышленники покупают популярный плагин на биржах вроде Flippa. Новый «владелец» получает доступ к репозиторию и аккуратно внедряет вредоносный код. Он может месяцами ждать в тени, как это было с 31 плагином EssentialPlugin, где бэкдор активировался только в апреле 2026 года.
По данным Patchstack, в 2025 году было зафиксировано 11 334 новые уязвимости в WordPress, и 91% из них — в плагинах. Медианное время до начала массовой эксплуатации критических дыр сократилось до 5 часов.
Реальные кейсы 2026 года
| Инцидент | Что произошло | Масштаб |
|---|---|---|
| EssentialPlugin | 31 плагин с бэкдором, активированным через 8 месяцев после покупки | Тысячи сайтов, удаление из репозитория |
| ShapedPlugin | Вредоносный код в Pro-версиях через официальные каналы обновления | Более 400 000 активных установок |
| WPMU DEV Dashboard | Уязвимость CVE-2026-76581 позволяла получить права администратора | Критический уровень, требовал срочного патча |
Почему WordPress.org не панацея
Репозиторий WordPress.org проверяет код при первом добавлении, но не отслеживает смену владельцев и не требует обязательной двухфакторной аутентификации для разработчиков. Инициатива Protect The Shire, запущенная в июне 2026 года, призвана закрыть эти дыры, но пока она находится в ранней стадии.
«2026 год — это период напряжения между желанием обновляться быстро и необходимостью проверять каждое обновление», — отмечают в Patchstack.
Как защитить клиентские сайты
- Отключите автоматические обновления для плагинов, которые не обновлялись более года.
- Перед обновлением читайте changelog. Если вендор сменился, а версия выросла незначительно — это красный флаг.
- Используйте WAF на уровне сервера, а не только плагинный фаервол.
- Проверяйте целостность файлов через хэш-суммы на staging перед деплоем на прод.
Безопасность в 2026 году — это не установка одного плагина. Это паранойя, помноженная на системный подход.
