OptinMonster WordPress Plaqini Haker Hücumuna Məruz Qaldı

Nə Baş Verdi

WordPress ekosistemi, milyonlarla veb-saytın etibar etdiyi məşhur plaqinləri hədəf alan böyük bir kiberhücumla sarsıldı. 15 iyun 2026-cı il tarixində ictimaiyyətə açıqlanan məlumatlara görə, Awesome Motive adlı şirkətə aid olan OptinMonster, TrustPulse və PushEngage plaqinləri, şirkətin məzmun paylama şəbəkəsi (CDN) üzərindən həyata keçirilən mürəkkəb bir təchizat zənciri hücumunun qurbanı oldu. Bu hücum, plaqinlərdən istifadə edən veb-saytlara, ziyarətçilərin və sayt administratorlarının məlumatlarını oğurlamaq üçün hazırlanmış zərərli bir JavaScript kodunun yeridilməsinə səbəb oldu.

Hadisə, kiber təhlükəsizlik firması Wordfence-dəki tədqiqatçılar tərəfindən aşkar edilib. Tədqiqatçılar, plaqinlərin normalda yükləməli olduğu qanuni bir JavaScript faylının, hakerlər tərəfindən idarə edilən və olduqca təhlükəli bir arxa qapı (backdoor) ehtiva edən bir versiyası ilə əvəz edildiyini fərq etdilər. Bu vəziyyət, plaqindən istifadə edən sayt sahiblərinin hər hansı bir dəyişiklik etməsinə və ya bir səhvə yol verməsinə ehtiyac qalmadan, saytlarının avtomatik olaraq yoluxması demək idi. Etibar etdikləri bir mənbədən gələn kodun əslində zərərli olması, təchizat zənciri hücumlarının nə qədər təhlükəli ola biləcəyini bir daha göstərdi.

Hücumun 12 iyun 2026-cı il tarixində başladığı və Awesome Motive-in təhlükəsizlik qrupları tərəfindən 14 iyun 2026-cı ildə nəzarət altına alındığı bildirilir. Bu iki günlük müddət ərzində, bu məşhur plaqinləri işlədən çox sayda WordPress saytının hakerlərin hədəfi halına gəldiyi düşünülür. Şirkət, hücumu aşkar etdikdən sonra sürətlə hərəkətə keçərək təsirlənən CDN-i sıradan çıxardı və təmiz faylların bütün istifadəçilərə avtomatik olaraq paylanmasını təmin etdi. Ancaq bu qısa müddət belə, hakerlərin əhəmiyyətli miqdarda məlumat toplaması və saytlar üzərində nəzarəti ələ keçirməsi üçün kifayət etmiş ola bilər.

Ələ Keçirilən Məlumatlar

Hücumun əsas məqsədi, təsirlənən veb-saytlardan həssas məlumatları sızdırmaq idi. Yeridilən zərərli JavaScript kodu, xüsusilə iki növ məlumatı hədəf almaq üçün hazırlanmışdı: forma məlumatları və administrator sessiya kukiləri (cookies).

İlk olaraq, kod saytdakı forma göndərişlərini gizlicə izləyirdi. Bu o deməkdir ki, bir ziyarətçi sayt üzərindəki bir əlaqə formasını, bülleten abunəliyi qutusunu və ya hər hansı bir məlumat daxiletmə sahəsini doldurduqda, daxil edilən bütün məlumatlar hakerlərin serverlərinə göndərilirdi. Ələ keçirilən məlumatlar arasında aşağıdakılar kimi şəxsi məlumatlar ola bilər:

• Adlar və soyadlar
• E-poçt ünvanları
• Telefon nömrələri
• İstifadəçilərin formalara daxil etdiyi hər cür digər xüsusi və ya həssas məlumat

Bu cür məlumatların oğurlanması, fişinq (phishing) hücumları, şəxsiyyət oğurluğu və digər fırıldaqçılıq fəaliyyətləri üçün istifadə edilə bilər. Ziyarətçilər, etibar etdikləri bir veb-sayta məlumat daxil etdiklərini düşünərkən, əslində məlumatlarını birbaşa kiber cinayətkarlara təqdim etmiş oldular.

İkinci və bəlkə də daha təhlükəli olan hədəf isə, WordPress idarəetmə panelinə daxil olmuş istifadəçilərin sessiya kukiləri idi. Hakerlər, bu kukiləri oğurlayaraq sayt administratorlarının sessiyalarını ələ keçirə bilirdilər. Bu, administrator şifrəsini bilmələrinə ehtiyac qalmadan, o an aktiv olan sessiyanı klonlayaraq idarəetmə panelinə tam giriş əldə etmələri demək idi. Administrator girişini ələ keçirən bir hakerin bir WordPress saytı üzərində edə biləcəklərinin demək olar ki, həddi yoxdur. Məsələn, yeni və gizli administrator hesabları yarada, saytın məzmununu dəyişdirə, ziyarətçiləri zərərli saytlara yönləndirə, sayta daha qalıcı zərərli proqramlar yükləyə və ya saytı bir botnetin bir hissəsinə çevirə bilərdilər. Bir sözlə, bu üsulla saytın bütün nəzarətini ələ keçirmiş olurdular.

Hücum Necə Baş Verdi

Bu hadisəni xüsusilə narahatedici edən şey, hücumun həyata keçirilmə formasıdır. Klassik bir veb-sayt hakerliyindən fərqli olaraq bu, bir təchizat zənciri hücumu idi. Hakerlər birbaşa minlərlə veb-saytı tək-tək hədəf almaq əvəzinə, bu saytların etibar etdiyi tək bir mərkəzi nöqtəni, yəni Awesome Motive-in məzmun paylama şəbəkəsini (CDN) hədəf aldılar.

Bir CDN, bir veb-saytın şəkil, CSS və JavaScript kimi statik fayllarını dünya miqyasında paylanmış serverlərdə saxlayaraq saytın daha sürətli yüklənməsini təmin edən bir xidmətdir. Əksər sayt sahibləri, bu xidmətlərə etibar edir və buradan gələn faylların təhlükəsiz olduğunu güman edirlər. Hakerlər də məhz bu etibardan sui-istifadə etdilər. Onlar bir şəkildə Awesome Motive-in CDN-inə sızmağı bacardılar və OptinMonster kimi plaqinlərin istifadə etdiyi qanuni JavaScript fayllarından birini, öz zərərli kodlarını ehtiva edən bir fayl ilə əvəz etdilər.

Mənbə xəbərində bildirildiyinə görə, zərərli kod //app.feedbackwp.com/beta/sdk.js ünvanından yüklənirdi. Bu plaqinlərdən istifadə edən hər hansı bir WordPress saytı, ziyarətçiyə səhifə yükləyərkən bu saxta faylı avtomatik olaraq çağırdı və işə saldı. Nəticədə, sayt sahibi və ya ziyarətçi heç bir şübhəli əməliyyat etməsə belə, sayt arxa planda hakerlərin kodunu işlətməyə başladı. Hücumun texniki təfərrüatları, yəni hakerlərin CDN-ə ilk olaraq necə sızdığına dair detallar hələ ictimaiyyətlə paylaşılmayıb. Ancaq nəticələri olduqca aydındır: etibarlı bir mənbədən gələn bir yeniləmə və ya fayl, minlərlə veb-saytı eyni anda yoluxdurmaq üçün bir Troya atı rolu oynadı.

Kimlər Təsirləndi

Hücumdan birbaşa təsirlənənlər, Awesome Motive tərəfindən hazırlanan və olduqca məşhur olan üç WordPress plaqinindən istifadə edən veb-saytlar idi:

• OptinMonster: Adətən e-poçt siyahısı yaratmaq, potensial müştərilər qazanmaq və konversiya nisbətlərini artırmaq üçün istifadə edilən bir marketinq plaqinidir. Milyonlarla veb-saytda aktiv olaraq istifadə edildiyi bilinir.
• TrustPulse: Ziyarətçilərə digər istifadəçilərin satın alma və ya qeydiyyatdan keçmə kimi hərəkətlərini göstərərək sosial sübut yaradan bir marketinq vasitəsidir.
• PushEngage: Veb-saytların ziyarətçilərinə ani bildirişlər (push notifications) göndərməsini təmin edən bir xidmətdir.

Bu plaqinlərin ortaq cəhəti, geniş bir istifadəçi kütləsinə sahib olmaları və adətən marketinq yönümlü saytlar tərəfindən seçilmələridir. Bu da o deməkdir ki, hücumdan təsirlənən saytlar arasında e-ticarət saytları, bloqlar, xəbər portalları və korporativ veb-saytlar kimi çox müxtəlif platformalar var. Təsirlənən ümumi sayt sayı və ya istifadəçi sayı haqqında hələ rəsmi bir rəqəm açıqlanmayıb, ancaq bu plaqinlərin məşhurluğu nəzərə alındıqda, potensial olaraq yüz minlərlə, hətta milyonlarla veb-saytın risk altında olduğu təxmin edilə bilər.

Nə Edə Bilərsiniz

Əgər veb-saytınızda OptinMonster, TrustPulse və ya PushEngage plaqinlərindən birini istifadə edirsinizsə, atmanız lazım olan bəzi addımlar var. Awesome Motive, problemi həll etmək üçün avtomatik olaraq təmiz faylları payladığını bildirsə də, ehtiyatı əldən verməmək vacibdir.

1. Saytınızın Mənbə Kodunu Yoxlayın: Brauzerinizdə saytınızı açın, sağ klikləyib "Səhifə Mənbəyini Göstər" seçimini edin. Açılan kod içində app.feedbackwp.com/beta/sdk.js ifadəsini axtarın. Əgər bu sətri tapsanız, saytınız hələ də zərərli kodu yükləyir ola bilər. Bu vəziyyətdə brauzer və sayt keşini təmizləmək ilk addım olmalıdır.
2. WordPress Administrator İstifadəçilərini Nəzərdən Keçirin: WordPress idarəetmə panelinizdəki "İstifadəçilər" bölməsinə gedin. Tanımadığınız və ya şübhəli görünən hər hansı bir administrator hesabı olub olmadığını yoxlayın. Hakerlər, sessiyanızı ələ keçirdikdən sonra özləri üçün gizli bir administrator hesabı yaratmış ola bilərlər. Şübhəli bir hesab tapsanız dərhal silin.
3. Şifrələrinizi Dəyişin: Bütün administrator və redaktor hesablarının şifrələrini dəyişmək yaxşı bir fikirdir. Sessiyanın oğurlanması birbaşa şifrə sızması demək olmasa da, bu bir ehtiyat tədbiri olaraq edilməlidir.
4. Saytınızı Təhlükəsizlik Skanından Keçirin: Wordfence, Sucuri və ya MalCare kimi bir WordPress təhlükəsizlik plaqini istifadə edərək saytınızda tam bir skan aparın. Bu alətlər, hakerlərin geridə buraxmış ola biləcəyi digər arxa qapıları və ya zərərli faylları aşkar etməyinizə kömək edə bilər.

Şirkət Nə Deyir

Hadisədən sonra Awesome Motive, istifadəçilərə və ictimaiyyətə bir açıqlama verdi. Şirkət, təhlükəsizlik qruplarının 14 iyun 2026-cı ildə CDN-lərindəki icazəsiz girişi aşkar edib əngəllədiyini təsdiqlədi. Açıqlamalarında, hakerlərin serverlərindən birinə sızaraq bəzi JavaScript fayllarını dəyişdirdiyini bildirdilər. Problemin mənbəyi olan CDN serverinin dərhal oflayn rejimə keçirildiyini və bütün müştərilərə təmiz faylların avtomatik olaraq təqdim edildiyini vurğuladılar.

Şirkətə görə, problem tamamilə həll edilmişdir və müştəri saytları artıq doğru və təhlükəsiz faylları təqdim edir. Awesome Motive, hadisənin təsirlərini azaltmaq üçün sürətlə hərəkət etdiklərini və gələcəkdə bənzər hadisələrin yaşanmasının qarşısını almaq üçün təhlükəsizlik tədbirlərini artırdıqlarını ifadə etdi. Ancaq, hücumun kök səbəbinə və ya hakerlərin CDN-ə necə giriş əldə etdiyinə dair daha çox texniki detal paylaşmadılar.

Mənbə

https://www.bleepingcomputer.com/news/security/optinmonster-wordpress-plugin-hacked-in-cdn-supply-chain-attack/