هجوم إلكتروني واسع على مئات مواقع التجارة الإلكترونية بسبب ثغرة في إضافات Magento

تم الكشف عن هجوم إلكتروني خطير استهدف مئات من مواقع التجارة الإلكترونية حول العالم، بسبب ثغرة في إضافات Magento تابعة لثلاث شركات: Tigren، Meetanshi، وMGS. وده بعد ما تم تنشيط كود خبيث كان نائم بقاله 6 سنين!

اكتشاف الثغرة

شركة Sansec المتخصصة في أمن المواقع الإلكترونية اكتشفت الثغرة لما أحد عملائها تعرض لهجوم. وبعد تحليل إضافات Magento اللي بيستخدمها، لقوا إن فيه 21 إضافة فيها باكدور يسمح للمهاجمين بالتحكم الكامل في الموقع وتنفيذ أوامر PHP عن بُعد.

قائمة الإضافات المصابة:

• Tigren Ajaxsuite
• Tigren Ajaxcart
• Tigren Ajaxlogin
• Tigren Ajaxcompare
• Tigren Ajaxwishlist
• Tigren MultiCOD
• Meetanshi ImageClean
• Meetanshi CookieNotice
• Meetanshi Flatshipping
• Meetanshi FacebookChat
• Meetanshi CurrencySwitcher
• Meetanshi DeferJS
• MGS Lookbook
• MGS StoreLocator
• MGS Brand
• MGS GDPR
• MGS Portfolio
• MGS Popup
• MGS DeliveryTime
• MGS ProductTabs
• MGS Blog

إزاي حصل الهجوم؟

Sansec قالت إن بعض الإضافات اتزرع فيها الكود الخبيث من سنة 2019، لكن ما تمش تفعيله غير في أبريل 2025. المهاجمين استغلوا ملف فحص الترخيص (license check file) في كل إضافة، وزرعوا فيه كود بيتيح لهم تنفيذ أوامر خبيثة وتحكم كامل عن بعد.

الإضافات دي كانت بتتوزع بشكل رسمي من خلال مواقع الشركات المصنعة، واللي غالبًا تم اختراقها في وقت سابق.

تأثير واسع النطاق

التقديرات بتقول إن الهجوم أثر على من 500 لـ 1000 موقع إلكتروني، ومن ضمنهم موقع تابع لشركة عالمية ضخمة قيمتها السوقية حوالي $40 مليار.

الهجوم أدى لاختراق بيانات حساسة زي معلومات العملاء والتعاملات المالية على المواقع المصابة.

ردود أفعال الشركات

• Tigren: أنكرت إنها اتعرضت لاختراق، ولسه بتعرض إضافات مصابة على موقعها.
• Meetanshi: اعترفت بوجود اختراق لموقعها، لكنها نفت إن الإضافات نفسها اتأثرت.
• MGS: ما ردتش خالص، رغم إن موقع BleepingComputer أكد وجود الباكدور في واحدة من الإضافات اللي لسه متاحة للتحميل مجانًا على موقعهم الرسمي.

لو بتستخدم Magento… اعمل ده فورًا:

لو موقعك فيه أي من الإضافات المذكورة، لازم تاخد إجراءات حماية فورًا:

• احذف الإضافات المشكوك فيها فورًا.
• راجع سجلات السيرفر (logs) لاكتشاف أي نشاط غير طبيعي.
• حدّث كل الإضافات الرسمية من مصادر موثوقة فقط.
• فحص أمني شامل لموقعك من خلال أدوات مثل Sansec أو أداة مراقبة خارجية.

الهجمات على سلاسل التوريد (supply chain attacks) زي دي بقت شائعة جدًا، والمواقع اللي بتعتمد على إضافات خارجية لازم تتابع التحديثات الأمنية باستمرار.