Vývojáři pluginu ShapedPlugin se v květnu 2026 stali obětí sofistikovaného útoku na dodavatelský řetězec. Útočníci pronikli do jejich sestavovací infrastruktury a do placených verzí tří oblíbených pluginů propašovali skrytý backdoor, který dokázal krást přihlašovací údaje i kódy dvoufaktorového ověření – a přitom se sám maskoval jako neviditelný pro administrátory webu.
Jak útok probíhal
Podle bezpečnostních výzkumníků došlo k prolomení automatizované sestavovací (build) infrastruktury společnosti ShapedPlugin přibližně 21. května 2026. Útočníci se dostali k distribučnímu kanálu Pro verzí přes systém Easy Digital Downloads na doméně account.shapedplugin.com a do aktualizací vložili škodlivý loader. Ten se spouštěl při každém načtení administrace WordPressu, stahoval payload ze vzdáleného serveru a instaloval jej jako falešný, skrytý plugin, který se dokázal schovat z přehledu nainstalovaných pluginů. Administrátoři tak o jeho přítomnosti vůbec nevěděli. Útok byl potvrzen až 11. června 2026, kdy výzkumníci stáhli a analyzovali balíčky přímo z distribučních serverů ShapedPluginu. Zranitelnost je vedená jako CVE-2026-10735 se skóre CVSS 9,8 z 10 – tedy v kategorii kritických. Takto dlouhá prodleva mezi proloením a odhalením není výjimkou – u supply chain útoků na sestavovací infrastrukturu bývá běžná, protože poškozený kód prochází stejným důvěryhodným kanálem jako legitimní aktualizace a klasické bezpečnostní skenery ho proto snadno přehlédnou.
Které pluginy jsou zasažené
Zasaženy jsou tři Pro pluginy: Smart Post Show Pro (napadená verze 4.0.1, opravena ve 4.0.2 a vyšší), Product Slider for WooCommerce Pro (verze starší než 3.5.4, opraveno v 3.5.3/3.5.4 a vyšší) a Real Testimonials Pro (přibližně verze 3.2.4, opraveno v 3.2.5 a vyšší). Důležité je, že problém se týká pouze placených Pro verzí distribuovaných přes vlastní obchod výrobce – bezplatné verze z WordPress.org zasaženy nejsou. ShapedPlugin má přes 400 000 aktivních instalací bezplatných produktů, takže i když přesný počet zasažených placených webů zatím není znám, potenciální dopad mezi platícími zákazníky je znaný.
Co dělat, pokud plugin používáte
Pokud na svém webu provozujete některý ze tří zmíněných pluginů v Pro verzi, okamžitě aktualizujte na opravenou verzi. Zkontrolujte seznam nainstalovaných pluginů i soubory na serveru – vzhledem k tomu, že backdoor se sám skrýval, nespoléhejte jen na administrační rozhraní. Proveďte reset všech hesel administrátorů a uživatelů s vyššími právy, znovu nastavte dvoufaktorové ověření a zkontrolujte seznam uživatelských účtů, zda se mezi nimi neobjevil neznámý administrátor. Pokud máte zálohu webu z doby před 21. květnem 2026, zvažte obnovení z čistého stavu a následnou instalaci pouze ověřených aktualizací.
Proč je to důležité i pro váš web
Útok na ShapedPlugin není ojedinělým případem – supply chain útoky na WordPress pluginy v posledních měsících přibývají, protože pro útočníky je snazší napadnout jednoho vývojáře pluginu než tisíce jednotlivých webů. Vzhledem k tomu, že WordPress pohoní přibližně dvě pětiny všech webů na internetu, představuje ekosystém pluginů obrovskou a lákavou útočnou plochu. Omezte počet nainstalovaných pluginů na nezbytné minimum, sledujte bezpečnostní oznámení výrobců a zvažte nasazení webového firewallu (WAF), který dokáže podezřelou aktivitu odhalit dříve, než způsobí škodu. Stejně tak se vyplátí vyžadovat od dodavatelů pluginů transparentnost ohledně zabezpečení jejich vlastní sestavovací infrastruktury – podepisování vydání, dvoufaktorové ověření pro přístup k distribučnímu systému a nezávislé bezpečnostní audity by u placených premium pluginů měly být standardem, ne výjimkou.
Jak poznat, že jste mohli být zasaženi
Kromě aktualizace na opravenou verzi se vyplátí projit i indikátory kompromitace. Podezřelé jsou zejména neobvykle pomalé načítání administrace WordPressu, neznámé soubory v adresářích pluginů s datem změny po 21. květnu 2026, neočekávané odchozí síťové připojení ze serveru nebo nové účty s právy administrátora, které jste sami nevytvořili. Pokud cokoli z toho objevíte, izolujte web (dočasně jej dejte do režimu údržby), proveďte kompletní sken škodlivého kódu a teprve poté obnovujte přístupy a hesla.
Není to jediný bezpečnostní incident tohoto měsíce
ShapedPlugin není jediný případ, který bezpečnostní komunitu v posledních týdnech zaměstnával. Kromě něj se řešil také útok na dodavatelský řetězec přes CDN, který zasáhl přes milion webů včetně populárního pluginu OptinMonster, kritická zranitelnost typu Arbitrary File Upload se skóre 10 z 10 v pluginu Blocksy Companion, nebo samostatná backdoor kampaň cílící na složku wp-content/mu-plugins, která se běžné kontrole pluginů úplně vyhýbá. Společným jmenovatelem je stejná taktika: útočníci se zaměří na jediného dodavatele nebo distribuční kanál a odtud pak zásobují škodlivým kódem desítky až stovky tisíc webů najednou.
Závěr
Pokud si nejste jistí, zda váš web nebyl zasažen, nebo chcete mít jistotu, že jsou vaše WordPress weby v bezpečí, ozvěte se nám – rádi provédeme bezpečnostní audit a nastavíme ochranu na míru. 👇
