Masz sklep na WooCommerce i powiadomienia o zamówieniach przez Telegram? Sprawdź, czy nie używasz wtyczki „Bot for Telegram on WooCommerce”. Wykryto w niej krytyczną lukę CVE-2026-109516 (ocena 9,8 na 10). Ujawnili ją 28 października badacze z Wordfence i Patchstack.
Na czym polega problem?
- Wtyczka nie sprawdza, czy wiadomości, które do niej trafiają, naprawdę wysyła Telegram.
- Atakujący może podszyć się pod Telegram, wskazać dowolnego użytkownika – także administratora – i zalogować się na jego konto bez hasła.
- Nie chroni przed tym nawet logowanie dwuetapowe, bo atak omija zwykły formularz logowania.
Podatne są wszystkie wersje do 1.3.0 włącznie. Poprawki na razie nie ma, a WordPress.org wycofał wtyczkę z katalogu do czasu przeglądu. Nie słychać o masowych atakach, ale przy tej skali zagrożenia nie warto czekać.
Co zrobić?
- Jeśli masz tę wtyczkę – wyłącz ją i usuń.
- Przejrzyj listę administratorów i aktywne sesje, zmień hasła.
- Przy podejrzeniu włamania sprawdź pliki i ustawienia sklepu: płatności, wysyłki i konta klientów.
To dobry moment, żeby przejrzeć wszystkie wtyczki w sklepie. Każda dodatkowa to kolejne drzwi, które trzeba pilnować – a te, których nikt nie używa, najlepiej po prostu usunąć.
Zrobię audyt bezpieczeństwa sklepu lub strony (od 200 zł netto) albo zajmę się stałą opieką: aktualizacjami, kopiami zapasowymi i kontrolą wtyczek. Buduję też sklepy na WooCommerce – od 6990 zł netto, szczegóły w cenniku. Napisz do mnie.