מתקפת Magecart חדשה: התוקפים השתילו קוד זדוני בתוך Stripe, ואף חנות לא חסמה זאת

שלב 3: שליחת המידע הגנוב בחזרה לאותו חשבון Stripe

ברגע שלקוח מזין את פרטי האשראי, מידע אישי וכתובת לחיוב, קוד הגניבה לוכד את הפרטים ושולח אותם חזרה לחשבון ה-Stripe של התוקף. המידע נשלח בצורה של רשומות לקוח מזויפות או ערכי מטה-דאטה, תוך שימוש באותו API של Stripe . מכיוון שתעבורת המידע הגנוב עוברת כולה ל-api.stripe.com, היא משתלבת לחלוטין עם קריאות ה-API הלגיטימיות של התשלום. הגניבה הופכת לבלתי נראית ליומני חומת האש ולכלי זיהוי חריגות .
על פי הממצאים, המבצע כולו פעיל לפחות מאז ה-24 בדצמבר 2025 .

למה דווקא מפתחות סודיים של מצב בדיקות?

מפתחות סודיים של מצב בדיקות (sk_test_...) מעניקים הרשאות קריאה וכתיבה מלאות בסביבת ארגז החול (Sandbox) של Stripe, ומאפשרים ליצור ללא הגבלה לקוחות מזויפים ושדות מטה-דאטה, וללא כל עלות . מכיוון שמפתחות אלו לעולם אינם מבצעים חיובים אמיתיים, קל מאוד להתעלם מניצולם לרעה. התוקפים מסתמכים על כך שארגונים רבים מתייחסים למפתחות בדיקה כאל סיכון נמוך ואינם מבקרים את הפעילות בסביבת הבדיקות באותה קפדנות שהם מיישמים לתעבורה האמיתית. איום דומה, אך מסוכן יותר, הוא חשיפת מפתחות סודיים אמיתיים (sk_live_...), שיעניקו לתוקף גישה ישירה לכספים אמיתיים .

CVE-2026-3300: פרצת אבטחה קריטית ב-Everest Forms Pro

בזמן שמתקפת Stripe מכוונת לעמודי תשלום, בעלי אתרי וורדפרס עומדים בפני איום דחוף לא פחות מפרצה בתוסף פופולרי, אשר נמצאת בניצול פעיל מאז אפריל 2026 .

הפרצה, שמספרה CVE-2026-3300, היא חולשת הזרקת קוד PHP המאפשרת לתוקף לא מזוהה להריץ קוד שרירותי על השרת. היא נמצאה בתוסף Everest Forms Pro, בונה טפסים מסחרי בעל כ-4,000 התקנות פעילות . החולשה זכתה לציון חומרה 9.8 (קריטי) בסולם CVSS, ומשפיעה על כל הגרסאות עד וכולל גרסה 1.9.12 .
הבאג ממוקם בפונקציה process_filter() שבתוסף החישובים (Calculation). כאשר האפשרות "חישוב מורכב" (Complex Calculation) מופעלת, התוסף לוקח ערכים מהשדות שהמשתמש מילא, מכניס אותם ישירות לתוך מחרוזת קוד PHP ומעביר אותה לפקודת eval() ללא עיבוד בטוח. הפונקציה sanitize_text_field() אינה מנטרלת גרש בודד (') או תווים מיוחדים אחרים, מה שמאפשר לתוקף "להימלט" מהמחרוזת המקורית ולהזריק קוד משלו . Wordfence דיווחו על למעלה מ-29,300 ניסיונות ניצול שזוהו ונחסמו, כולל ניסיונות ליצור חשבונות מנהל לא מורשים .

הצעות להתגוננות משני האיומים

חסימת שרשרת תקיפת Magecart דרך Stripe

• נעילת Google Tag Manager: הגבילו את מכולות ה-GTM לתגים מאושרים ומבוקרים בלבד, ודרשו תהליך אישור קפדני לפני פרסום .
• הקשחת מדיניות אבטחת תוכן (CSP): אל תצהירו על api.stripe.com כמקור מורשה לסקריפטים (script-src) אלא אם כן הכרחי. אם חובה לכלול אותו, אכפו שימוש בערכי גיבוב (SRI hashes) וחסמו סקריפטים פנימיים (inline scripts) .
• ביקורת פעילות Stripe: עקבו אחר לוח המחוונים של Stripe לאיתור יצירה חריגה של לקוחות או כתיבת מטה-דאטה תחת מפתחות מצב בדיקות. התייחסו לחריגות בארגז החול באותה רצינות כמו לחריגות במצב אמת.
• הגנה על מפתחות API: לעולם אל תטמיעו מפתחות סודיים של Stripe (של מצב בדיקות או אמת) בקוד צד-לקוח, במשתני GTM או במאגרים ציבוריים . החליפו כל מפתח שייתכן שנחשף .
• ניטור צד לקוח: הפעילו בדיקות תקינות בדפדפן המזהות מניפולציות בלתי מורשות על גבי עמודי התשלום .

תיקון פרצת Everest Forms Pro

• עדכון מיידי: שדרגו את התוסף Everest Forms Pro לגרסה 1.9.13 או חדשה יותר, המכילה את התיקון .
• נטרול פיצ'ר החישוב: אם לא ניתן לעדכן מידית, השבתו את אפשרות ה-"חישוב מורכב" (Complex Calculation) בהגדרות התוסף כפתרון זמני .
• סריקת סימני פריצה: חפשו חשבונות מנהל לא מוכרים, קבצים חריגים בשרת, פקודות eval() חשודות ותעבורת רשת לכתובות IP לא מזוהות. בצעו סריקת תקינות מלאה לקבצי הליבה, הערכות והתוספים של וורדפרס .