# 4+1 урока от масовата атака срещу български WooCommerce магазини

Христо Ласков · 2026-02-16 · Блог, CEO/Manager

Вместо да празнуват Св. Валентин или Трифон Зарезан, собствениците на стотици български онлайн магазини прекараха втория уикенд на февруари в чистене на последствия от хакреска атака.

Става дума за няколко уязвимости в един от най-използваните тракинг модули за WordPress – [PixelYourSite, включително PRO версията му](https://freedomonline.bg/kritichna-xss-uyazvimost-v-pixelyoursite-e-izpolzvana-kato-vektor-za-ataka-sreshtu-balgarski-woocommerce-magazini/).

В електронната търговия винаги има напрежение между usability и security.

Когато трябва да изберем, често избираме удобството. Напълно човешко е.

Обикновено плащаме цената малко по-късно под формата на принудително спиране на магазина и загуба на поръчки, респективно - пари.

Този случай го показа ясно.

Уроците, които научихме за пореден път, са:

WooCommerce има роля Shop Manager. Тя е създадена точно за работа с поръчки. Въпреки това масово се работи с Administrator.

Когато зловреден код се изпълни в сесия с администраторски права, последствията са директни: нов админ, бекдор, пълен контрол.

Не защото плъгинът е „всемогъщ“. А защото му даваме среда с максимални права.

Stored XSS в този случай се активира при отваряне на поръчка.

Фалшива поръчка. Българско име. Нищо подозрително на пръв поглед. Отваряш я.

И всъщност стартираш атаката. В електронната търговия сме свикнали да гледаме на checkout-а като на бизнес поток.

Нападателите го гледат като входна точка.

Двуфакторна автентикация? „Да, ще я включим.“

Cloudflare Zero Trust? „Имаме го в плана.“

Реалността е проста: ако сесията на администратор е защитена с 2FA и има допълнителни ограничения, атаката става значително по-трудна за ескалация (дори и да се създаде зловреден администраторски акаунт, той е неизползваем).

**4. Не се доверяваме сляпо на външни модули**

Маркетингов плъгин. Тракер. Интеграция с рекламни платформи. Звучи безобидно.

Но всеки модул, който записва входящи данни и има достъп до админ панела, е част от attack surface-а.

Supply chain рискът вече не е теория. Той е ежедневие.

Уязвимости винаги ще има. И те винаги ще бъдат експлоатирани.

Въпросът не е дали ще се появят, а дали ще ги засечем навреме.

Логове, Аларми при създаване на нов администратор. Мониторинг на необичайни POST заявки.

Проследяване на промени по файловата система.

**Ако имаш видимост, имаш шанс да ограничиш щетите. Ако нямаш — разчиташ на късмет.**

### Какво незабавно трябва да направите:

- проверете кой какви права има в магазина ви

- 3 пъти мерете, 1 път режетe, преди да отворите каквото и да било

- не отлагайте базови мерки за сигурност

- не приемайте  външния код като „доверен по подразбиране“, евтиното винаги излиза скъпо

Сигурността е процес.

---

Canonical: https://centio.bg/pixel-your-site-woocommerce-attack