JavaScript-червь атакует Википедию: самораспространяющийся вредоносный код угрожает веб-проектам

hannadev

JavaScript-червь неожиданно поразил проекты Wikimedia Foundation. За 23 минуты он изменил около 3996 страниц на Meta-Wiki и перезаписал скрипты у 85 пользователей. Инцидент показывает риски пользовательских скриптов в вики-проектах.

Эта атака полезна для понимания уязвимостей в веб-разработке. Она поможет разработчикам оценить угрозы самораспространяющегося кода и укрепить защиту своих проектов. Мы разберём механизм, последствия и уроки для фронтенда.

Как запустился JavaScript-червь

Червь активировался 5 марта 2026 года случайно. Инженер по безопасности Wikimedia во время проверки пользовательского кода запустил скрипт с страницы в русской Википедии. Этот файл User:Ololoshka562/test.js лежал там с марта 2024 года и казался безобидным. После запуска код начал внедрять вредоносный загрузчик в персональный файл common.js редактора.

Дальше червь проверял права пользователя. Если их хватало, он пытался изменить глобальный MediaWiki:Common.js, который загружается для всех авторизованных посетителей. Так замыкалась цепочка: каждый новый редактор с правами подхватывал заражение. В результате страницы заполнялись фразами вроде «Закрываем проект» и скрытым вредоносным кодом. Атака длилась всего 23 минуты, но успела затронуть тысячи страниц.

Вот ключевые этапы распространения:

Первичная активация: Скрипт выполняется в браузере проверяющего.
Заражение пользователя: Добавляется загрузчик в common.js.
Глобальное заражение: Попытка правки MediaWiki:Common.js для всех.
Цикл повторения: Новые посетители запускают код заново.

Этап	Описание	Цель
1. Запуск	Выполнение test.js	Активация червя
2. Локальное заражение	Изменение common.js	Постоянный запуск у пользователя
3. Глобальное	Правка MediaWiki:Common.js	Распространение на всех
4. Вандализм	Правки страниц	Добавление вредоносного кода

Механизм работы в MediaWiki

В MediaWiki пользовательские скрипты - это мощный инструмент для редакторов. Файлы вроде common.js и MediaWiki:Common.js позволяют кастомизировать интерфейс через JavaScript. Но именно эта гибкость стала слабым местом. Червь использовал браузер редактора как вектор атаки, не требуя серверного доступа.

Код работал чисто на клиенте: при загрузке страницы скрипт проверял наличие прав и автоматически вносил изменения. Это классический пример self-propagating worm в веб-среде. Wikimedia быстро перевела проекты в режим только чтение, откатила правки и очистила файлы. Постоянного ущерба нет, но инцидент затронул только Meta-Wiki - координационную площадку, а не основную Википедию.

Основные компоненты механизма:

Загрузчик: Скрытый код, который маскируется под обычный JS.
Автоматические правки: Изменение случайных страниц для распространения.
Проверка прав: Условная логика if для глобальных изменений.

Файл	Роль	Уязвимость
common.js	Персональные настройки	Легко заражать у пользователя
MediaWiki:Common.js	Глобальный скрипт	Заражает всех авторизованных
test.js	Исходный файл	Долгое хранение без проверки

Последствия и реакция Wikimedia

За 23 минуты червь изменил 3996 страниц и 85 пользовательских скриптов. Это создало хаос: страницы портились, добавлялся мусорный контент. Инженеры оперативно заблокировали редактирование, провели откат и усилили мониторинг. Фонд подтвердил: данных о компрометации учёток или утечке нет.

Инцидент выявил пробелы в безопасности пользовательских скриптов. Раньше такие файлы проверялись вручную, но теперь обсуждают автоматизированный аудит. Русскоязычный раздел стал источником, но проблема шире - это напоминание о старом коде в репозиториях. Разработчики других вики-проектов уже проверяют свои системы.

Ключевые последствия:

Масштаб: 3996 страниц, 85 пользователей.
Реакция: Режим только чтение, откат правок.
Затронутые: Только Meta-Wiki.

Уроки для веб-разработчиков

Этот случай показывает риски client-side execution в динамичных платформах. JavaScript в браузере может переписывать сам себя, если нет строгих политик. В обычных веб-проектах аналогично: пользовательский контент с JS опасен без санитизации. Рекомендуется Content Security Policy (CSP) и аудит скриптов.

Для фронтендеров важно тестировать внешний код. В корпоративных проектах внедряйте sandboxing для JS. Wikimedia планирует ужесточить правила загрузки скриптов - это тренд. Такие черви напоминают о необходимости регулярной чистки legacy-кода в продакшене.

Практические меры защиты:

CSP: Блокировка inline-скриптов.
Аудит: Автоматическая проверка JS на вредоносность.
Права: Ограничение доступа к глобальным файлам.
Мониторинг: Логи изменений в реальном времени.

Угроза	Решение	Эффект
Self-propagation	Sandbox JS	Останавливает цикл
Старый код	Регулярный аудит	Удаляет скрытые угрозы
Права редакторов	Granular permissions	Минимизирует ущерб

Взгляд на риски в других проектах

Инцидент с Википедией - не единичный. Похожие черви бывали в чатах, форумах и CMS. JavaScript легко распространяется через браузеры, особенно в коллаборативных средах. Стоит задуматься о векторах вроде XSS в пользовательском контенте.

В будущем такие атаки эволюционируют: добавят кражу данных или фишинг. Разработчики JS-проектов оценят уязвимости в своих стеках. Остаётся открытым вопрос: как балансировать гибкость скриптов и безопасность в открытых платформах.