过去两周，Shopify及其应用开发者正全力应对一起始于10月10日的结账按钮劫持事件。攻击者并未直接入侵Shopify核心系统，而是通过第三方应用植入恶意脚本，将用户引导至伪造支付页面窃取银行卡信息。截至目前，已有约480个应用从商店下架，但具体受影响商家数量及攻击规模尚不明确。
事件核心事实梳理
- Shopify平台未被攻破： 攻击仅针对第三方应用后台，篡改了脚本加载设置。商家主题文件未受感染，检查代码不会发现异常。
- 伪造结账流程： 恶意代码在用户点击“结账”时将其重定向至高仿支付页，窃取卡号后可能显示错误并跳转回真实页面，极具隐蔽性。
- 事件时间线： 问题于10月10日被发现，源头追溯至Hulk Product Options应用。开发者Roman Zipp随后建立了公共追踪器持续监控。
- 确认涉事供应商： HulkApps、Logbase（Selleasy）和Swym已确认其应用被利用。其中Swym因检测到更多注入尝试，已暂停面向所有商家的服务。
- Boost AI Search & Filter遭禁用： Shopify于10月17日以“安全问题”为由暂时禁用该应用，约一天后恢复。目前尚不清楚此事是否与结账劫持直接相关。
- 影响范围未知： 暂无数据披露确切受害店铺数或泄露卡号数量。仅Selleasy一款应用的安装量就超4.9万家，且无法确定是单人作案还是团伙协同。
- 钱包支付相对安全： Shop Pay、PayPal和Google Pay等钱包支付方式因不直接向网页传递卡号，基本未受此次攻击影响。
- 大规模应用下架： 10月15日至23日期间，包括Rebuy、Privy、Bold等在内的约480个应用下架，其中约41个后续重新上架。
- 下架原因复杂： 并非所有下架均与结账劫持有关。例如Aftersell遭遇的是独立攻击，导致部分追加销售设置泄露，但未涉及结账重定向。
- 已安装应用不受影响： 下架仅阻止新商家安装，现有店铺中的应用仍可正常运行，这对备战黑五的开发者而言仍是重大打击。
- Shopify应对措施： 平台曾要求开发者加强安全性并在跳转外部网站前添加警告，但三天后撤销了通用警告，改为仅拦截已标记的恶意网站并对可疑链接请求确认。
PHP高危漏洞与AI安全新挑战
在Shopify应对危机的同时，互联网基础设施也面临严峻考验。10月21日，PHP基金会发布紧急补丁修复“php2shell”两个关键漏洞。该漏洞允许攻击者在无需登录的情况下执行远程代码，Palo Alto Networks评估称全球可能有2260万个实例面临风险，波及WordPress、WooCommerce及Magento等主流平台。
AI发现潜伏14年的漏洞
令人震惊的是，这一严重漏洞已在PHP中存在长达14年，近期才被Calif、OpenAI和Wiz利用不同AI模型独立发现。这标志着AI已成为挖掘深层安全隐患的重要工具。
AI双刃剑效应显现
2026年10月的事件揭示了AI在网络安全领域的双重角色。据《The Information》报道，黑客组织CyberCartel已利用基于Claude、Grok和Kimi构建的AI代理，以极低人力成本自动化攻击了400多家拉丁美洲金融机构。当防御方利用AI发现漏洞时，攻击者同样能借助这些日益廉价高效的工具进行 exploit，网络安全攻防已进入智能化对抗新阶段。