קרן ויקימדיה/מוצר וטכנולוגיה/אבטחת המוצר ויושר/אירוע סקריפט משתמש מרץ 2026
מוקדם יותר היום, 5 במרץ 2026, צוות קרן ויקימדיה ביצע סקירת אבטחה של קוד הכתוב בידי משתמשים באתרי ויקימדיה. במהלך הסקירה הפעלנו ללא כוונה קוד רדום שבמהירות התברר כזדוני.
הקוד פעל במשך 23 דקות. הוא גרם למחיקות דפים במטא, וכולם כבר שוחזרו מאז. כדי למנוע מהסקריפט להתפשט תוך כדי חקירת הארוע הועברו כל האתרים של קרן ויקימדיה למצב לקריאה בלבד למשך כשעתיים, וכל ג'אווהסקריפט של משתמשים נותק למשך רוב היום.
הדפים המדוברים שוחזרו מאז ואנו מאמינים שלא נגרם שום נזק ארוך טווח כתוצאה מהקוד הזה. אין לנו סיבה לחשוב שוויקיפדיה הייתה תחת התקפה יזומה או שמידע אישי דלף כחלק מהאירוע.
בנקודת הזמן הזאת ההשפעה של הקוד הזדוני נוקתה לגמרי וג'אווהסקריפט למשתמשים הוחזר לפעולה. אנו מפתחים בצורה פעילה הגבלות נוספות על ג'אווהסקריפט של משתמשים בהתייעצות עם הקהילה כדי לצמצם את הסיכוי לאירועים דומים בעתיד.