Magento 是比较著名的电商开源基础设施，用于开发电商网页服务，它是用世界上最好的编程语言 PHP 开发，其安全性之高可以想像。

FishPig 是一家提供 Magento 插件的公司，最近爆出他们的系统遭受供应链攻击，并被插入臭名昭著的 rootkit Recoobe。目前总共有 20 多万家网站使用 FishPig 的服务，这意味着它们统统都将得到攻击者的关怀。Recoobe 会伪装成 SMTP 服务，一旦激活就会开启反弹 shell，给攻击者宠幸。

据分析，本次攻击是因为被注入了恶意 PHP 代码，攻击位置在 /Helper/License.php，而这个文件出现在绝大多数 FishPig 的插件中，潜在攻击面较大。

虽然目前情况还没有调查清楚，不排除 FishPig 的构建服务器被拿下了，可能释出的发布包已经被感染，并被大量分发到软件供应链下游。