Хакери експлоатират уязвимости във WordPress, за да откраднат 18 566 държавни записа и пароли в чист текст

Предполагаем китайскоговорещ атакуващ е използвал уязвимости във WordPress, за да пробие в най-малко 49 организации в 29 държави.

Кампанията разкрива как компрометиран уебсайт може да се превърне в отправна точка за кражба на бази данни, злоупотреба с идентификационни данни и по-широко проникване в мрежата.

Атакуващите са експлоатирали веригата wp2shell, проследявана като CVE-2026-63030 и CVE-2026-60137, срещу уязвими инсталации на WordPress.

След получаване на достъп те са внедрили webshell, създали са скрит администраторски акаунт, търсили са идентификационни данни в достъпни за четене файлове и са се придвижили към вътрешните системи.

GreyNoise идентифицира активността, докато наблюдава инфраструктурата на атакуващия и средите за примамване (decoy systems). GreyNoise посочва в доклад, споделен с Cyber Security News (CSN), че западно правителство е претърпяло най-сериозното проникване, при което 18 566 записа са били изтеглени от SQL база данни на бекенда.

Откраднатият материал включва акаунти, пароли в чист текст и лична информация (PII), свързана с правоприлагащите органи и правителствени агенции.

GreyNoise също така наблюдава същия злонамерен субект да се насочва към други технологии, включително комутатори ZyXEL GS1900, където 996 устройства в 48 държави са били компрометирани или от тях е била извлечена чувствителна информация.

Хакери експлоатират слабости във WordPress

Проникването във WordPress започва на 22 юли 2026 г., когато авторът на заплахата използва веригата от уязвимости, за да внедри персонализиран webshell.

След това атакуващите са извлякли таблицата с потребители на WordPress, открадвайки 13 администраторски акаунта, и са добавили акаунт, създаден да наподобява легитимен адрес вโดмейна на жертвата.

Персонализиран плъгин е помогнал за еранумерацията на инсталацията, докато webshell-ът е поддържал разузнаването и изпълнението на команди.

Атакуващите са проверили инструментите за сигурност, услугите, слушащите портове, конфигурационните файлове на базите данни и локалните акаунти, преди да опитат да отслабят защитата и да ескалират привилегиите.

След това кампанията се премества от уебсайта към вътрешната среда. Специализиран инструмент за търсене на идентификационни данни открива използваеми данни за достъп до бази данни в четими файлове, което позволява на атакуващите да извършат пръскане на пароли (password spraying) и да достигнат до вътрешен SQL сървър.

GreyNoise съобщава, че киберпрестъпникът е събрал откраднатите файлове в ZIP архив, преди да ги изтегли, а след това е използвал инструменти за извличане на чувствителни SQL данни. Операцията завършва с кражбата на 18 566 записа, последвана от допълнителни опити за пръскане на пароли, които продължават няколко часа.

Инцидентът отразява по-широк риск, подчертан от последните разкрития за уязвимости във WordPress, при които атакуващите могат да превърнат слабостите в даден сайт или плъгин в достъп на ниво сървър.

Администраторите трябва също така да прегледат скорошните опити за експлоатация на wp2shell, за да разберат колко бързо разкритите системи могат да привлекат автоматизирани атаки.

Верига на атаката и мерки за защита

Активността на автора на заплахата не спира до WordPress. GreyNoise свързва кампанията със сканирания и експлоатация на мрежови устройства, среди за разработчици, Linux системи и бизнес приложения, което подсказва за широко търсене на изложени интернет услуги, а не за операция, насочена само към една жертва.

Този модел отразява опасността, описана в предупреждението на CISA за ядрото на WordPress, където активно експлоатирана слабост може да осигури път от публично излагане на уебсайт до по-дълбоко компрометиране.

Организациите трябва да отстранят уязвимостите в ядрото на WordPress, темите и плъгините, да премахнат непознатите администраторски акаунти, да ротират паролите и тайните за бази данни и да анулират активните сесии.

Те трябва също така да проверяват уеб директориите за неочаквани PHP файлове, да преглеждат логовете за процеси и автентификация и да изолират засегнатите сървъри, преди да ги възстановят от доверени резервни копия.

Тъй като бяха разкрити credentials в чист текст, повторната употреба на пароли трябва да се разглежда като спешен проблем във всички свързани услуги. Екипите могат да сравнят своя процес по инсталиране на корекции за сигурност с последните актуализации за сигурност на WordPress, които подчертават ползата от прилагането на корекции преди началото на сканирането.

Защитниците трябва да активират многофакторна автентификация, където е възможно, да ограничат достъпа до бази данни от уеб сървъри, да наблюдават за необичайно създаване на администратори и да известяват при опити за пръскане на пароли и неочаквано изтегляне на архиви.

Тези мерки могат да ограничат способността на атакуващия да превърне компрометирането на уебсайт в по-широк вътрешен достъп. Констатациите показват и защо свързаните с интернет системи се нуждаят от непрекъснат мониторинг.

Блокирането на един адрес може да не спре злонамерения субект, но идентифицирането на повтарящи се модели на сканиране, съмнителни заявки към webshell и достъп до конфигурационни файлове може да помогне на защитниците да открият проникването по-рано.

Изходният доклад не споменава името на засегнатата правителствена организация и спестява някои подробности за инфраструктурата поради чувствителност към жертвата и оперативен риск.

В него се отбелязва също, че бързо променящият се код на атакуващия може да е бил създаден с помощта на голям езиков модел, въпреки че GreyNoise не е открил конкретен AI инструмент в употреба.

Случаят показва, че компрометирането на уеб приложение може бързо да се превърне в сериозен инцидент със сигурността на данните в цялата enterprise корпоративна среда.

Indicators of compromise (IoCs):-

Note: IP addresses and domains are intentionally defanged (e.g., [.]) to prevent accidental resolution or hyperlinking. Re-fang only within controlled threat intelligence platforms such as MISP, VirusTotal, or your SIEM.