📰 Informação fresquinha chegando para você!
Leia, comente e fique sempre atualizado!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Os invasores começaram a explorar duas vulnerabilidades críticas no WordPress que, quando combinadas, permitem a execução remota de código não autenticado (RCE) e o comprometimento total de sites vulneráveis.
As duas falhas de segurança, rastreadas como CVE-2026-63030 e CVE-2026-60137, receberam o codinome wp2shell.
“Nas primeiras horas da manhã de sábado (UTC), a exploração bem-sucedida já estava bem encaminhada, inicialmente usando código de exploração público para exfiltrar credenciais com hash, com execução remota de código após detalhes adicionais serem tornados públicos”, disse Jake Knott, principal pesquisador de segurança da watchTowr, ao The Hacker News em um comunicado.
“Do nosso ponto de vista sobre uma base global de clientes, estamos vendo um impacto generalizado desta vulnerabilidade em organizações de todos os tamanhos e verticais.”
Os dados de telemetria capturados pelo KEVIntel mostram que 13 endereços IP exclusivos da Suíça, Alemanha, Reino Unido, Indonésia, Lituânia, Holanda e Singapura foram associados à exploração do CVE-2026-63030.
Ryan Dewhurst, fundador e CEO da KEVIntel, disse ao The Hacker News que a exploração se expandiu de sensores específicos do WordPress para ampla varredura na Internet, com as solicitações correspondendo a explorações de prova de conceito (PoC) disponíveis publicamente.
“Os invasores usaram várias técnicas de injeção de SQL, incluindo cargas cegas, baseadas em UNION e booleanas”, disse Dewhurst. “Em nossos próprios testes, a análise assistida por IA tornou trivial a reprodução da vulnerabilidade e o desenvolvimento de uma prova de conceito funcional. Isso reduz significativamente a barreira técnica para a produção de código de exploração, uma vez que detalhes suficientes da vulnerabilidade estejam disponíveis publicamente.”
A cadeia de exploração, descoberta pelo Searchlight Cyber usando OpenAI GPT 5.6 Sol em mais de 10 horas, essencialmente permite que invasores não autenticados obtenham execução remota de código em instalações padrão do WordPress em qualquer versão do WordPress lançada desde dezembro de 2025. Detalhes técnicos foram retidos devido à gravidade do problema.
“O ataque não tem pré-condições e pode ser explorado por um usuário anônimo em uma instalação padrão do WordPress sem plugins”, disse Searchlight Cyber.
De acordo com a Cloudflare, o CVE-2026-63030 permite a execução remota de código (RCE) não autenticada apenas quando o cache de objeto persistente não está em uso. Embora a vulnerabilidade de injeção de SQL (CVE-2026-60137) esteja presente a partir da versão 6.8, o RCE afeta as versões a partir da 6.9.
“Esta exploração utiliza uma cadeia de vulnerabilidade de duas partes para obter injeção de SQL não autenticada em uma instalação padrão do WordPress com uma única solicitação HTTP”, explicou Ben Marr, engenheiro de segurança da Intruder. “CVE-2026-60137 é o ponto de entrada – um bug de confusão de rota no endpoint de lote da API REST que ignora a autenticação, permitindo que um invasor invoque manipuladores internos sem qualquer verificação de permissão.”
"Esta falha surge da higienização inadequada do parâmetro 'author__not_in' dentro de 'WP_Query' quando dados não confiáveis são passados para ele por um plugin ou tema. Esta vulnerabilidade permite que entradas criadas alterem uma consulta de banco de dados, potencialmente levando ao acesso não autorizado ou à manipulação de dados."
Dados do Wiz, de propriedade do Google, sugerem que 60% das organizações que usam WordPress inicialmente tinham pelo menos uma instância vulnerável no momento em que esses CVEs foram publicados, e 25% estavam expondo um servidor vulnerável à Internet. Desde então, os números caíram à medida que as organizações continuam a aplicar as correções.
A subsidiária de segurança em nuvem observou as seguintes atividades pós-exploração após o abuso das duas falhas -
Carregando um plugin malicioso
Enumerando usuários e coletando nomes de usuários e endereços de e-mail de administrador
Execução de ataques de inclusão de arquivos locais (LFI) para direcionar credenciais de banco de dados e chaves de autenticação para exfiltração
Acessando o painel de administração e autenticando-se com sucesso
Carregando um web shell PHP básico que facilita a execução remota de código
“Também observamos atividades de varredura de alto volume sem pós-exploração subsequente, sugerindo campanhas oportunistas de varredura em massa que buscam identificar alvos vulneráveis juntamente com atividades legítimas de varredura de segurança”, disseram os pesquisadores da Wiz Shahar Dorfman e Gili Tikochinski. “Ainda não identificamos movimento lateral ou exfiltração de dados, mas continuamos monitorando e investigando.”
Também observado como parte da atividade está um web shell de 150 KB disfarçado como um plugin de segurança legítimo do WordPress chamado CMSmap. Ele atua como uma “plataforma de ataque completa” que suporta gerenciamento de arquivos, acesso a banco de dados, varredura de portas, injeção de código em lote e vários módulos de escalonamento de privilégios, incluindo exploração de UDF do MySQL.
A WatchTowr também disse que os invasores começaram a pulverizar a Internet de forma indiscriminada após o lançamento de uma exploração pública, com seu registro de honeypots
As duas falhas de segurança, rastreadas como CVE-2026-63030 e CVE-2026-60137, receberam o codinome wp2shell.
“Nas primeiras horas da manhã de sábado (UTC), a exploração bem-sucedida já estava bem encaminhada, inicialmente usando código de exploração público para exfiltrar credenciais com hash, com execução remota de código após detalhes adicionais serem tornados públicos”, disse Jake Knott, principal pesquisador de segurança da watchTowr, ao The Hacker News em um comunicado.
“Do nosso ponto de vista sobre uma base global de clientes, estamos vendo um impacto generalizado desta vulnerabilidade em organizações de todos os tamanhos e verticais.”
Os dados de telemetria capturados pelo KEVIntel mostram que 13 endereços IP exclusivos da Suíça, Alemanha, Reino Unido, Indonésia, Lituânia, Holanda e Singapura foram associados à exploração do CVE-2026-63030.
Ryan Dewhurst, fundador e CEO da KEVIntel, disse ao The Hacker News que a exploração se expandiu de sensores específicos do WordPress para ampla varredura na Internet, com as solicitações correspondendo a explorações de prova de conceito (PoC) disponíveis publicamente.
“Os invasores usaram várias técnicas de injeção de SQL, incluindo cargas cegas, baseadas em UNION e booleanas”, disse Dewhurst. “Em nossos próprios testes, a análise assistida por IA tornou trivial a reprodução da vulnerabilidade e o desenvolvimento de uma prova de conceito funcional. Isso reduz significativamente a barreira técnica para a produção de código de exploração, uma vez que detalhes suficientes da vulnerabilidade estejam disponíveis publicamente.”
A cadeia de exploração, descoberta pelo Searchlight Cyber usando OpenAI GPT 5.6 Sol em mais de 10 horas, essencialmente permite que invasores não autenticados obtenham execução remota de código em instalações padrão do WordPress em qualquer versão do WordPress lançada desde dezembro de 2025. Detalhes técnicos foram retidos devido à gravidade do problema.
“O ataque não tem pré-condições e pode ser explorado por um usuário anônimo em uma instalação padrão do WordPress sem plugins”, disse Searchlight Cyber.
De acordo com a Cloudflare, o CVE-2026-63030 permite a execução remota de código (RCE) não autenticada apenas quando o cache de objeto persistente não está em uso. Embora a vulnerabilidade de injeção de SQL (CVE-2026-60137) esteja presente a partir da versão 6.8, o RCE afeta as versões a partir da 6.9.
“Esta exploração utiliza uma cadeia de vulnerabilidade de duas partes para obter injeção de SQL não autenticada em uma instalação padrão do WordPress com uma única solicitação HTTP”, explicou Ben Marr, engenheiro de segurança da Intruder. “CVE-2026-60137 é o ponto de entrada – um bug de confusão de rota no endpoint de lote da API REST que ignora a autenticação, permitindo que um invasor invoque manipuladores internos sem qualquer verificação de permissão.”
"Esta falha surge da higienização inadequada do parâmetro 'author__not_in' dentro de 'WP_Query' quando dados não confiáveis são passados para ele por um plugin ou tema. Esta vulnerabilidade permite que entradas criadas alterem uma consulta de banco de dados, potencialmente levando ao acesso não autorizado ou à manipulação de dados."
Dados do Wiz, de propriedade do Google, sugerem que 60% das organizações que usam WordPress inicialmente tinham pelo menos uma instância vulnerável no momento em que esses CVEs foram publicados, e 25% estavam expondo um servidor vulnerável à Internet. Desde então, os números caíram à medida que as organizações continuam a aplicar as correções.
A subsidiária de segurança em nuvem observou as seguintes atividades pós-exploração após o abuso das duas falhas -
Carregando um plugin malicioso
Enumerando usuários e coletando nomes de usuários e endereços de e-mail de administrador
Execução de ataques de inclusão de arquivos locais (LFI) para direcionar credenciais de banco de dados e chaves de autenticação para exfiltração
Acessando o painel de administração e autenticando-se com sucesso
Carregando um web shell PHP básico que facilita a execução remota de código
“Também observamos atividades de varredura de alto volume sem pós-exploração subsequente, sugerindo campanhas oportunistas de varredura em massa que buscam identificar alvos vulneráveis juntamente com atividades legítimas de varredura de segurança”, disseram os pesquisadores da Wiz Shahar Dorfman e Gili Tikochinski. “Ainda não identificamos movimento lateral ou exfiltração de dados, mas continuamos monitorando e investigando.”
Também observado como parte da atividade está um web shell de 150 KB disfarçado como um plugin de segurança legítimo do WordPress chamado CMSmap. Ele atua como uma “plataforma de ataque completa” que suporta gerenciamento de arquivos, acesso a banco de dados, varredura de portas, injeção de código em lote e vários módulos de escalonamento de privilégios, incluindo exploração de UDF do MySQL.
A WatchTowr também disse que os invasores começaram a pulverizar a Internet de forma indiscriminada após o lançamento de uma exploração pública, com seu registro de honeypots
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #a #exploração #do #wordpress #wp2shell #cresce #à #medida #que #a #exploração #pública #alimenta #a #digitalização #em #massa
⚡ Fique ligado: novidades e promoções em breve por aqui! ⚡
Postar um comentário