🔥 Fique por dentro das novidades mais quentes do momento! 🔥
Confira agora e compartilhe com seus amigos!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Os hackers estão explorando o conjunto de vulnerabilidades críticas “wp2shell” (CVE-2026-63030 e CVE-2026-60137) que afetam o WordPress Core para implantar webshells persistentes e instalar plug-ins maliciosos nos servidores afetados.
A cadeia de exploração crítica abusa do recurso de processamento em lote da API REST do WordPress, permitindo que invasores remotos executem código em instalações vulneráveis sem a necessidade de autenticação.
Embora os detalhes técnicos não tenham sido divulgados, explorações de prova de conceito começaram a surgir no fim de semana, logo após a empresa de inteligência de ameaças e gerenciamento de risco cibernético SearchLight Cyber divulgar o problema de segurança do wp2shell.
A exploração ativa foi rapidamente confirmada, imediatamente após o WordPress resolver o problema nas versões 7.0.2, 6.9.5 e 6.8.6, forçando atualizações automáticas de segurança para instalações suportadas.
A empresa de segurança em nuvem Wiz compartilhou detalhes técnicos sobre ataques observados aproveitando o wp2shell, dizendo que os agentes da ameaça realizaram as seguintes atividades:
Verificação em massa de instalações vulneráveis do WordPress (grande parte é verificação de segurança).
Abuso da funcionalidade de upload de plugins do WordPress para instalar complementos maliciosos.
Instalação de webshells PHP, desde backdoors simples de uma linha até shells ofuscados e ricos em recursos, disfarçados de plug-ins (CMSmap).
Consultando a API REST do WordPress para coletar nomes de usuários e endereços de e-mail de administradores.
Tentativas de inclusão de arquivo local visando wp-config por meio de admin-ajax.php para recuperar credenciais de banco de dados e chaves de autenticação.
Implantação de um plug-in malicioso que expõe um endpoint da API REST para execução remota de comandos
Acesso bem-sucedido aos painéis de administração do WordPress.
Wiz diz que não observou movimento lateral ou exfiltração de dados, mas continua monitorando a atividade da ameaça.
Plug-in malicioso instalado em sites vulneráveisFonte: Wiz
Um relatório separado sobre a exploração ativa do wp2shell de Johannes B. Ullrich, reitor de pesquisa do Sans Technology Insitute, descreve ataques em dois estágios que começam com a investigação da injeção de SQL para confirmar a vulnerabilidade antes de entregar um webshell PHP ao servidor.
O webshell foi criado no diretório /wp-content/cache/ com um nome de arquivo aleatório que também foi usado como senha para acessá-lo via variável em uma solicitação de URL; caso contrário, a página retornaria uma página 404 falsa.
O código do webshell publicado por Ullrich verificou a disponibilidade de diversas funções PHP — system(), passthru(), exec(), shell_exec(), popen() ou o operador backtick, na tentativa de executar comandos.
De acordo com Ullrich, alguns ataques também envolvem a criação de contas de administradores desonestos. Assim, o pesquisador recomenda verificar o diretório /cache/ e procurar usuários recém-criados.
A empresa de segurança WordPress Defiant também publicou uma postagem de “consequências” afirmando que a primeira investigação relacionada à exploração foi observada às 23h29 UTC de 17 de julho, seguida por uma clara tentativa de injeção de SQL apenas 13 minutos depois.
Os administradores de sites WordPress devem atualizar imediatamente para as versões corrigidas, revisar os logs de solicitações relacionadas ao wp2shell, inspecionar os plug-ins instalados e verificar se há adições de arquivos PHP não autorizados ou contas de administrador recém-criadas.
O pesquisador da Macnica, Yutaka Sejiyama, criou um painel que ajuda a rastrear a taxa de patch ao vivo. O portal relata uma taxa de correção de 81,6% em uma amostra de 124.580 sites avaliados.
Ontem, o pesquisador do SearchLight Cyber, Adam Kues, publicou um relatório de acompanhamento mergulhando profundamente no processo de descoberta do wp2shell e no desenvolvimento de uma cadeia de exploração funcional, que envolveu o uso de ferramentas de IA.
Teste todas as camadas antes que os invasores o façam
As equipes de segurança registram 54% dos ataques bem-sucedidos e alertam sobre apenas 14%. O restante se move pelo seu ambiente sem ser visto. O whitepaper do Picus mostra como a simulação de violação e ataque testa suas regras de SIEM e EDR para que as ameaças parem de escapar da detecção.
Obtenha o white paper
A cadeia de exploração crítica abusa do recurso de processamento em lote da API REST do WordPress, permitindo que invasores remotos executem código em instalações vulneráveis sem a necessidade de autenticação.
Embora os detalhes técnicos não tenham sido divulgados, explorações de prova de conceito começaram a surgir no fim de semana, logo após a empresa de inteligência de ameaças e gerenciamento de risco cibernético SearchLight Cyber divulgar o problema de segurança do wp2shell.
A exploração ativa foi rapidamente confirmada, imediatamente após o WordPress resolver o problema nas versões 7.0.2, 6.9.5 e 6.8.6, forçando atualizações automáticas de segurança para instalações suportadas.
A empresa de segurança em nuvem Wiz compartilhou detalhes técnicos sobre ataques observados aproveitando o wp2shell, dizendo que os agentes da ameaça realizaram as seguintes atividades:
Verificação em massa de instalações vulneráveis do WordPress (grande parte é verificação de segurança).
Abuso da funcionalidade de upload de plugins do WordPress para instalar complementos maliciosos.
Instalação de webshells PHP, desde backdoors simples de uma linha até shells ofuscados e ricos em recursos, disfarçados de plug-ins (CMSmap).
Consultando a API REST do WordPress para coletar nomes de usuários e endereços de e-mail de administradores.
Tentativas de inclusão de arquivo local visando wp-config por meio de admin-ajax.php para recuperar credenciais de banco de dados e chaves de autenticação.
Implantação de um plug-in malicioso que expõe um endpoint da API REST para execução remota de comandos
Acesso bem-sucedido aos painéis de administração do WordPress.
Wiz diz que não observou movimento lateral ou exfiltração de dados, mas continua monitorando a atividade da ameaça.
Plug-in malicioso instalado em sites vulneráveisFonte: Wiz
Um relatório separado sobre a exploração ativa do wp2shell de Johannes B. Ullrich, reitor de pesquisa do Sans Technology Insitute, descreve ataques em dois estágios que começam com a investigação da injeção de SQL para confirmar a vulnerabilidade antes de entregar um webshell PHP ao servidor.
O webshell foi criado no diretório /wp-content/cache/ com um nome de arquivo aleatório que também foi usado como senha para acessá-lo via variável em uma solicitação de URL; caso contrário, a página retornaria uma página 404 falsa.
O código do webshell publicado por Ullrich verificou a disponibilidade de diversas funções PHP — system(), passthru(), exec(), shell_exec(), popen() ou o operador backtick, na tentativa de executar comandos.
De acordo com Ullrich, alguns ataques também envolvem a criação de contas de administradores desonestos. Assim, o pesquisador recomenda verificar o diretório /cache/ e procurar usuários recém-criados.
A empresa de segurança WordPress Defiant também publicou uma postagem de “consequências” afirmando que a primeira investigação relacionada à exploração foi observada às 23h29 UTC de 17 de julho, seguida por uma clara tentativa de injeção de SQL apenas 13 minutos depois.
Os administradores de sites WordPress devem atualizar imediatamente para as versões corrigidas, revisar os logs de solicitações relacionadas ao wp2shell, inspecionar os plug-ins instalados e verificar se há adições de arquivos PHP não autorizados ou contas de administrador recém-criadas.
O pesquisador da Macnica, Yutaka Sejiyama, criou um painel que ajuda a rastrear a taxa de patch ao vivo. O portal relata uma taxa de correção de 81,6% em uma amostra de 124.580 sites avaliados.
Ontem, o pesquisador do SearchLight Cyber, Adam Kues, publicou um relatório de acompanhamento mergulhando profundamente no processo de descoberta do wp2shell e no desenvolvimento de uma cadeia de exploração funcional, que envolveu o uso de ferramentas de IA.
Teste todas as camadas antes que os invasores o façam
As equipes de segurança registram 54% dos ataques bem-sucedidos e alertam sobre apenas 14%. O restante se move pelo seu ambiente sem ser visto. O whitepaper do Picus mostra como a simulação de violação e ataque testa suas regras de SIEM e EDR para que as ameaças parem de escapar da detecção.
Obtenha o white paper
#samirnews #samir #news #boletimtec #falhas #críticas #do #wp2shell #wordpress #exploradas #para #instalar #webshells
🔔 Siga-nos para não perder nenhuma atualização!
Postar um comentário