WP-SHELLSTORM: Открытый сервер раскрыл массовую операцию по бэкдорингу WordPress-сайтов

Группа киберпреступников оставила свой сервер открытым на 22 дня, раскрыв массовую операцию, которая заразила тысячи сайтов WordPress с использованием 27 CVE, включая CVE-2026-3844 в плагине Breeze.

Обзор

Группа киберпреступников оставила один из своих серверов полностью открытым в интернете на три недели, раскрыв внутреннюю работу массовой операции по взлому сайтов, отслеживаемой как WP-SHELLSTORM. Операция нацелилась на более чем 1,4 миллиона доменов, в основном сайты WordPress, используя 27 известных уязвимостей для установки веб-шеллов с целью перепродажи.

Обнаружение

11 июня 2026 года команда Threat Intelligence SOCRadar заметила открытый каталог по адресу 137.175.93[.]126 без аутентификации. Внутри было около 800 МБ в 434 файлах: веб-шеллы, скрипты эксплойтов, результаты сканирования, история bash и конфигурация C2. Раскрытие длилось 22 дня из-за забытого экземпляра Python SimpleHTTPServer.

Ключевые уязвимости

CVE-2026-3844 (плагин Breeze): Наиболее эксплуатируемый, заразил более 17 000 сайтов.
CVE-2026-48907 (редактор JCE Joomla): Максимальная серьезность, добавлен в список CISA известных эксплуатируемых уязвимостей.
CVE-2026-3300 (Everest Forms Pro): Активно эксплуатируется.
CVE-2021-29441 (Nacos): Использовался в отдельной кампании против корпоративных Java-систем.

Воздействие

Хотя было нацелено 1,4 миллиона доменов, фактическое количество взломов было меньше: Ctrl-Alt-Intel обнаружил 25 195 подтвержденных сайтов, а SOCRadar насчитал более 5 700 активных веб-шеллов. Операция также включала более тихую кампанию в мае 2026 года, которая похитила 613 конфигурационных файлов из 11 систем девяти компаний, украв облачные учетные данные, пароли баз данных и закрытые ключи RSA Alipay.

Атрибуция

Как SOCRadar, так и Ctrl-Alt-Intel оценивают со средней и высокой степенью уверенности, что оператор является китайцем или китайскоязычным, основываясь на упрощенном китайском в коде, использовании FOFA (требует китайский номер телефона) и инструментах, таких как Godzilla и VShell. Однако группа считается финансово мотивированной, а не спонсируемой государством.