Hackare utnyttjar sårbarheter i WordPress och Zyxel för att stjäla myndighetsdata

WordPress- och Zyxel-attackerna har exponerat myndighetsrelaterade uppgifter och konfigurationer från nästan 1 000 nätverksswitchar, enligt GreyNoise. Forskare kopplar aktiviteten till en kinesisktalande hotaktör som verkar i dussintals länder.

GreyNoise kopplade samman incidenterna genom aktivitet som kom från samma IP-adress. Företagets sensorer har registrerat relaterad skanning och exploatering sedan början av juni 2026.

WordPress-intrång exponerar myndighetsuppgifter

GreyNoise uppger att angriparen använde två sårbarheter i WordPress Core, CVE-2026-63030 och CVE-2026-60137, för att göra intrång hos minst 49 organisationer i 29 länder. Forskare kallar sårbarheterna gemensamt för wp2shell.

Ett intrång drabbade en icke namngiven västerländsk myndighetsorganisation. Efter att ha fått åtkomst undersökte angriparen Windows säkerhetskontroller, lokala konton, aktiva tjänster och databasinställningar.

Under 36 minuter testade aktören 17 skript. Dessa försök omfattade åtgärder för att kringgå säkerhetsskanning, få högre behörigheter och skapa ett lokalt administratörskonto.

Angriparen hittade därefter inloggningsuppgifter till en SQL-databas i backend-systemet. Enligt GreyNoise gav en efterföljande password spraying-attack åtkomst till en intern SQL-server.

Från den servern stal aktören minst 18 566 poster. Forskare uppger att uppgifterna omfattade konton, lösenord i klartext och personuppgifter kopplade till myndigheter och brottsbekämpande organ.

Zyxel-sårbarhet påverkar 996 enheter

Den 17 augusti började samma aktör utnyttja CVE-2026-7273 i Zyxel GS1900 Smart Managed Switches, rapporterar GreyNoise.

Kampanjen komprometterade 996 enheter i 48 länder. Angriparna hämtade enhetskonfigurationer, nätverksinformation och hashade inloggningsuppgifter med root-behörighet.

Dessa uppgifter kan hjälpa en angripare att förstå hur ett drabbat nätverk fungerar. Rapporten fastställer dock inte att varje komprometterad switch ledde till ytterligare åtkomst inom organisationen.

Aktören undersöker även andra tekniker

GreyNoise observerade att aktören riktade in sig på flera andra produkter, däribland PAN-OS GlobalProtect, FlowiseAI, Gitea, Nuclio och Proxmox VE. Forskarna såg också försök att kombinera tre sårbarheter i UniFi OS för att få kodkörning med root-behörighet.

WordPress- och Zyxel-attackerna visar hur aktören använde olika kända sårbarheter mot webbapplikationer och nätverksinfrastruktur. De bekräftade resultaten skiljer sig dock åt mellan målen. GreyNoise dokumenterade stulna uppgifter i myndighetsintrånget och extraherade konfigurationer från Zyxel-switcharna.

Företaget har publicerat indikatorer på kompromettering kopplade till kampanjen. Organisationer som använder berörda produkter kan använda dessa fynd för att granska sina system, installera tillgängliga korrigeringar och undersöka misstänkt åtkomst.