WordPress- og Zyxel-angrepene har eksponert myndighetsrelaterte data og konfigurasjoner fra nesten 1 000 nettverksswitcher, ifølge GreyNoise. Forskere knytter aktiviteten til en kinesisktalende trusselaktør som opererer i dusinvis av land.
GreyNoise koblet hendelsene sammen gjennom aktivitet som stammet fra den samme IP-adressen. Selskapets sensorer har registrert relatert skanning og utnyttelse siden begynnelsen av juni 2026.
WordPress-innbrudd eksponerer myndighetsdata
GreyNoise sier at angriperen brukte to sårbarheter i WordPress Core, CVE-2026-63030 og CVE-2026-60137, til å bryte seg inn hos minst 49 organisasjoner i 29 land. Forskere omtaler sårbarhetene samlet som wp2shell.
Ett innbrudd rammet en ikke navngitt vestlig myndighetsorganisasjon. Etter å ha fått tilgang undersøkte angriperen sikkerhetskontroller i Windows, lokale kontoer, kjørende tjenester og databaseinnstillinger.
I løpet av 36 minutter prøvde aktøren 17 skript. Disse forsøkene omfattet tiltak for å omgå sikkerhetsskanning, få høyere rettigheter og opprette en lokal administratorkonto.
Angriperen fant deretter legitimasjon til en SQL-database i backend-systemet. Ifølge GreyNoise ga et påfølgende password spraying-angrep tilgang til en intern SQL-server.
Fra denne serveren stjal aktøren minst 18 566 oppføringer. Forskere sier at dataene inkluderte kontoer, passord i klartekst og personopplysninger knyttet til myndigheter og politimyndigheter.
Zyxel-sårbarhet påvirker 996 enheter
Den 17. august begynte den samme aktøren å utnytte CVE-2026-7273 i Zyxel GS1900 Smart Managed Switches, ifølge GreyNoise.
Kampanjen kompromitterte 996 enheter i 48 land. Angriperne hentet ut enhetskonfigurasjoner, nettverksdetaljer og hashet legitimasjon med root-rettigheter.
Disse opplysningene kan hjelpe en angriper med å forstå hvordan et berørt nettverk fungerer. Rapporten fastslår imidlertid ikke at hver kompromitterte switch førte til ytterligere tilgang i organisasjonen.
Aktøren undersøker også andre teknologier
GreyNoise observerte at aktøren rettet seg mot flere andre produkter, inkludert PAN-OS GlobalProtect, FlowiseAI, Gitea, Nuclio og Proxmox VE. Forskerne så også forsøk på å kombinere tre sårbarheter i UniFi OS for å oppnå kjøring av kode med root-rettigheter.
WordPress- og Zyxel-angrepene viser hvordan aktøren brukte ulike kjente sårbarheter mot webapplikasjoner og nettverksinfrastruktur. De bekreftede resultatene varierer likevel mellom målene. GreyNoise dokumenterte stjålne oppføringer i myndighetsinnbruddet og uthentede konfigurasjoner fra Zyxel-switchene.
Selskapet har publisert indikatorer på kompromittering knyttet til kampanjen. Organisasjoner som bruker berørte produkter, kan bruke disse funnene til å gjennomgå systemene sine, installere tilgjengelige rettelser og undersøke mistenkelig tilgang.
0 responses to “Hackere utnytter sårbarheter i WordPress og Zyxel for å stjele myndighetsdata”