WordPress- og Zyxel-angrebene har eksponeret myndighedsrelaterede data og konfigurationer fra næsten 1.000 netværksswitches, ifølge GreyNoise. Forskere tilskriver aktiviteten en kinesisktalende trusselsaktør, der opererer i snesevis af lande.
GreyNoise forbandt hændelserne gennem aktivitet, der stammede fra den samme IP-adresse. Virksomhedens sensorer har registreret relateret scanning og udnyttelse siden begyndelsen af juni 2026.
WordPress-indbrud eksponerer myndighedsdata
GreyNoise oplyser, at angriberen brugte to sårbarheder i WordPress Core, CVE-2026-63030 og CVE-2026-60137, til at bryde ind hos mindst 49 organisationer i 29 lande. Forskere omtaler samlet sårbarhederne som wp2shell.
Et indbrud ramte en unavngiven vestlig myndighedsorganisation. Efter at have fået adgang undersøgte angriberen Windows-sikkerhedskontroller, lokale konti, kørende tjenester og databaseindstillinger.
I løbet af 36 minutter afprøvede aktøren 17 scripts. Disse forsøg omfattede tiltag til at omgå sikkerhedsscanning, opnå højere rettigheder og oprette en lokal administratorkonto.
Angriberen fandt derefter loginoplysninger til en backend-SQL-database. Ifølge GreyNoise gav et efterfølgende password spraying-angreb adgang til en intern SQL-server.
Fra denne server stjal aktøren mindst 18.566 poster. Forskere oplyser, at dataene omfattede konti, adgangskoder i klartekst og personlige oplysninger forbundet med myndigheder og retshåndhævende myndigheder.
Zyxel-sårbarhed påvirker 996 enheder
Den 17. august begyndte den samme aktør at udnytte CVE-2026-7273 i Zyxel GS1900 Smart Managed Switches, rapporterer GreyNoise.
Kampagnen kompromitterede 996 enheder i 48 lande. Angriberne hentede enhedskonfigurationer, netværksoplysninger og hashede loginoplysninger med root-rettigheder.
Disse oplysninger kan hjælpe en angriber med at forstå, hvordan et berørt netværk fungerer. Rapporten fastslår dog ikke, at hver kompromitteret switch førte til yderligere adgang i organisationen.
Aktøren undersøger også andre teknologier
GreyNoise observerede aktøren målrette flere andre produkter, herunder PAN-OS GlobalProtect, FlowiseAI, Gitea, Nuclio og Proxmox VE. Forskerne så også forsøg på at kombinere tre UniFi OS-sårbarheder for at opnå kodeudførelse med root-rettigheder.
WordPress- og Zyxel-angrebene viser, hvordan aktøren brugte forskellige kendte sårbarheder mod webapplikationer og netværksinfrastruktur. De bekræftede resultater varierer dog afhængigt af målet. GreyNoise dokumenterede stjålne poster i myndighedsindbruddet og udtrukne konfigurationer fra Zyxel-switchene.
Virksomheden har offentliggjort indikatorer på kompromittering relateret til kampagnen. Organisationer, der bruger berørte produkter, kan bruge disse fund til at gennemgå deres systemer, installere tilgængelige rettelser og undersøge mistænkelig adgang.
0 svar til “Hackere udnytter sårbarheder i WordPress og Zyxel til at stjæle myndighedsdata”