Hacker nutzen Schwachstellen in WordPress und Zyxel aus, um Regierungsdaten zu stehlen

Die WordPress- und Zyxel-Angriffe haben laut GreyNoise Regierungsdaten und Konfigurationen von fast 1.000 Netzwerk-Switches offengelegt. Forscher führen die Aktivitäten auf einen chinesischsprachigen Bedrohungsakteur zurück, der in Dutzenden Ländern aktiv ist.

GreyNoise brachte die Vorfälle anhand von Aktivitäten in Verbindung, die von derselben IP-Adresse ausgingen. Die Sensoren des Unternehmens zeichnen seit Anfang Juni 2026 damit verbundene Scanning- und Exploit-Aktivitäten auf.

WordPress-Angriff legt Regierungsdaten offen

Laut GreyNoise nutzte der Angreifer zwei Schwachstellen in WordPress Core, CVE-2026-63030 und CVE-2026-60137, um mindestens 49 Organisationen in 29 Ländern zu kompromittieren. Forscher bezeichnen die Schwachstellen gemeinsam als wp2shell.

Ein Angriff betraf eine nicht näher benannte westliche Regierungsorganisation. Nachdem der Angreifer Zugriff erlangt hatte, untersuchte er Windows-Sicherheitskontrollen, lokale Konten, laufende Dienste und Datenbankeinstellungen.

Innerhalb von 36 Minuten probierte der Akteur 17 Skripte aus. Dazu gehörten Versuche, Sicherheitsscans zu umgehen, höhere Berechtigungen zu erlangen und ein lokales Administratorkonto zu erstellen.

Anschließend fand der Angreifer Anmeldedaten für eine Backend-SQL-Datenbank. Laut GreyNoise ermöglichte ein anschließender Password-Spraying-Angriff den Zugriff auf einen internen SQL-Server.

Von diesem Server stahl der Akteur mindestens 18.566 Datensätze. Laut den Forschern umfassten die Daten Konten, Klartextpasswörter und personenbezogene Informationen im Zusammenhang mit Regierungs- und Strafverfolgungsbehörden.

Zyxel-Schwachstelle betrifft 996 Geräte

Am 17. August begann derselbe Akteur laut GreyNoise mit der Ausnutzung von CVE-2026-7273 in Zyxel GS1900 Smart Managed Switches.

Die Kampagne kompromittierte 996 Geräte in 48 Ländern. Die Angreifer extrahierten Gerätekonfigurationen, Netzwerkdetails und gehashte Anmeldedaten mit Root-Berechtigungen.

Diese Informationen könnten einem Angreifer helfen zu verstehen, wie ein betroffenes Netzwerk funktioniert. Der Bericht belegt jedoch nicht, dass jeder kompromittierte Switch zu weiterem Zugriff innerhalb der jeweiligen Organisation führte.

Akteur nimmt auch andere Technologien ins Visier

GreyNoise beobachtete, wie der Akteur mehrere weitere Produkte ins Visier nahm, darunter PAN-OS GlobalProtect, FlowiseAI, Gitea, Nuclio und Proxmox VE. Die Forscher beobachteten außerdem Versuche, drei UniFi-OS-Schwachstellen zu kombinieren, um Code mit Root-Berechtigungen auszuführen.

Die WordPress- und Zyxel-Angriffe zeigen, wie der Akteur verschiedene bekannte Schwachstellen gegen Webanwendungen und Netzwerkinfrastruktur einsetzte. Die bestätigten Auswirkungen unterscheiden sich jedoch je nach Ziel. GreyNoise dokumentierte gestohlene Datensätze beim Angriff auf die Regierungsorganisation und extrahierte Konfigurationen von den Zyxel-Switches.

Das Unternehmen hat Indikatoren für eine Kompromittierung im Zusammenhang mit der Kampagne veröffentlicht. Organisationen, die betroffene Produkte einsetzen, können diese Erkenntnisse nutzen, um ihre Systeme zu überprüfen, verfügbare Sicherheitsupdates zu installieren und verdächtige Zugriffe zu untersuchen.