یک گروه تهدید احتمالاً چینی-زبان با استفاده از زنجیره‌ای از آسیب‌پذیری‌های بحرانی در WordPress که تحت عنوان wp2shell شناخته می‌شود، موفق شده است سازمان‌های دولتی و کسب‌وکارهای کوچک در ۲۹ کشور را هدف قرار دهد. در یکی از جدی‌ترین موارد، بیش از ۱۸,۵۶۶ رکورد حساس از یک سازمان دولتی غربی به سرقت رفته است.
تحلیل فنی زنجیره حمله (Attack Chain)
این حمله از ترکیب دو آسیب‌پذیری کلیدی برای دستیابی به اجرای کد از راه دور (RCE) بدون نیاز به احراز هویت استفاده می‌کند:
- CVE-2026-63030: یک نقص Route-Confusion در نقطه پایانی (Endpoint) مربوط به REST API batch در وردپرس.
- CVE-2026-60137: یک نقص SQL Injection در پارامتر author__not_in مربوط به مؤلفه WP_Query.
ترکیب این دو نقص به مهاجم اجازه می‌دهد بدون نیاز به پلاگین‌های خاص، اعتبارنامه‌های معتبر یا دسترسی قبلی، کدهای دلخواه خود را بر روی سیستم‌های آسیب‌پذیر اجرا کند. نسخه‌های affected شامل WordPress 6.8.x (قبل از 6.8.6)، 6.9.x (قبل از 6.9.5) و 7.0.x (قبل از 7.0.2) هستند.
جزئیات عملیات نفوذ و گسترش
مهاجمان پس از بهره‌برداری اولیه، یک Web Shell سفارشی را مستقر کرده و در کمتر از ۱۱ دقیقه، جدول کاربران وردپرس را استخراج و ۱۳ حساب مدیر (Administrator) را سرقت کردند. برای پنهان شدن در تاریخچه حساب‌ها، مهاجم یک حساب جعلی ایجاد کرده و تاریخ ثبت آن را به سال ۲۰۲۵ تغییر داد.
در مراحل بعدی، مهاجم با استفاده از ابزارهای Enumeration، تنظیمات Microsoft Defender، کاربران محلی، سرویس‌های در حال اجرا و فایل‌های پیکربندی وردپرس را بررسی کرد. همچنین گزارش شده است که مهاجم از ۱۷ نسخه مختلف از اسکریپت‌ها برای دور زدن AMSI (رابط اسکن آنتی‌مالویر مایکروسافت) و تلاش برای Privilege Escalation استفاده کرده است.
استخراج داده‌ها و ابزارهای مورد استفاده
با یافتن اعتبارنامه‌های دیتابیس در فایل‌های پیکربندی، مهاجم از تکنیک Password Spraying علیه منابع داخلی استفاده کرد و به یک دیتابیس SQL داخلی دسترسی یافت. در نهایت، با استفاده از دو ابزار جمع‌آوری داده سفارشی، اطلاعات حساس شامل رمزهای عبور Plaintext و داده‌های شناسایی شخصی (PII) مربوط به سازمان‌های انتظامی و دولتی استخراج شد.
تحلیلگران GreyNoise معتقدند این فعالیت‌ها با گروه Red Heron مرتبط است. همچنین شواهدی وجود دارد که نشان می‌دهد مهاجم برای تولید ابزارهای حمله از مدل‌های زبانی بزرگ (LLM) کمک گرفته است، زیرا تغییرات سطحی بین نسخه‌های مختلف ابزارها و وجود کامنت‌های چینی در کدها مشاهده شده است.
توصیه‌های امنیتی برای مدیران SOC و مهندسان
سازمان‌هایی که از WordPress استفاده می‌کنند باید فوراً اقدامات زیر را انجام دهند:
- به‌روزرسانی سریع به نسخه‌های 6.8.6، 6.9.5 یا 7.0.2.
- بررسی نشانه‌های نفوذ (IoC) شامل حساب‌های مدیر ناشناخته، پلاگین‌های غیرمعمول و آرشیوهای مشکوک در دایرکتوری‌های وب.
- مانیتورینگ دقیق دسترسی‌های غیرعادی به مسیر
/wp-json/batch/v1. - در صورت عدم امکان به‌روزرسانی فوری، محدود کردن دسترسی‌های ناشناس به REST batch endpoint از طریق WAF.
