Nuclei-Vorlagen für die CMS-Exploitation-Kampagne

Defensives Nuclei-Vorlagenpaket für die groß angelegte CMS-Exploitation-Kampagne, die vom Australian Cyber Security Centre des ASD am 9. Juli 2026 gemeldet wurde.

Advisory: https://www.cyber.gov.au/about-us/view-all-content/alerts-and-advisories/large-scale-exploitation-campaign-targeting-website-content-management-systems-cms

Kontext

Diese Warnung betrifft alle australischen Website-Inhaber und Website-Verantwortlichen und richtet sich an ein technisches Publikum.

Das ACSC des ASD hat eine groß angelegte Exploitation-Kampagne gemeldet, die weltweit Schwachstellen in Content-Management-Systemen ausnutzt, auch in Australien, von der viele kleine und mittlere australische Unternehmen betroffen sind.

Böswillige Cyber-Akteure scannen aktiv Websites nach Gelegenheiten, Webshells zu platzieren, indem sie Schwachstellen in CMS-Software und Plugins ausnutzen. Die ausgenutzten Schwachstellenklassen ermöglichen hauptsächlich nicht authentifizierte Datei-Uploads, Remote-Code-Ausführung, Server-Side-Request-Forgery oder Deserialisierung.

Einmal platziert, können Webshells Fernzugriff und Kontrolle über angegriffene Webserver ermöglichen. Kompromittierte Server können für Website-Verunstaltung oder -Störung, die Erbeutung von Zugangsdaten und Daten, die Zustellung von Malware an legitime Website-Besucher oder als Weg für eine umfassendere Netzwerk-Kompromittierung genutzt werden.

Abdeckung

Dieses Repository enthält 16 CVE-Vorlagen und 2 Vorlagen zur reinen Produkterkennung für den Kampagnensatz.

pay-uz-detect.yaml und maxsite-cms-detect.yaml bestätigen nur das Vorhandensein der Produkte. Sie bestätigen weder eine verwundbare Version noch die Ausnutzbarkeit.

Wo verfügbar, wurden passive, auf Wordfence basierende Prüfungen aus topscoder/nuclei-wordfence-cve gegenüber aktiven POST-Prüfungen bevorzugt. Die verbleibenden POST-basierten Vorlagen sind auf Fälle beschränkt, in denen hier kein passiver Ersatz hinzugefügt wurde.

Klonen und Ausführen

Nuclei installieren oder aktualisieren:

go install github.com/projectdiscovery/nuclei/v3/cmd/nuclei@latest
nuclei -update

Dieses Repository klonen:

git clone https://github.com/rxerium/cms-exploitation-campaign.git
cd cms-exploitation-campaign

Eine Zielliste mit einer URL pro Zeile erstellen:

cat > targets.txt <<'EOF'
https://example.com
https://cms.example.org
EOF

Alle Vorlagen ausführen:

nuclei -l targets.txt -t . -o cms-campaign-results.txt

Mit konservativen Ratenlimits ausführen:

nuclei -l targets.txt -t . -rl 5 -c 2 -retries 1 -timeout 10 -o cms-campaign-results.txt

Eine einzelne CVE-Vorlage ausführen:

nuclei -l targets.txt -t CVE-2024-9234.yaml -o CVE-2024-9234-results.txt

Eine Vorlage zur reinen Produkterkennung ausführen:

nuclei -l targets.txt -t pay-uz-detect.yaml -o pay-uz-detect-results.txt

Sofortmaßnahmen zur Schadensbegrenzung

Das ACSC des ASD empfiehlt Website-Inhabern zu prüfen, ob Server betroffen wurden, und entsprechend Abhilfe zu schaffen:

• Untersuchen Sie CMS-Webverzeichnisse und Plugin-Verzeichnisse auf Webshells oder ungewöhnliche Änderungen an internetfähigen Dateien.
• Prüfen Sie Webzugriffsprotokolle auf IP-Adressen, die GET- oder POST-Anfragen an Webshell-Pfade stellen.
• Behandeln Sie Server mit identifizierten Webshells als kompromittiert, isolieren Sie sie und prüfen Sie Authentifizierung und Netzwerkprotokollierung.
• Suchen Sie rückwirkend nach verdächtigen Webanfragen, die mit der anfänglichen Exploitation und der Platzierung von Webshells in Verbindung stehen.
• Prüfen Sie Netzwerkprotokolle auf Interaktionen mit IP-Adressen, die nachweislich mit Webshells kommuniziert haben.
• Untersuchen Sie Protokollierung und Hosts auf Persistenz, seitliche Bewegung, Kontenerstellung, Exfiltrationsversuche oder Malware-Bereitstellung.
• Patchen Sie verwundbare Systeme, um eine erneute Infektion zu verhindern, entfernen oder isolieren Sie Webshells und Malware, entfernen Sie Persistenzmechanismen und bringen Sie Systeme erst wieder online, wenn es sicher ist.
• Stellen Sie Websites aus einem aktuellen, bekanntermaßen guten Backup wieder her, wenn eine Kompromittierung angezeigt wird.

Zu den weiteren Schutzmaßnahmen gehören: CMS-Software und Plugins auf dem neuesten Stand halten, Sicherheitspatches automatisch anwenden, wo dies akzeptabel ist, Plugins mit aktiv ausgenutzten Schwachstellen deaktivieren, bis sie gepatcht sind, Cloud-Dienste nutzen, bei denen Anbieter Schwachstellen schnell beheben, Dateierstellung in Webverzeichnissen überwachen oder blockieren, Datei- und Pfadzugriff einschränken, unerwartete Webserver-Kindprozesse überwachen, Anwendungssteuerung anwenden und unnötige Netzwerkkommunikation zwischen internetfähigen Websites und Unternehmensgeräten einschränken.

Wenn ein Dienstanbieter Ihre Website betreut, verweisen Sie ihn auf das Advisory. Organisationen, die betroffen sind, eine Betroffenheit vermuten oder Beratung und Unterstützung benötigen, können das ACSC des ASD über https://www.cyber.gov.au/report benachrichtigen.

Quellen

Die Vorlagen wurden gesammelt aus oder abgeleitet von:

• ProjectDiscovery nuclei-templates: https://github.com/projectdiscovery/nuclei-templates
• topscoder nuclei-wordfence-cve: https://github.com/topscoder/nuclei-wordfence-cve
• Wordfence Intelligence: https://www.wordfence.com/threat-intel/
• rxerium templates: https://github.com/rxerium/rxerium-templates
• Das oben genannte Advisory des ACSC des ASD

Verwenden Sie die Vorlagen nur für Assets, die Ihnen gehören oder die Sie bewerten dürfen. Validieren Sie Ergebnisse manuell, bevor Sie einen Host als verwundbar behandeln.