CMS शोषण अभियान Nuclei टेम्पलेट्स

ASD के ऑस्ट्रेलियाई साइबर सुरक्षा केंद्र द्वारा 9 जुलाई 2026 को रिपोर्ट किए गए बड़े पैमाने पर CMS शोषण अभियान के लिए रक्षात्मक Nuclei टेम्पलेट पैक।

परामर्श: https://www.cyber.gov.au/about-us/view-all-content/alerts-and-advisories/large-scale-exploitation-campaign-targeting-website-content-management-systems-cms

संदर्भ

यह अलर्ट सभी ऑस्ट्रेलियाई वेबसाइट मालिकों और वेबसाइट प्रबंधकों के लिए प्रासंगिक है, और तकनीकी दर्शकों के लिए है।

ASD के ACSC ने वैश्विक स्तर पर, जिसमें ऑस्ट्रेलिया भी शामिल है, कंटेंट प्रबंधन प्रणालियों में कमजोरियों को लक्षित करने वाले बड़े पैमाने पर शोषण अभियान की सूचना दी, जिससे कई छोटे और मध्यम आकार के ऑस्ट्रेलियाई व्यवसाय प्रभावित हुए।

दुर्भावनापूर्ण साइबर अभिनेता CMS सॉफ़्टवेयर और प्लगइन्स में कमजोरियों का लाभ उठाकर वेबशेल तैनात करने के अवसरों के लिए सक्रिय रूप से वेबसाइटों को स्कैन कर रहे हैं। शोषित कमजोरी वर्ग मुख्य रूप से अनप्रमाणित फ़ाइल अपलोड, रिमोट कोड निष्पादन, सर्वर-साइड रिक्वेस्ट फोर्जरी या डिसीरियलाइज़ेशन की अनुमति देते हैं।

एक बार तैनात होने के बाद, वेबशेल लक्षित वेब सर्वरों तक रिमोट एक्सेस और नियंत्रण की अनुमति दे सकते हैं। समझौता किए गए सर्वरों का उपयोग वेबसाइट विरूपण या व्यवधान, क्रेडेंशियल और डेटा कैप्चर, वैध वेबसाइट उपयोगकर्ताओं को मैलवेयर वितरण, या व्यापक नेटवर्क समझौते के मार्ग के रूप में किया जा सकता है।

कवरेज

इस रिपॉजिटरी में अभियान के लिए 16 CVE टेम्पलेट और 2 केवल-उत्पाद डिटेक्शन टेम्पलेट शामिल हैं।

सॉफ़्टवेयर / प्लगइन	CVE	टेम्पलेट	डिटेक्शन प्रकार
Simple File List (WordPress)	CVE-2025-34085	`CVE-2025-34085.yaml`	CVE टेम्पलेट
Simple File List (WordPress)	CVE-2020-36847	`CVE-2020-36847.yaml`	CVE टेम्पलेट
WavePlayer (WordPress)	CVE-2025-12057	`CVE-2025-12057.yaml`	CVE टेम्पलेट
BerqWP (WordPress)	CVE-2025-7443	`CVE-2025-7443.yaml`	CVE टेम्पलेट
WPBookit (WordPress)	CVE-2025-7852	`CVE-2025-7852.yaml`	CVE टेम्पलेट
Ninja Forms (WordPress)	CVE-2026-0740	`CVE-2026-0740.yaml`	CVE टेम्पलेट
ThemeREX Addons (WordPress)	CVE-2026-1969	`CVE-2026-1969.yaml`	CVE टेम्पलेट
Breeze Cache (WordPress)	CVE-2026-3844	`CVE-2026-3844.yaml`	CVE टेम्पलेट
pay-uz (WordPress)	CVE-2026-31843	`pay-uz-detect.yaml`	केवल उत्पाद डिटेक्शन
ACF Extended (WordPress)	CVE-2025-13486	`CVE-2025-13486.yaml`	CVE टेम्पलेट
Sneeit Framework	CVE-2025-6389	`CVE-2025-6389.yaml`	CVE टेम्पलेट
WPvivid Backup (WordPress)	CVE-2026-1357	`CVE-2026-1357.yaml`	CVE टेम्पलेट
Gravity Forms (WordPress)	CVE-2025-12352	`CVE-2025-12352.yaml`	CVE टेम्पलेट
GutenKit/Hunk Companion (WordPress)	संभावित CVE-2024-9234	`CVE-2024-9234.yaml`	CVE टेम्पलेट
Craft CMS	CVE-2025-32432	`CVE-2025-32432.yaml`	CVE टेम्पलेट
MaxSite CMS	CVE-2026-3395	`maxsite-cms-detect.yaml`	केवल उत्पाद डिटेक्शन

pay-uz-detect.yaml और maxsite-cms-detect.yaml केवल उत्पाद की उपस्थिति की पुष्टि करते हैं। वे कमजोर संस्करण या शोषण की क्षमता की पुष्टि नहीं करते हैं।

जहां उपलब्ध है, topscoder/nuclei-wordfence-cve से व्युत्पन्न निष्क्रिय Wordfence-आधारित जांचों को सक्रिय POST जांचों पर प्राथमिकता दी गई। शेष POST-आधारित टेम्पलेट केवल उन मामलों तक सीमित हैं जहां यहां कोई निष्क्रिय प्रतिस्थापन नहीं जोड़ा गया है।

क्लोन करें और चलाएं

Nuclei इंस्टॉल या अपडेट करें:

go install github.com/projectdiscovery/nuclei/v3/cmd/nuclei@latest
nuclei -update

इस रिपॉजिटरी को क्लोन करें:

git clone https://github.com/rxerium/cms-exploitation-campaign.git
cd cms-exploitation-campaign

प्रति पंक्ति एक URL के साथ एक लक्ष्य सूची बनाएं:

cat > targets.txt <<'EOF'
https://example.com
https://cms.example.org
EOF

सभी टेम्पलेट चलाएं:

nuclei -l targets.txt -t . -o cms-campaign-results.txt

रूढ़िवादी दर सीमाओं के साथ चलाएं:

nuclei -l targets.txt -t . -rl 5 -c 2 -retries 1 -timeout 10 -o cms-campaign-results.txt

एकल CVE टेम्पलेट चलाएं:

nuclei -l targets.txt -t CVE-2024-9234.yaml -o CVE-2024-9234-results.txt

केवल-उत्पाद डिटेक्शन टेम्पलेट चलाएं:

nuclei -l targets.txt -t pay-uz-detect.yaml -o pay-uz-detect-results.txt

तत्काल शमन मार्गदर्शन

ASD का ACSC अनुशंसा करता है कि वेबसाइट मालिक यह पुष्टि करें कि सर्वर प्रभावित हुए हैं या नहीं और तदनुसार उपाय करें:

वेबशेल या असामान्य इंटरनेट-फेसिंग फ़ाइल परिवर्तनों के लिए CMS वेब निर्देशिकाओं और प्लगइन निर्देशिकाओं का निरीक्षण करें।
वेबशेल पथों पर GET या POST अनुरोध करने वाले IP पतों के लिए वेब एक्सेस लॉग की जाँच करें।
पहचाने गए वेबशेल वाले सर्वरों को समझौता किए गए के रूप में मानें, उन्हें अलग करें, और प्रमाणीकरण और नेटवर्क लॉगिंग का ऑडिट करें।
प्रारंभिक शोषण और वेबशेल तैनाती से जुड़े संदिग्ध वेब अनुरोधों के लिए पीछे देखें।
वेबशेल के साथ संवाद करते देखे गए IP पतों के साथ इंटरैक्शन के लिए नेटवर्क लॉग की समीक्षा करें।
पर्सिस्टेंस, पार्श्व गति, खाता निर्माण, एक्सफिल्ट्रेशन प्रयास या मैलवेयर तैनाती के लिए लॉगिंग और होस्ट की जाँच करें।
पुन: संक्रमण को रोकने के लिए कमजोर सिस्टम को पैच करें, वेबशेल और मैलवेयर को हटाएं या क्वारंटीन करें, पर्सिस्टेंस तंत्र हटाएं, और सिस्टम को केवल तभी ऑनलाइन लाएं जब सुरक्षित हो।
जहां समझौते का संकेत मिले, वहां हाल के ज्ञात-अच्छे बैकअप से वेबसाइटों को पुनर्स्थापित करें।

अतिरिक्त सुरक्षा में CMS सॉफ़्टवेयर और प्लगइन्स को अद्यतित रखना, जहां स्वीकार्य हो सुरक्षा पैच स्वचालित रूप से लागू करना, पैच होने तक सक्रिय रूप से शोषित कमजोरियों वाले प्लगइन्स को अक्षम करना, ऐसी क्लाउड सेवाओं का उपयोग करना जहां प्रदाता कमजोरियों को तेजी से ठीक करते हैं, वेब निर्देशिका फ़ाइल निर्माण की निगरानी या अवरोधन करना, फ़ाइल और पथ पहुंच प्रतिबंधित करना, अप्रत्याशित वेबसर्वर चाइल्ड प्रक्रियाओं की निगरानी करना, एप्लिकेशन नियंत्रण लागू करना, और इंटरनेट-फेसिंग वेबसाइटों और कॉर्पोरेट उपकरणों के बीच अनावश्यक नेटवर्क संचार सीमित करना शामिल है।

यदि कोई सेवा प्रदाता आपकी वेबसाइट का रखरखाव करता है, तो उन्हें परामर्श की ओर इंगित करें। जो संगठन प्रभावित हुए हैं, प्रभाव का संदेह करते हैं, या सलाह और सहायता की आवश्यकता है, वे https://www.cyber.gov.au/report के माध्यम से ASD के ACSC को सूचित कर सकते हैं।

क्रेडिट्स

टेम्पलेट निम्नलिखित से एकत्र या व्युत्पन्न किए गए थे:

ProjectDiscovery nuclei-templates: https://github.com/projectdiscovery/nuclei-templates
topscoder nuclei-wordfence-cve: https://github.com/topscoder/nuclei-wordfence-cve
Wordfence Intelligence: https://www.wordfence.com/threat-intel/
rxerium टेम्पलेट्स: https://github.com/rxerium/rxerium-templates
उपरोक्त ASD का ACSC परामर्श

केवल उन परिसंपत्तियों पर उपयोग करें जिनके आप स्वामी हैं या जिनका आकलन करने के लिए अधिकृत हैं। किसी होस्ट को कमजोर मानने से पहले निष्कर्षों को मैन्युअल रूप से सत्यापित करें।

cms-exploitation-campaign