cms-exploitation-campaign

Campagna di sfruttamento su larga scala contro dispositivi CMS segnalata a luglio 2026

pay-uz-detect.yaml e maxsite-cms-detect.yaml confermano solo la presenza del prodotto. Non confermano la versione vulnerabile né la sfruttabilità.

Dove disponibili, sono state preferite le verifiche passive derivate da Wordfence di topscoder/nuclei-wordfence-cve rispetto alle verifiche POST attive. I restanti template basati su POST sono limitati ai casi in cui non è stata aggiunta qui alcuna sostituzione passiva.

Clona ed esegui

Installa o aggiorna Nuclei:

Clona questo repository:

Crea un elenco di target con un URL per riga:

Esegui tutti i template:

Esegui con limiti di velocità conservativi:

Esegui un singolo template CVE:

Esegui un template di rilevamento solo prodotto:

Indicazioni immediate per la mitigazione

L'ACSC dell'ASD raccomanda ai proprietari di siti web di confermare se i server sono stati compromessi e di porvi rimedio di conseguenza:

• Ispeziona le directory web del CMS e le directory dei plugin alla ricerca di webshell o di modifiche anomale ai file esposti su internet.
• Esamina i log di accesso web per individuare indirizzi IP che effettuano richieste GET o POST verso percorsi di webshell.
• Considera compromessi i server con webshell identificate, isolali e verifica autenticazione e registrazione di rete.
• Cerca a ritroso nei log le richieste web sospette collegate allo sfruttamento iniziale e alla distribuzione delle webshell.
• Rivedi i log di rete per individuare interazioni con indirizzi IP che hanno comunicato con le webshell.
• Indaga su log e host per individuare persistenza, movimento laterale, creazione di account, tentativi di esfiltrazione o distribuzione di malware.
• Applica le patch ai sistemi vulnerabili per prevenire la reinfezione, rimuovi o metti in quarantena webshell e malware, elimina i meccanismi di persistenza e riporta i sistemi online solo quando è sicuro.
• Ripristina i siti web da un backup recente noto come integro quando è indicata una compromissione.

Ulteriori protezioni includono mantenere aggiornati il software CMS e i plugin, applicare automaticamente le patch di sicurezza dove accettabile, disabilitare i plugin con vulnerabilità attivamente sfruttate fino alla patch, utilizzare servizi cloud in cui i provider rimediano rapidamente alle vulnerabilità, monitorare o bloccare la creazione di file nelle directory web, limitare l'accesso a file e percorsi, monitorare processi figlio inattesi del server web, applicare il controllo delle applicazioni e limitare le comunicazioni di rete non necessarie tra i siti web esposti su internet e i dispositivi aziendali.

Se il tuo sito web è gestito da un fornitore di servizi, segnalagli l'avviso. Le organizzazioni che sono state colpite, sospettano di esserlo o necessitano di consulenza e assistenza possono contattare l'ACSC dell'ASD tramite https://www.cyber.gov.au/report.

Riconoscimenti

I template sono stati raccolti da o derivati da:

• ProjectDiscovery nuclei-templates: https://github.com/projectdiscovery/nuclei-templates
• topscoder nuclei-wordfence-cve: https://github.com/topscoder/nuclei-wordfence-cve
• Wordfence Intelligence: https://www.wordfence.com/threat-intel/
• rxerium templates: https://github.com/rxerium/rxerium-templates
• L'avviso dell'ACSC dell'ASD sopra indicato

Utilizza i template solo su asset di tua proprietà o per i quali sei autorizzato a effettuare valutazioni. Valida manualmente i risultati prima di considerare vulnerabile un host.