CMSエクスプロイトキャンペーンNucleiテンプレート

2026年7月9日にASDのオーストラリアサイバーセキュリティセンター(ACSC)が報告した、大規模なCMSエクスプロイトキャンペーン向けの防御用Nucleiテンプレートパックです。

勧告: https://www.cyber.gov.au/about-us/view-all-content/alerts-and-advisories/large-scale-exploitation-campaign-targeting-website-content-management-systems-cms

背景

この警告は、オーストラリアのすべてのウェブサイト所有者およびウェブサイト管理者に関連するものであり、技術的な読者を対象としています。

ASDのACSCは、オーストラリアを含む世界規模でコンテンツ管理システムの脆弱性を標的とした大規模なエクスプロイトキャンペーンを報告しました。多くのオーストラリアの中小企業が影響を受けています。

悪意のあるサイバー攻撃者は、CMSソフトウェアおよびプラグインの脆弱性を悪用してウェブシェルを展開する機会を求めて、ウェブサイトを積極的にスキャンしています。悪用される脆弱性のクラスは、主に認証なしのファイルアップロード、リモートコード実行、サーバーサイドリクエストフォージェリ、またはデシリアライゼーションを許可するものです。

ウェブシェルが展開されると、標的のウェブサーバーへのリモートアクセスおよび制御が可能になります。侵害されたサーバーは、ウェブサイトの改ざんや妨害、認証情報やデータの取得、正規のウェブサイト利用者へのマルウェア配信、あるいはネットワーク全体への侵害経路として使用される可能性があります。

対象範囲

このリポジトリには、このキャンペーンセット向けの16個のCVEテンプレートと2個の製品専用検出テンプレートが含まれています。

pay-uz-detect.yaml と maxsite-cms-detect.yaml は製品の存在のみを確認します。脆弱なバージョンや悪用可能性を確認するものではありません。

可能な場合、topscoder/nuclei-wordfence-cve 由来の受動的なWordfenceベースのチェックが、能動的なPOSTチェックよりも優先されました。残りのPOSTベースのテンプレートは、ここに受動的な代替手段が追加されていないケースに限定されています。

クローンと実行

Nucleiをインストールまたは更新:

go install github.com/projectdiscovery/nuclei/v3/cmd/nuclei@latest
nuclei -update

このリポジトリをクローン:

git clone https://github.com/rxerium/cms-exploitation-campaign.git
cd cms-exploitation-campaign

1行に1つのURLを記載したターゲットリストを作成:

cat > targets.txt <<'EOF'
https://example.com
https://cms.example.org
EOF

すべてのテンプレートを実行:

nuclei -l targets.txt -t . -o cms-campaign-results.txt

控えめなレート制限で実行:

nuclei -l targets.txt -t . -rl 5 -c 2 -retries 1 -timeout 10 -o cms-campaign-results.txt

単一のCVEテンプレートを実行:

nuclei -l targets.txt -t CVE-2024-9234.yaml -o CVE-2024-9234-results.txt

製品専用検出テンプレートを実行:

nuclei -l targets.txt -t pay-uz-detect.yaml -o pay-uz-detect-results.txt

即時緩和策のガイダンス

ASDのACSCは、ウェブサイト所有者に対し、サーバーが影響を受けていないか確認し、それに応じて是正することを推奨しています:

• CMSのWebディレクトリおよびプラグインディレクトリに、ウェブシェルや異常なインターネット公開ファイルの変更がないか検査する。
• Webアクセスログで、ウェブシェルのパスに対してGETまたはPOSTリクエストを行ったIPアドレスを調査する。
• ウェブシェルが特定されたサーバーは侵害されたものとして扱い、隔離し、認証およびネットワークのロギングを監査する。
• 初期エクスプロイトとウェブシェル展開に関連する不審なWebリクエストを遡って調査する。
• ウェブシェルと通信しているのが確認されたIPアドレスとのやり取りについて、ネットワークログを確認する。
• 永続化、横展開、アカウント作成、外部持ち出しの試行、またはマルウェア展開の兆候について、ロギングとホストを調査する。
• 再感染を防ぐために脆弱なシステムにパッチを適用し、ウェブシェルとマルウェアを削除または隔離し、永続化メカニズムを除去し、安全な場合にのみシステムをオンラインに戻す。
• 侵害が示唆される場合は、最近の既知の正常なバックアップからウェブサイトを復元する。

追加の保護策としては、CMSソフトウェアとプラグインを最新の状態に保つこと、許容できる場合はセキュリティパッチを自動適用すること、活発に悪用されている脆弱性のあるプラグインがパッチ適用されるまで無効化すること、プロバイダーが脆弱性を迅速に修正するクラウドサービスを利用すること、Webディレクトリ内のファイル作成を監視またはブロックすること、ファイルおよびパスへのアクセスを制限すること、予期しないウェブサーバーの子プロセスを監視すること、アプリケーション制御を適用すること、インターネット公開サイトと企業デバイス間の不要なネットワーク通信を制限することなどが含まれます。

サービスプロバイダーがウェブサイトを管理している場合は、そのプロバイダーに勧告を伝えてください。影響を受けた組織、影響を受けた可能性がある組織、またはアドバイスや支援を必要とする組織は、https://www.cyber.gov.au/report からASDのACSCに通知できます。

クレジット

テンプレートは以下から収集、または派生しました:

• ProjectDiscovery nuclei-templates: https://github.com/projectdiscovery/nuclei-templates
• topscoder nuclei-wordfence-cve: https://github.com/topscoder/nuclei-wordfence-cve
• Wordfence Intelligence: https://www.wordfence.com/threat-intel/
• rxerium templates: https://github.com/rxerium/rxerium-templates
• 上記のASDのACSC勧告

所有している、または評価を許可されている資産に対してのみ使用してください。ホストを脆弱として扱う前に、調査結果を手動で検証してください。