Nuclei Templates da Campanha de Exploração de CMS

Pacote de templates Nuclei defensivos para a campanha de exploração de CMS em larga escala reportada pelo Australian Cyber Security Centre da ASD em 9 de julho de 2026.

Aviso: https://www.cyber.gov.au/about-us/view-all-content/alerts-and-advisories/large-scale-exploitation-campaign-targeting-website-content-management-systems-cms

Contexto

Este alerta é relevante para todos os proprietários e gestores de websites na Austrália e é destinado a um público técnico.

O ACSC da ASD reportou uma campanha de exploração em larga escala que visa vulnerabilidades em sistemas de gestão de conteúdo em todo o mundo, inclusive na Austrália, com muitas pequenas e médias empresas australianas impactadas.

Atores cibernéticos maliciosos estão ativamente varrendo websites em busca de oportunidades para implantar webshells, aproveitando vulnerabilidades em software CMS e plugins. As classes de vulnerabilidades exploradas permitem principalmente upload de arquivos não autenticado, execução remota de código, server-side request forgery (SSRF) ou desserialização.

Uma vez implantados, os webshells podem permitir acesso e controle remotos dos servidores web visados. Servidores comprometidos podem ser usados para desfiguração (defacement) ou interrupção de websites, captura de credenciais e dados, entrega de malware a usuários legítimos de websites ou como um caminho para um comprometimento mais amplo da rede.

Cobertura

Este repositório inclui 16 templates de CVE e 2 templates de detecção apenas de produto para o conjunto da campanha.

pay-uz-detect.yaml e maxsite-cms-detect.yaml confirmam apenas a presença do produto. Eles não confirmam versão vulnerável ou explorabilidade.

Quando disponíveis, verificações passivas derivadas do Wordfence, de topscoder/nuclei-wordfence-cve, foram preferidas em vez de verificações POST ativas. Os templates restantes baseados em POST são limitados a casos em que nenhuma substituição passiva foi adicionada aqui.

Clonar e executar

Instale ou atualize o Nuclei:

go install github.com/projectdiscovery/nuclei/v3/cmd/nuclei@latest
nuclei -update

Clone este repositório:

git clone https://github.com/rxerium/cms-exploitation-campaign.git
cd cms-exploitation-campaign

Crie uma lista de alvos com uma URL por linha:

cat > targets.txt <<'EOF'
https://example.com
https://cms.example.org
EOF

Execute todos os templates:

nuclei -l targets.txt -t . -o cms-campaign-results.txt

Execute com limites de taxa conservadores:

nuclei -l targets.txt -t . -rl 5 -c 2 -retries 1 -timeout 10 -o cms-campaign-results.txt

Execute um único template de CVE:

nuclei -l targets.txt -t CVE-2024-9234.yaml -o CVE-2024-9234-results.txt

Execute um template de detecção apenas de produto:

nuclei -l targets.txt -t pay-uz-detect.yaml -o pay-uz-detect-results.txt

Orientações imediatas de mitigação

O ACSC da ASD recomenda que os proprietários de websites confirmem se os servidores foram impactados e tomem as devidas medidas de remediação:

• Inspecione os diretórios web do CMS e os diretórios de plugins em busca de webshells ou alterações anormais em arquivos voltados para a internet.
• Examine os logs de acesso web em busca de endereços IP que fazem solicitações GET ou POST para caminhos de webshell.
• Trate servidores com webshells identificados como comprometidos, isole-os e audite a autenticação e o registro de eventos de rede.
• Analise retrospectivamente solicitações web suspeitas vinculadas à exploração inicial e à implantação do webshell.
• Revise os logs de rede em busca de interações com endereços IP vistos se comunicando com webshells.
• Investigue logs e hosts em busca de persistência, movimento lateral, criação de contas, tentativas de exfiltração ou implantação de malware.
• Aplique patches em sistemas vulneráveis para evitar reinfecção, remova ou coloque em quarentena webshells e malware, remova mecanismos de persistência e só coloque os sistemas novamente online quando for seguro.
• Restaure websites a partir de um backup recente íntegro quando houver indicação de comprometimento.

Proteções adicionais incluem manter o software CMS e os plugins atualizados, aplicar patches de segurança automaticamente onde for aceitável, desativar plugins com vulnerabilidades ativamente exploradas até que sejam corrigidos, usar serviços em nuvem onde os provedores corrigem vulnerabilidades rapidamente, monitorar ou bloquear a criação de arquivos em diretórios web, restringir o acesso a arquivos e caminhos, monitorar processos filhos inesperados do servidor web, aplicar controle de aplicativos e limitar a comunicação de rede desnecessária entre websites voltados para a internet e dispositivos corporativos.

Se um provedor de serviços mantém o seu website, aponte-o para o aviso. Organizações que foram impactadas, suspeitam de impacto ou precisam de aconselhamento e assistência podem notificar o ACSC da ASD por meio de https://www.cyber.gov.au/report.

Créditos

Os templates foram coletados de ou derivados de:

• ProjectDiscovery nuclei-templates: https://github.com/projectdiscovery/nuclei-templates
• topscoder nuclei-wordfence-cve: https://github.com/topscoder/nuclei-wordfence-cve
• Wordfence Intelligence: https://www.wordfence.com/threat-intel/
• rxerium templates: https://github.com/rxerium/rxerium-templates
• Aviso do ACSC da ASD acima

Use apenas em ativos que você possui ou está autorizado a avaliar. Valide os achados manualmente antes de tratar um host como vulnerável.