Шаблоны Nuclei для кампании эксплуатации CMS

Оборонный пакет шаблонов Nuclei для широкомасштабной кампании эксплуатации CMS, о которой сообщил Австралийский центр кибербезопасности (ACSC) при ASD 9 июля 2026 года.

Рекомендации: https://www.cyber.gov.au/about-us/view-all-content/alerts-and-advisories/large-scale-exploitation-campaign-targeting-website-content-management-systems-cms

Контекст

Это предупреждение актуально для всех австралийских владельцев и администраторов веб-сайтов и предназначено для технической аудитории.

ACSC при ASD сообщило о широкомасштабной кампании эксплуатации, нацеленной на уязвимости в системах управления контентом (CMS) по всему миру, включая Австралию; пострадало множество малых и средних австралийских предприятий.

Злоумышленники активно сканируют веб-сайты в поисках возможностей развернуть веб-шеллы, используя уязвимости в CMS-программном обеспечении и плагинах. Эксплуатируемые классы уязвимостей в первую очередь позволяют неаутентифицированную загрузку файлов, удалённое выполнение кода, подделку серверных запросов (SSRF) или десериализацию.

После развёртывания веб-шеллы могут обеспечить удалённый доступ и управление целевыми веб-серверами. Скомпрометированные серверы могут использоваться для дефейса или нарушения работы сайтов, кражи учётных данных и данных, доставки вредоносного ПО легитимным пользователям сайтов или как путь для более широкого компрометирования сети.

Охват

Этот репозиторий включает 16 шаблонов CVE и 2 шаблона обнаружения только по наличию продукта для набора, связанного с кампанией.

pay-uz-detect.yaml и maxsite-cms-detect.yaml подтверждают только наличие продукта. Они не подтверждают уязвимую версию или возможность эксплуатации.

Там, где это было возможно, предпочтение отдавалось пассивным проверкам на основе Wordfence из topscoder/nuclei-wordfence-cve вместо активных POST-проверок. Остальные шаблоны на основе POST ограничены случаями, для которых здесь не добавлено пассивной замены.

Клонирование и запуск

Установите или обновите Nuclei:

go install github.com/projectdiscovery/nuclei/v3/cmd/nuclei@latest
nuclei -update

Клонируйте этот репозиторий:

git clone https://github.com/rxerium/cms-exploitation-campaign.git
cd cms-exploitation-campaign

Создайте список целей по одному URL в строке:

cat > targets.txt <<'EOF'
https://example.com
https://cms.example.org
EOF

Запустите все шаблоны:

nuclei -l targets.txt -t . -o cms-campaign-results.txt

Запустите с консервативными ограничениями скорости:

nuclei -l targets.txt -t . -rl 5 -c 2 -retries 1 -timeout 10 -o cms-campaign-results.txt

Запустите отдельный шаблон CVE:

nuclei -l targets.txt -t CVE-2024-9234.yaml -o CVE-2024-9234-results.txt

Запустите шаблон обнаружения только по наличию продукта:

nuclei -l targets.txt -t pay-uz-detect.yaml -o pay-uz-detect-results.txt

Рекомендации по немедленному смягчению последствий

ACSC при ASD рекомендует владельцам веб-сайтов проверить, были ли серверы затронуты, и устранить последствия:

• Проверьте веб-каталоги CMS и каталоги плагинов на наличие веб-шеллов или аномальных изменений файлов, доступных из интернета.
• Изучите журналы веб-доступа на предмет IP-адресов, выполняющих GET или POST запросы к путям веб-шеллов.
• Считайте серверы с обнаруженными веб-шеллами скомпрометированными, изолируйте их и проведите аудит аутентификации и сетевого журналирования.
• Проанализируйте прошлые события на предмет подозрительных веб-запросов, связанных с первоначальной эксплуатацией и развёртыванием веб-шеллов.
• Просмотрите сетевые журналы на предмет взаимодействий с IP-адресами, которые, как замечено, связывались с веб-шеллами.
• Проверьте журналы и хосты на наличие признаков закрепления, горизонтального перемещения, создания учётных записей, попыток выгрузки данных или развёртывания вредоносного ПО.
• Установите исправления на уязвимые системы для предотвращения повторного заражения, удалите или поместите в карантин веб-шеллы и вредоносное ПО, устраните механизмы закрепления и возвращайте системы в строй только после того, как это станет безопасно.
• Восстановите веб-сайты из последней заведомо рабочей резервной копии при наличии признаков компрометации.

Дополнительные меры защиты включают поддержание CMS-программного обеспечения и плагинов в актуальном состоянии, автоматическое применение исправлений безопасности там, где это приемлемо, отключение плагинов с активно эксплуатируемыми уязвимостями до установки исправлений, использование облачных сервисов, где провайдеры быстро устраняют уязвимости, мониторинг или блокировку создания файлов в веб-каталогах, ограничение доступа к файлам и путям, мониторинг неожиданных дочерних процессов веб-сервера, применение контроля приложений и ограничение ненужного сетевого взаимодействия между веб-сайтами, доступными из интернета, и корпоративными устройствами.

Если ваш веб-сайт обслуживает поставщик услуг, укажите ему на эти рекомендации. Организации, которые пострадали, подозревают, что пострадали, или нуждаются в консультации и помощи, могут уведомить ACSC при ASD через https://www.cyber.gov.au/report.

Источники

Шаблоны были собраны из следующих источников или созданы на их основе:

• ProjectDiscovery nuclei-templates: https://github.com/projectdiscovery/nuclei-templates
• topscoder nuclei-wordfence-cve: https://github.com/topscoder/nuclei-wordfence-cve
• Wordfence Intelligence: https://www.wordfence.com/threat-intel/
• rxerium templates: https://github.com/rxerium/rxerium-templates
• рекомендации ACSC при ASD, указанные выше

Используйте только на активах, которыми вы владеете или на оценку которых у вас есть разрешение. Подтверждайте результаты вручную, прежде чем считать хост уязвимым.