El Centro de Ciberseguridad de Australia (ACSC) advirtió sobre una campaña global que explota vulnerabilidades en sistemas de gestión de contenidos (CMS) y plugins, como WordPress y Joomla. Los atacantes instalan "webshells" para obtener acceso persistente, robar credenciales y desplegar malware, posiblemente utilizando IA para escalar los ataques. Se recomienda a los administradores actualizar sus sistemas, eliminar componentes no utilizados y monitorear la creación de archivos no autorizados.

El Centro de Ciberseguridad de Australia (ACSC) ha emitido una alerta sobre una campaña de explotación global dirigida a sistemas de gestión de contenidos (CMS) y plugins vulnerables.

La agencia gubernamental afirma que muchas empresas australianas ya se han visto afectadas por esta actividad maliciosa, mediante el despliegue de webshells en sus sitios.

Las webshells proporcionan acceso persistente a los sitios comprometidos y permiten a los actores de amenazas interrumpir servicios, robar credenciales, plantar malware adicional y profundizar en la red.


“Una campaña de explotación a gran escala está dirigida a diversas vulnerabilidades en sistemas de gestión de contenidos (CMS) a nivel mundial, incluida Australia, afectando a muchas empresas australianas pequeñas y medianas”, advierte el ACSC.

“Como parte de esta campaña, actores cibernéticos maliciosos están escaneando activamente sitios web en busca de oportunidades para desplegar webshells, aprovechando diversas vulnerabilidades que afectan al software de CMS y a los plugins”.

Según la agencia, la actividad aprovecha fallos en varias plataformas de CMS y plugins, incluidos WordPress, Craft CMS, MaxSite CMS, MetInfo CMS y Joomla JCE. El ACSC enumera los siguientes productos explotados en la campaña:

• * Simple File List (WordPress) – CVE-2025-34085/CVE-2020-36847
• * WavePlayer (WordPress) – CVE-2025-12057
• * BerqWP (WordPress) – CVE-2025-7443
• * WPBookit (WordPress) – CVE-2025-7852
• * Ninja Forms (WordPress) – CVE-2026-0740
• * ThemeREX Addons (WordPress) – CVE-2026-1969
• * Breeze Cache (WordPress) – CVE-2026-3844
• * pay-uz (WordPress) – CVE-2026-31843
• * ACF Extended (WordPress) – CVE-2025-13486
• * Sneeit Framework – CVE-2025-6389
• * WPvivid Backup (WordPress) – CVE-2026-1357
• * Gravity Forms (WordPress) – CVE-2025-12352
• * GutenKit/Hunk Companion (WordPress) – probablemente CVE-2024-9234
• * Craft CMS – CVE-2025-32432
• * MaxSite CMS – CVE-2026-3395
• * MetInfo CMS – CVE-2026-29014
• * Joomla JCE – CVE-2026-48907

El ACSC señaló que la campaña podría estar respaldada por IA, lo que normalmente ayuda a los actores de amenazas a acelerar los ataques y escalar la explotación de fallos emergentes.

Se recomienda a los administradores de sitios web aplicar las últimas actualizaciones de seguridad para su CMS, temas y plugins, eliminar componentes no utilizados y activar las actualizaciones automáticas siempre que sea posible.

También se recomienda configurar los directorios web como de solo lectura cuando sea posible, monitorizar la creación de archivos no autorizados, restringir el acceso a directorios sensibles y bloquear la generación inesperada de procesos hijos en el servidor web.

Fuente:
BleepingComputer