Un presunto actor de amenazas de habla china ha vulnerado al menos 49 organizaciones en 29 países aprovechando fallos de seguridad en WordPress. Mediante la explotación de la cadena wp2shell (específicamente los CVE-2026-63030 y CVE-2026-60137), los atacantes utilizaron sitios web comprometidos como plataforma para el robo de bases de datos, el abuso de credenciales y la intrusión en redes más amplias, logrando sustraer 18,566 registros gubernamentales y contraseñas en texto plano.

Un presunto actor de amenazas de habla china ha utilizado vulnerabilidades de WordPress para irrumpir en al menos 49 organizaciones de 29 países.

La campaña ha dejado en evidencia cómo un sitio web comprometido puede convertirse en una plataforma de lanzamiento para el robo de bases de datos, el abuso de credenciales y una intrusión de red más amplia.

Los atacantes explotaron la cadena wp2shell, rastreada como CVE-2026-63030 y CVE-2026-60137, contra instalaciones vulnerables de WordPress.

Tras ganar acceso, plantaron una webshell, crearon una cuenta de administrador oculta, buscaron credenciales en archivos legibles y avanzaron hacia los sistemas internos.

GreyNoise identificó la actividad mientras monitoreaba la infraestructura del atacante y sistemas señuelo. GreyNoise indicó en un informe que un gobierno occidental sufrió la intrusión más grave, con 18.566 registros descargados de una base de datos SQL de backend.

El material robado incluía cuentas, contraseñas en texto plano e información de identificación personal vinculada a agencias gubernamentales y de aplicación de la ley.

GreyNoise también observó que el mismo actor atacaba otras tecnologías, incluyendo switches ZyXEL GS1900, donde 996 dispositivos en 48 países fueron comprometidos o sufrieron la exfiltración de información sensible.

Hackers Explotan Fallos de WordPress

La intrusión en WordPress comenzó el 22 de julio de 2026, cuando el actor utilizó la cadena de exploits para desplegar una webshell personalizada.

Posteriormente, los atacantes volcaron la tabla de usuarios de WordPress, robando 13 cuentas de administrador, y añadieron una cuenta diseñada para parecer una dirección legítima en el dominio de la víctima.

Un plugin personalizado ayudó a enumerar la instalación, mientras que la webshell facilitó el reconocimiento y la ejecución de comandos.

Los atacantes revisaron herramientas de seguridad, servicios, puertos de escucha, archivos de configuración de bases de datos y cuentas locales antes de intentar debilitar las defensas y escalar privilegios.

La campaña pasó entonces del sitio web al entorno general. Una herramienta personalizada de búsqueda de credenciales encontró detalles de acceso a bases de datos utilizables en archivos legibles, lo que permitió a los atacantes realizar ataques de password spraying y llegar a un servidor SQL interno.

GreyNoise afirmó que el actor agrupó los archivos robados en un archivo ZIP antes de descargarlos, y luego utilizó herramientas para extraer datos SQL sensibles. La operación terminó con el robo de 18.566 registros, seguido de más intentos de password spraying que continuaron durante varias horas.

El incidente refleja un riesgo más amplio resaltado por recientes revelaciones de vulnerabilidades de WordPress, donde los atacantes pueden convertir debilidades en un sitio o plugin en acceso a nivel de servidor.

Si eres administrador, deberías revisar los recientes intentos de exploit de wp2shell para entender con qué rapidez los sistemas expuestos pueden atraer ataques automatizados.

Cadena de Ataque y Mitigación

La actividad del actor no se detuvo en WordPress. GreyNoise vinculó la campaña con escaneos y explotación de dispositivos de red, plataformas de desarrolladores, sistemas Linux y aplicaciones empresariales, lo que sugiere una búsqueda amplia de servicios expuestos en lugar de una operación contra una única víctima.

El patrón refleja el peligro descrito en la advertencia del núcleo de WordPress de la CISA, donde un fallo explotado activamente puede proporcionar una ruta desde la exposición de un sitio web público hasta un compromiso más profundo.

Tú y tu organización deberíais parchear el núcleo de WordPress, los temas y los plugins, eliminar cuentas de administrador desconocidas, rotar contraseñas y secretos de bases de datos, e invalidar las sesiones activas.

También deberíais inspeccionar los directorios web en busca de archivos PHP inesperados, revisar los registros de procesos y autenticación, e aislar los servidores afectados antes de restaurarlos desde copias de seguridad confiables.

Debido a que se expusieron credenciales en texto plano, la reutilización de contraseñas debe tratarse como una preocupación urgente en todos los servicios conectados. Tu equipo también puede comparar su proceso de parcheo con las actualizaciones de seguridad recientes de WordPress, que subrayan el valor de aplicar las correcciones antes de que comiencen los escaneos.

Como defensor, deberías habilitar la autenticación multifactor siempre que sea posible, restringir el acceso a la base de datos desde los servidores web, monitorear la creación inusual de administradores y generar alertas sobre password spraying y descargas inesperadas de archivos.

Estos controles pueden limitar la capacidad de un atacante para convertir el compromiso de un sitio web en un acceso interno más amplio. Los hallazgos también muestran por qué los sistemas orientados a Internet necesitan un monitoreo continuo.

Bloquear una sola dirección puede que no detenga al actor, pero identificar patrones de escaneo repetidos, solicitudes de webshell sospechosas y el acceso a archivos de configuración puede ayudarte a detectar la intrusión más temprano.

El informe original no nombra a la organización gubernamental afectada y oculta algunos detalles de la infraestructura debido a la sensibilidad de la víctima y al riesgo operativo.

También señala que el código del actor, que cambia rápidamente, podría haber sido producido con ayuda de un modelo de lenguaje extenso, aunque GreyNoise no encontró ninguna herramienta de IA específica en uso.

El caso demuestra que el compromiso de una aplicación web puede convertirse rápidamente en un incidente grave de seguridad de datos en toda la empresa que afecte a las organizaciones.