In questo articolo Indice dei contenuti 2 sezioni
Un gruppo di hacker cinesi ha messo in fila una serie di falle in WordPress e negli switch ZyXEL GS1900 Smart Managed per arrivare dove interessava davvero, cioè ai dati sensibili di enti pubblici e forze dell’ordine. Il bilancio parla di 996 dispositivi compromessi e oltre 18.500 record estratti da database di backend, con un’attività che va avanti in modo sistematico da giugno 2026. Non un colpo isolato, quindi, ma una campagna lunga, ordinata, condotta sempre dallo stesso indirizzo IP.
L’attività è stata individuata dalla società di threat intelligence GreyNoise tramite la sua rete di sensori Global Observation Grid. Gli analisti collegano il responsabile all’ambiente del gruppo Red Heron, già noto per lo sfruttamento di una vulnerabilità critica nel servizio Git self hosted Gitea. Il ventaglio di tecnologie prese di mira è ampio e include PAN-OS GlobalProtect, FlowiseAI, Nuclio, Proxmox e Ubiquiti, sempre con exploit per problemi di sicurezza già documentati.
Le falle wp2shell e il governo occidentale colpito
Il grimaldello principale sono le vulnerabilità battezzate wp2shell, identificate come CVE-2026-63030 e CVE-2026-60137, che riguardano il componente WordPress Core. Con quelle due sono state violate almeno 49 organizzazioni in 29 paesi. Gli exploit pubblici sono comparsi a metà luglio e l’abuso attivo è stato osservato pochi giorni più tardi, praticamente in contemporanea con l’avvio della campagna documentata dai ricercatori, che ha puntato subito su bersagli di valore.
Molti obiettivi appartengono al mondo delle piccole imprese e della pubblica amministrazione, ma un caso spicca sugli altri, un’intrusione presso un ente governativo occidentale di cui non è stato reso noto il nome. Qui l’attaccante ha usato una versione personalizzata dell’exploit wp2shell e poi ha fatto una ricognizione molto approfondita dell’ambiente Windows, controllando Microsoft Defender, AMSI, i servizi disponibili, le porte in ascolto, gli account locali, le restrizioni sulle applicazioni e la configurazione dei database.
In 36 minuti sono stati provati 17 script diversi per aggirare AMSI, salire di privilegi tramite impersonificazione o furto di token, creare un amministratore locale ed estrarre dati dal registro di sistema. Individuate le credenziali di un database SQL di backend, gli aggressori le hanno riutilizzate in un attacco di password spraying che ha aperto la porta a un server SQL interno. Da lì sono stati portati via almeno 18.566 record contenenti account, password in chiaro e informazioni personali riconducibili ad agenzie governative e di polizia. Lo stesso attore ha violato anche un’organizzazione statale russa in territorio ucraino occupato, un episodio che i ricercatori hanno definito un compromesso red on red.
Dagli switch ZyXEL alla catena di exploit su Ubiquiti
Il 17 agosto è iniziata la fase dedicata agli apparati di rete, con lo sfruttamento di una falla di gravità elevata negli switch ZyXEL GS1900, tracciata come CVE-2026-7273. Sono finiti nel mirino 996 dispositivi in 48 paesi, dai quali sono state estratte configurazioni, informazioni sulla rete e credenziali root in formato hash. Materiale prezioso, perché permette di muoversi verso l’interno delle infrastrutture senza fare troppo rumore.
In parallelo è stato tentato il concatenamento di tre vulnerabilità di Ubiquiti UniFi OS, le CVE-2026-34908, CVE-2026-34909 e CVE-2026-34910, per ottenere esecuzione di codice remoto con privilegi di root. La CISA ha segnalato le tre falle come attivamente sfruttate già da fine giugno 2026.
Confermati inoltre tentativi contro PAN-OS GlobalProtect, FlowiseAI con la CVE-2026-56271, la vecchia Dirty Pipe del kernel Linux identificata come CVE-2022-0847, Gitea con la CVE-2026-60004, Nuclio con la CVE-2026-79756, SENAITE LIMS con la CVE-2026-54569 e Proxmox VE con la CVE-2023-54391. I ricercatori sottolineano un dettaglio non secondario, ovvero che non tutte le vulnerabilità usate in questo cluster di attacchi sono state inserite nel catalogo CISA KEV delle falle note come sfruttate. GreyNoise ha pubblicato una serie di indicatori di compromissione legati all’attività osservata, tra cui gli hash delle backdoor e i riferimenti all’infrastruttura di comando e controllo.
Fonte: TecnoAndroid
