Un server di un gruppo cybercriminale rimasto esposto su Internet per settimane ha permesso di osservare dall’interno una campagna di compromissione di siti web su larga scala, oggi tracciata come WP SHELLSTORM. La directory aperta conteneva strumenti di attacco, log operativi, script di exploit, configurazioni di comando e controllo e liste di bersagli che citavano oltre 1,4 milioni di domini.
Il dato più importante però non è il numero dei bersagli, ma il modello operativo: scansione automatizzata, sfruttamento di vulnerabilità note e installazione di webshell per mantenere accesso remoto e rivenderlo.
L’infrastruttura includeva scanner che attingevano a grandi elenchi ottenuti da motori di ricerca per sistemi esposti online, usati poi per lanciare exploit contro plugin e componenti vulnerabili soprattutto su WordPress. Una volta individuata una versione esposta, lo script caricava una webshell, cioè un file che consente di eseguire comandi, leggere file, rubare credenziali e muoversi lateralmente. Il kit copriva decine di falle, ma poche vulnerabilità hanno generato la maggior parte delle compromissioni.
Vulnerabilità più sfruttate
Tra queste spicca una falla nel plugin Breeze caching, identificata come CVE-2026-3844, usata contro decine di migliaia di obiettivi e associata a migliaia di backdoor. In questo caso esiste un requisito specifico: l’exploit funziona solo se è attiva una impostazione non predefinita legata alla gestione locale dei gravatar, quindi molte installazioni non erano attaccabili. Sul fronte Joomla è risultata critica anche la vulnerabilità del componente JCE editor, CVE-2026-48907, considerata ad alta gravità e monitorata per sfruttamento attivo.
Numeri reali vs liste di scansione
Le verifiche sui siti realmente compromessi mostrano numeri molto inferiori rispetto alle liste di scansione. Un conteggio validato ha identificato oltre 25.000 siti con evidenze di compromissione, mentre un altro approccio basato su webshell attive ha stimato alcune migliaia di backdoor ancora raggiungibili. Questo evidenzia un punto chiave per la sicurezza WordPress e Joomla: essere presenti in una lista di target non equivale a essere stati bucati, ma indica che il sito è stato probabilmente scansionato e testato.
Tecniche osservate e mitigazioni
Tra le tecniche osservate compaiono webshell offuscate e strumenti di persistenza che tentano di mascherarsi come processi di sistema, aumentando il rischio di compromissioni silenziose. Per ridurre l’esposizione è fondamentale aggiornare subito plugin e componenti, rimuovere estensioni non necessarie, cercare file sospetti con nomi anomali PHP e controllare processi e connessioni in uscita. Anche in assenza di zero-day, la combinazione di exploit pubblici e automazione basta a colpire migliaia di siti.