Resumo: A GreyNoise detalhou uma campanha de um grupo suspeito de fala chinesa que explorou a cadeia “wp2shell” (CVE-2026-63030 e CVE-2026-60137) no núcleo do WordPress para invadir ao menos 49 organizações em 29 países. Após instalar um webshell, os atacantes despejaram a tabela de usuários, criaram um administrador oculto (contas “kapibala”/”kapibala2”), vasculharam arquivos em busca de credenciais de banco de dados e avançaram para a rede interna, extraindo 18.566 registros de um governo ocidental. O caso mostra como um site WordPress desatualizado pode virar porta de entrada para toda a infraestrutura.
Fonte: Cyber Security News / GreyNoise
O que fazer: Confirme que o WordPress está na versão mais recente (7.1.2 ou superior, ou o backport do seu ramo). Revise a lista de administradores e remova contas desconhecidas (em especial “kapibala” ou nomes que imitam o domínio da empresa). Procure arquivos PHP inesperados em wp-content (uploads, plugins, mu-plugins) e rode varredura com Wordfence, Sucuri ou similar. Troque senhas de administradores e do banco de dados (wp-config.php), gere novos salts para invalidar sessões e restrinja o acesso do servidor web ao banco e à rede interna. Bloqueie os IoCs publicados (74.48.66.73, 104.225.153.141, 172.245.247.21 e *.981666.xyz).