Китайские хакеры эксплуатируют новые уязвимости XWiki и Apache

Актуальные атаки используют новые уязвимости XWiki и Apache

Китайские хакеры эксплуатируют уязвимости в XWiki и Apache HTTP Server. Атаки сочетают автоматизированное сканирование с ручной эксплуатацией для кражи данных. Об этом говорится в совместном бюллетене ФБР, CISA и других агентств от 8 октября 2026 года. Исследователи VulnCheck проанализировали индикаторы компрометации (IOC) из бюллетеня и обнаружили новую активность. Некоторые IOC оказались актуальны и использовались для атак на другие уязвимости.

Два оператора атакуют XWiki (CVE-2025-24893) и Apache (CVE-2021-41773)

Атаки исходят от двух разных групп. Первая использует IP-адреса из Тайваня для эксплуатации XWiki (CVE-2025-24893). Эти атаки приводят к получению обратных оболочек (reverse shells). Вторая группа использует IP-адрес из Гонконга. Она связана с ботнетом семейства RedTail. Дроппер этого ботнета используется совместно с 177 другими хостами, не связанными с бюллетенем. Исследователи обнаружили новую инфраструктуру командных и управляющих серверов (C2), не указанную в бюллетене. Она была выявлена при анализе данных с VulnCheck Canaries — реальных уязвимых хостов, которые фиксируют атаки в реальном времени. Три IP-адреса из бюллетеня были активны против Canaries в мае 2026 года, хотя последние данные по ним датировались маем 2024 года. Это указывает на их повторное использование в новых кампаниях. Атаки нацелены на уязвимости PHPUnit (CVE-2017-9841), XWiki (CVE-2025-24893), Apache HTTP Server (CVE-2021-41773), PHP-CGI (CVE-2024-4577) и ThinkPHP (CVE-2022-47945). При этом эксплуатируемые уязвимости не совпадают с перечисленными в бюллетене.

Атаки нацелены на организации по всему миру

Атаки с использованием IP-адресов из Тайваня нацелены на Индию. Атаки с IP-адреса из Гонконга нацелены на Мексику, Великобританию и Малайзию. Использование IP-адресов из бюллетеня для атак на другие уязвимости указывает на перепрофилирование инфраструктуры. Атаки на XWiki (CVE-2025-24893) включают попытки получить обратную оболочку. Одна из таких попыток раскрыла IP-адрес C2-сервера — 155.138.212.170. Анализ этого IP выявил девять дополнительных атак на ту же уязвимость XWiki. Атаки с IP-адреса из Гонконга используют пользовательский агент libredtail-http, характерный для вредоносного ПО семейства RedTail. Этот агент встречается примерно у 5200 IP-адресов, что указывает на широко распространенный червь. Атаки на Apache (CVE-2021-41773) и PHP-CGI (CVE-2024-4577) доставляют один и тот же шелл-скрипт с сервера 121.176.14.102. Атака на Apache также использует двойное кодирование для эксплуатации CVE-2021-42013, обходя исправление CVE-2021-41773. Проверки на уязвимости PHPUnit и ThinkPHP выполняются в рамках тех же соединений, что и основные атаки. Проверка PHPUnit включает отправку MD5-хэша строки "Hello PHPUnit" по различным URL-путям. Проверка ThinkPHP записывает тестовый файл MD5 через pearcmd.

Обновите ПО и проверьте индикаторы компрометации

Рекомендуется проверить актуальность индикаторов компрометации (IOC) перед их блокировкой, так как некоторые из них могут быть устаревшими. Необходимо обновить программное обеспечение до последних версий для устранения известных уязвимостей. Особое внимание следует уделить XWiki (CVE-2025-24893), Apache HTTP Server (CVE-2021-41773), PHPUnit (CVE-2017-9841), PHP-CGI (CVE-2024-4577) и ThinkPHP (CVE-2022-47945). Следите за обновлениями безопасности от разработчиков XWiki и Apache. Проводите регулярный мониторинг сетевой активности на предмет подозрительных соединений и попыток эксплуатации уязвимостей.