WordPress Backdoor Rebuilds Itself After Cleanup Using Files, Database, and Shared Memory
The Hacker News · 1 oct, 16:37
Qué hacer: Actualiza wpForo Forum a versión posterior a 2.4.14 y realiza auditoría completa de WordPress incluyendo búsqueda de archivos .user.ini, db.php, advanced-cache.php y memoria compartida System V.
Investigadores de ciberseguridad han desvelado una puerta trasera de WordPress llamada SC que utiliza ocho mecanismos de persistencia distribuidos en archivos, la base de datos y memoria compartida para reconstruirse automáticamente tras cualquier intento de limpieza. El malware emplea un cifrado de sustitución para ofuscar su código, se comunica a través de blockchain (Ethereum) y capaz de inyectar skimmers, ejecutar código PHP arbitrario e instalar cuentas administrativas ocultas. Simultáneamente, la vulnerabilidad SQL injection CVE-2026-1581 (CVSS 7.5) en el plugin wpForo Forum está siendo explotada activamente desde julio de 2026.
El backdoor SC distribuye su carga entre ocho componentes: un archivo .user.ini que prepend código PHP, múltiples cargadores en wp-content, el archivo db.php con payload codificado en Base64, advanced-cache.php que se ejecuta durante el arranque de WordPress, funciones.php del tema, y dos copias del plugin mu-plugins hyper-engine-kit.php. Cada componente puede reconstruir todos los demás, creando un sistema circular sin punto único de fallo. En servidores con soporte para memoria compartida System V, el payload persiste en RAM independientemente de las limpiezas de archivos o base de datos, e incluso en hosting compartido puede ser propiedad de una cuenta diferente.
El malware registra hooks cron con nombres aleatorios y un gancho conocido de obtención, permitiendo reactivación programada. Aunque se desconoce el vector inicial de distribución, los típicos incluyen fallos de seguridad en WordPress, plugins, temas, credenciales débiles, ataques en la cadena de suministro de plugins populares y cargas inseguras de medios o formularios. Por su parte, CVE-2026-1581 en wpForo Forum afecta a todas las versiones hasta 2.4.14, con menos de 20 intentos de explotación observados desde el 3 de julio de 2026 originarios de cinco direcciones IP únicas en Bulgaria, Suiza, Francia, EE.UU. y Yemen.
Puntos clave
- SC distribuye copias del backdoor en drop-ins, tema, plugin falso en dos ubicaciones, base de datos y memoria compartida del sistema
- Cada componente puede reconstruir los demás: borrar el plugin genera reescritura desde drop-in, tema, caché o base de datos
- Se comunica con servidor C2 usando blockchain Ethereum para ofuscar el canal de comando
- CVE-2026-1581 (SQL injection, CVSS 7.5) en wpForo Forum en explotación activa desde julio de 2026 en versiones ≤2.4.14