Gobiernos se ven afectados por ataques de explotación de WordPress mediante Kapibala

Resumen ejecutivo

Un atacante no identificado vulneró la seguridad de una agencia gubernamental occidental y robó más de 18.000 registros confidenciales. Esta operación maliciosa se basó en la explotación de Kapibala WordPress para comprometer servidores y extraer el contenido de la base de datos. Además, la telemetría de sensores globales muestra que el mismo intruso comprometió cerca de mil conmutadores de red en cuarenta y ocho países.

Qué sucedió

El 22 de julio de 2026, el intruso inició un ataque automatizado contra un portal web gubernamental occidental. Específicamente, el adversario desplegó una cadena de exploits en dos etapas que combinaba las vulnerabilidades CVE-2026-63030 y CVE-2026-60137. Esta cadena le permitió instalar un shell web personalizado llamado plugin Kapibala.

Inmediatamente después de obtener acceso inicial al shell web, el intruso extrajo la tabla principal de usuarios. Esta rápida maniobra expuso trece cuentas de usuario administrativo. A continuación, el atacante creó una cuenta maliciosa que imitaba una dirección de dominio válida. El atacante modificó la fecha de registro a 2025 para integrarla en el historial de la cuenta del sitio.

Además, el intruso instaló complementos de evaluación personalizados para inspeccionar el sistema operativo subyacente. Como indica el informe de GreyNoise: «El robo de datos más grave se produjo contra una organización gubernamental occidental identificada, involucrando más de 18 000 registros confidenciales sustraídos de su base de datos interna».