Un server esposto mostra il mercato dei webshell rubati
Il punto non è la campagna di massa in sé. Il rischio reale è che un sito compromesso resti monetizzabile anche dopo la pulizia, se il webshell o il foothold sopravvive e permette all’attaccante di rientrare o rivendere l’accesso più avanti.
Un server lasciato aperto di WP-SHELLSTORM ha esposto strumenti, log e liste di target, con 25.195 compromissioni validate. Le fonti indicano un’operazione di access brokering contro siti WordPress e Joomla, con forte concentrazione su plugin obsoleti; tra i casi più sfruttati ci sono Breeze Cache e JCE editor, legati a CVE-2026-3844 e CVE-2026-48907.
Per chi ripulisce web server compromessi, il confine non è la rimozione del malware visibile. Se il webshell o un accesso residuo resta in piedi, il sito può tornare merce da rivendere e il rischio non si esaurisce con il primo incidente.