هکرها از آسیب‌پذیری روز صفر Sitecore برای نصب بک‌دور استفاده کردند

مهاجمان سایبری از آسیب‌پذیری روز صفر در نسخه‌های قدیمی Sitecore برای نصب بدافزار جاسوسی WeepSteel سوءاستفاده کرده‌اند. این نقص امنیتی که تحت شناسه CVE-2025-53690 ثبت شده، یک آسیب‌پذیری ViewState deserialization است که به دلیل استفاده از کلید نمونه ASP.NET در راهنماهای پیش از سال ۲۰۱۷ Sitecore ایجاد شده است. برخی مشتریان این کلید را در محیط‌های تولیدی مجدداً استفاده کردند که به مهاجمان امکان ساخت بارهای مخرب ‘_VIEWSTATE’ را داد و منجر به اجرای کد از راه دور (RCE) شد.

محققان Mandiant که این فعالیت مخرب را کشف کردند، گزارش می‌دهند که مهاجمان از این نقص در حملات چندمرحله‌ای استفاده کرده‌اند. آن‌ها ابتدا بدافزار WeepSteel را که یک backdoor جاسوسی است نصب کرده و سپس ابزارهایی مانند Earthworm، Dwagent و 7-Zip را مستقر کردند. برای حفظ دسترسی، حساب‌های کاربری محلی ایجاد کرده و دسترسی RDP فعال کردند. Sitecore توصیه کرده که مدیران فوراً تمام مقادیر ثابت در web.config را با کلیدهای جدید و منحصربه‌فرد جایگزین کنند و عنصر را رمزگذاری کنند.