हमारे इन्फ्रास्ट्रक्चर पर WordPress के REST API बैच एंडपॉइंट की जांच तीन गुना से ज़्यादा बढ़ी

291 Intercept हमारी साप्ताहिक रिपोर्ट है, जिसमें हम बताते हैं कि स्वचालित स्कैनरों ने हमारे अपने इन्फ्रास्ट्रक्चर पर किन चीज़ों को निशाना बनाया, ताकि आप अपने सिस्टम में भी इन्हीं चीज़ों की जांच कर सकें। हर अंक ऐसे सप्ताह के बारे में होता है जो कम से कम सात दिन पहले खत्म हो चुका हो।

26 अक्टूबर वाले सप्ताह में हमारे इन्फ्रास्ट्रक्चर पर सबसे साफ़ बदलाव WordPress के एक पते के अनुरोधों में आया उछाल था: /wp-json/batch/v1। लगभग 40 स्रोतों ने इसकी मांग की, जो पिछले तीन सप्ताहों के साप्ताहिक औसत का 3.3 गुना है। wp2shell की शुरुआत इसी एंडपॉइंट से होती है। यह WordPress core की दो खामियों की श्रृंखला है, जिसके ज़रिए बिना लॉगिन वाला हमलावर किसी साइट पर कोड चला सकता है।

यह ऐसे सप्ताह में हुआ जब कुल गतिविधि भी ज़्यादा थी: लगभग 620 स्रोतों ने इंटरनेट से जुड़े हमारे इन्फ्रास्ट्रक्चर की जांच की, जो पिछले तीन सप्ताहों के औसत से 10% अधिक है। WordPress मुख्य निशाना बना रहा। 66% स्रोतों ने WordPress लॉगिन, XML-RPC या प्लगइन पाथ को निशाना बनाया, और ऐसे स्रोतों की संख्या 20% बढ़ी। स्कैनरों ने एप्लिकेशन के उन हिस्सों की मांग भी पहले से ज़्यादा की जिन्हें निजी रहना चाहिए।

wp2shell क्या है

/wp-json/ WordPress के REST API का मूल पाथ है, और /wp-json/batch/v1 उसका बैच प्रोसेसर है, जो कई API अनुरोधों के बंडल को एक साथ संभालता है। Rapid7 के अनुसार wp2shell दो खामियों को जोड़ता है। CVE-2026-63030 उस बैच प्रोसेसर में एक लॉजिक खामी है, और CVE-2026-60137 posts एंडपॉइंट में एक SQL इंजेक्शन है। दोनों को एक साथ इस्तेमाल करने पर बिना खाते वाला कोई भी व्यक्ति WordPress 6.9.0 से 6.9.4 तक और 7.0.0 से 7.0.1 तक के संस्करणों पर कोड चला सकता है।

यह खामी 17 जुलाई 2026 को सार्वजनिक की गई, और Rapid7 के मुताबिक CISA ने 21 जुलाई को इसे अपने Known Exploited Vulnerabilities कैटलॉग में जोड़ा। सुधार वाले रिलीज़ 6.9.5, 7.0.2 और 7.1 Beta 2 हैं।

जिस खामी का सुधार पहले से मौजूद है, उसकी जांच क्यों? स्कैनरों को हर साइट के कमज़ोर होने की ज़रूरत नहीं होती, बस कुछ साइटों की। एक अनुरोध पर उनका लगभग कोई खर्च नहीं होता, और जो भी साइट अब तक प्रभावित संस्करण पर है, उस पर दोबारा लौटना उनके लिए फ़ायदे का सौदा है।

WordPress स्कैनिंग का परिचित पहलू

कुछ देशों में फैले लगभग 20 स्रोतों के एक समन्वित टूलकिट ने करीब दस पाथ की एक ही सूची आज़माई। उसने एक ही फ़ाइल को कई फ़ोल्डर नामों के तहत मांगा, जैसे /wp/wp-includes/wlwmanifest.xml, /shop/wp-includes/wlwmanifest.xml और /wordpress/wp-includes/wlwmanifest.xml, और साथ में /xmlrpc.php भी।

wlwmanifest.xml, Windows Live Writer का मैनिफ़ेस्ट है जो डिफ़ॉल्ट WordPress इंस्टॉलेशन में मौजूद होता है। इसे आम फ़ोल्डरों के तहत मांगना प्लगइन या थीम एक्सप्लॉइट आज़माने से पहले WordPress साइटें खोजने का एक तरीका है। XML-RPC इसके बाद का कदम है: शोधकर्ताओं ने 2015 में पाया था कि इसका system.multicall मेथड हमलावर को एक ही अनुरोध में सैकड़ों पासवर्ड आज़माने देता है।

छूटी हुई फ़ाइलें और आंतरिक हिस्से

पिछले तीन सप्ताहों की तुलना में बैकअप और डंप फ़ाइलें खोजने वाले स्रोतों की संख्या 73% बढ़ी, Spring Boot actuator जैसे एप्लिकेशन के आंतरिक हिस्सों को निशाना बनाने वाले स्रोत 63% बढ़े, और /phpinfo.php व /info.php जैसे डायग्नॉस्टिक पेज मांगने वाले स्रोत 52% बढ़े। चूंकि कुल स्रोतों की संख्या भी बढ़ी, इसलिए इनकी हिस्सेदारी में कम बदलाव आया: डायग्नॉस्टिक पेज मांगने वाले स्रोत औसतन सभी स्रोतों के 15% से बढ़कर 21% हो गए। नीचे दिया चार्ट इस सप्ताह की छह श्रेणियां दिखाता है, और हर श्रेणी के लिए इस सप्ताह स्रोतों में उसकी हिस्सेदारी की तुलना पिछले तीन सप्ताहों के औसत से करता है।

/actuator/env पर लगभग 40 स्रोत आए, जो इसके पिछले औसत का 2.4 गुना है। Spring Boot में यह एंडपॉइंट एप्लिकेशन की कॉन्फ़िगरेशन प्रॉपर्टीज़ दिखाता है। Spring के दस्तावेज़ के अनुसार डिफ़ॉल्ट रूप से HTTP पर सिर्फ़ health उपलब्ध होता है और env के मान डिफ़ॉल्ट रूप से मास्क रहते हैं, लेकिन जब डेवलपर पहुंच सीमित किए बिना इसे खोल देते हैं, तो इससे क्रेडेंशियल, API कुंजियां और आंतरिक सेटिंग्स लीक हो सकती हैं। /wp-config.php.bak, यानी भूला हुआ WordPress कॉन्फ़िग बैकअप, दोगुना होकर लगभग 40 स्रोतों तक पहुंच गया।

लगभग 20 स्रोतों के एक दूसरे टूलकिट ने एक ही स्वीप में ये सभी चीज़ें आज़माईं: /.env, /.git/config, /info.php, /config.json, /server-status और /debug/default/view। आखिरी पाथ Yii 2 डीबगर का है, जो सेशन डेटा, एनवायरनमेंट वेरिएबल और डेटाबेस क्वेरी दिखाता है। Yii की गाइड के अनुसार यह सामान्यतः सिर्फ़ localhost से काम करता है, लेकिन 30 सितंबर को सार्वजनिक हुई CVE-2026-103475 4.2.0 तक के yii2-starter-kit से जुड़ी है, जिसका डिफ़ॉल्ट कॉन्फ़िगरेशन इसे सभी IP पतों के लिए खोल देता है।

पिछले सप्ताह के रुझानों पर नज़र

हमारे पिछले अंक में बताया गया था कि सबफ़ोल्डरों में .env फ़ाइलें खोजने वाले स्कैनर बढ़े हैं। यह सिलसिला जारी रहा। /v2/.env और /old/.env में से हर एक पर लगभग 60 स्रोत आए, जो उनके पिछले औसत का लगभग दोगुना है, जबकि /production/.env पर 50 और /storage/.env पर 40 स्रोत आए। कुल मिलाकर 200 स्रोतों ने सीक्रेट और कॉन्फ़िगरेशन फ़ाइलों को निशाना बनाया। यह 16% की बढ़ोतरी है, जो कुल स्रोतों में हुई वृद्धि के लगभग बराबर है, इसलिए उनकी हिस्सेदारी 33% पर टिकी रही। पैमाने का अंदाज़ा देने के लिए: शोधकर्ताओं ने फ़रवरी में बताया था कि 12,088,677 IP पते सार्वजनिक रूप से उपलब्ध .env जैसी फ़ाइलें परोस रहे थे।

पिछले सप्ताह हमने जिस Git जांच से रिपोर्ट शुरू की थी, उसकी हिस्सेदारी घटी, लेकिन वह अपने पहले के स्तर से ऊपर बनी रही। कुल 170 स्रोतों ने सोर्स कोड रिपॉज़िटरी खोजीं, जो तीन सप्ताह के औसत से 20% अधिक है, हालांकि सभी स्रोतों में उनकी हिस्सेदारी 37% से घटकर 29% रह गई।

जांच कौन कर रहा था

आधे से ज़्यादा स्रोत (55%) क्लाउड और होस्टिंग नेटवर्क से आए, जिनमें DigitalOcean और Google Cloud में से हर एक की हिस्सेदारी 20% थी, और सभी स्रोतों में से 85% सिर्फ़ एक दिन दिखाई दिए। ज़्यादातर ने इंसान जैसा दिखने की कोशिश भी की: 82% ने ऐसी स्ट्रिंग भेजीं जो आम ब्राउज़र होने का दिखावा करती थीं, फिर भी 85% का व्यवहार ऑटोमेशन जैसा था, यानी यह भेस काफ़ी कमज़ोर है।

क्या शांत पड़ा

/wp-content/plugins/hellopress/wp_filemanager.php के अनुरोध, जिन पर हर सप्ताह औसतन लगभग 20 स्रोत आते थे, घटकर लगभग शून्य रह गए, यानी 79% की गिरावट। अभी यह कहना जल्दबाज़ी होगी कि स्कैनर इससे आगे बढ़ चुके हैं या नहीं। /service-account.json जैसी क्लाउड कुंजी फ़ाइलों की मांग लगभग 70 स्रोतों पर स्थिर रही।

क्या करें

• अपना WordPress संस्करण जांचें। अगर यह 6.9.0 से 6.9.4 या 7.0.0 से 7.0.1 के बीच है, तो अभी 6.9.5 या 7.0.2 पर अपडेट करें।
• .env फ़ाइलों को पब्लिक फ़ोल्डर से पूरी तरह बाहर रखें, इनमें पुराने रिलीज़ और वर्शन वाले सबफ़ोल्डर भी शामिल हैं। वेब रूट से एक स्तर ऊपर इनके लिए सुरक्षित जगह है।
• बैकअप और डंप हटाएं, जैसे /database.sql या /wp-config.php.bak, हर उस जगह से जहां तक ब्राउज़र पहुंच सकता है।
• आंतरिक हिस्सों को सुरक्षित करें। Spring Boot actuator एंडपॉइंट तक पहुंच सीमित करें और env मास्किंग चालू रखें, phpinfo वाले टेस्ट पेज हटाएं, और Yii डीबगर को सिर्फ़ localhost तक सीमित रखें।
• XML-RPC बंद कर दें, अगर आपकी साइट पर कोई चीज़ इस पर निर्भर नहीं है।

इन आंकड़ों के बारे में

यह रिपोर्ट 291 Heat Seeker One तैयार करता है, जो 291 Group का सुरक्षा निगरानी सिस्टम है और हमारे मालिकाना सुरक्षा संचालन प्लेटफ़ॉर्म 291 Crossband पर चलता है। इसमें सिर्फ़ 291 Group के अपने इंटरनेट से जुड़े इन्फ्रास्ट्रक्चर पर आने वाला ट्रैफ़िक शामिल है।

आंकड़े राउंड किए गए हैं, हिस्सेदारी और बदलाव अनुरोधों के बजाय अलग अलग स्रोतों की संख्या से मापे गए हैं, और सिर्फ़ वही पैटर्न शामिल किए गए हैं जो कम से कम 20 अलग स्रोतों से दिखे। देश से मतलब वह जगह है जहां स्रोतों के सर्वर हैं, ज़रूरी नहीं कि उन्हें चलाने वाले लोग भी वहीं हों। नेटवर्क का प्रकार इस आधार पर तय होता है कि हर नेटवर्क को कौन संचालित करता है; केवल बड़े और प्रसिद्ध प्रदाताओं के ही नाम दिए जाते हैं।