Эксплуатация уязвимости CVE-2025-24893 в платформе коллективного редактирования XWiki стремительно нарастает с момента ее первого обнаружения в конце октября 2025 года. По данным VulnCheck, после включения уязвимости в каталог активно используемых уязвимостей CISA KEV 30 октября началось массовое сканирование и атаки со стороны разнообразных злоумышленников.
Описание
Специалисты отмечают, что сейчас уязвимость активно используют ботнеты, майнеры криптовалют и сканеры уязвимостей. В частности, 3 ноября к эксплуатации подключился ботнет RondoDox, что привело к резкому росту количества атак. Этот ботнет легко идентифицируется по характерному HTTP-заголовку User-Agent и формату именования вредоносных нагрузок (полезной нагрузки) вида rondo.<value>.sh.
Одновременно другие злоумышленники применяют более изощренные методы. Например, атакующий с IP-адреса 172.245.241[.]123 использовал обфусцированную нагрузку, которая загружала и выполняла майнер криптовалют. Примечательно, что базовый код был закодирован в base64, но оставался видимым в URL-параметрах, что характерно для данной уязвимости.
Особую озабоченность вызывают попытки установки обратных оболочек (reverse shell), которые могут свидетельствовать о целенаправленных атаках. 31 октября злоумышленник из Бразилии с IP-адреса 18.228.3[.]224 пытался установить обратное соединение с использованием утилиты BusyBox nc. Этот же адрес использовался для сканирования с применением техники OAST (out-of-band application security testing), что указывает на систематический подход.
Еще одна тревожная тенденция - использование уже скомпрометированных устройств в качестве платформ для новых атак. Так, 11 ноября хост из Тайваня 118.99.141[.]178, на котором одновременно работали интерфейсы QNAP и DrayTek, пытался установить обратную оболочку. Анализ показал, что это устройство ранее было уязвимо к CVE-2023-47218 в продуктах QNAP.
Широкое распространение получило сканирование с помощью инструмента Nuclei, шаблон которого для данной уязвимости выполняет команду cat /etc/passwd для подтверждения успешной эксплуатации. Также наблюдаются попытки выполнения команд id, whoami и проверки с выводом "EXPLOIT_SUCCESS".
Ситуация с CVE-2025-24893 демонстрирует классический сценарий распространения уязвимости: первоначальная эксплуатация одним злоумышленником сменяется массовыми атаками разнообразных киберпреступных групп. К моменту формального включения уязвимости в реестры типа CISA KEV, атакующие уже успевают создать значительную угрозу.
Эксперты подчеркивают, что раннее обнаружение остается ключевым преимуществом защитников. Специалисты рекомендуют администраторам XWiki немедленно установить доступные обновления безопасности и реализовать дополнительные меры контроля доступа к своим системам.
Индикаторы компрометации
