Dos vulnerabilidades que afectan a Craft CMS se encadenaron en ataques de día cero para violar servidores y robar datos, y su explotación continúa, según CERT Orange Cyberdefense.
Las vulnerabilidades fueron descubiertas por el CSIRT de Orange Cyberdefense, que fue llamado para investigar un servidor comprometido.
Como parte de la investigación, descubrieron que dos vulnerabilidades de día cero que afectaban a Craft CMS fueron explotadas para violar el servidor:
- CVE-2025-32432: Una vulnerabilidad de ejecución remota de código (RCE) en Craft CMS.
- CVE-2024-58136: Un fallo de validación de entrada en el framework Yii utilizado por Craft CMS.
Según un informe de SensePost, el equipo de hacking ético de Orange Cyberdefense, los actores de la amenaza encadenaron ambas vulnerabilidades para vulnerar servidores y cargar un gestor de archivos PHP.
El ataque comienza con la explotación de CVE-2025-32432, que permite a los atacantes enviar una solicitud especialmente diseñada que contiene una "URL de retorno" como parámetro que se guarda en un archivo de sesión PHP. Este nombre de sesión se envía al visitante como parte de la respuesta a la petición HTTP.
Solicitud para almacenar la URL de retorno en la sesión de Craft CMS
Fuente: SensePost
La segunda etapa del ataque aprovechó un fallo en el framework Yii (CVE-2024-58136), que utiliza Craft CMS. Para explotar este fallo, el atacante envió una carga maliciosa JSON que causó que el código PHP en el archivo de sesión se ejecutara en el servidor.
Esto permitió al atacante instalar un gestor de archivos basado en PHP en el servidor para comprometer aún más el sistema.
Orange dijo a BleepingComputer que vieron pasos adicionales de compromiso, incluyendo cargas adicionales de puertas traseras y exfiltración de datos. En una próxima entrada del blog se detallará más información sobre esta actividad posterior a la explotación.
Los desarrolladores de Yii solucionaron finalmente el fallo CVE-2024-58136 en la versión Yii 2.0.52 publicada el 9 de abril.
Craft CMS también corrigió el fallo CVE-2025-32432 en las versiones 3.9.15, 4.14.15 y 5.6.17 el 10 de abril. Aunque en Craft CMS no actualizaron Yii a la última versión, Orange afirma que la cadena de ataque sigue arreglada.
"A día de hoy, la versión 2.0.51 (vulnerable) sigue estando por defecto en Craft. Sin embargo, con la corrección de CVE-2025-32432, el problema de Yii ya no se puede desencadenar", dijo Orange a BleepingComputer.
Craft CMS recomienda que los administradores realicen los siguientes pasos si creen que su sitio ha sido comprometido:
- Actualice su clave de seguridad en caso de que ya haya sido capturada. Puede ejecutar el comando php craft setup/security-key y copiar la variable de entorno CRAFT_SECURITY_KEY actualizada en todos los entornos de producción.
- Si tiene otras claves privadas almacenadas como variables de entorno (por ejemplo, S3 o Stripe), actualícelas también.
?
- Rote las credenciales de su base de datos.
- Por precaución, es posible que desee obligar a todos sus usuarios a restablecer sus contraseñas en caso de que su base de datos se vea comprometida. Puede hacerlo ejecutando php craft resave/users --set passwordResetRequired --to «fn() => true».
En el apéndice del informe de SensePost se pueden consultar todos los indicadores del ataque, incluidas las direcciones IP y los nombres de los archivos.
En febrero, CISA también etiquetó un fallo de inyección de código (RCE) rastreado como CVE-2025-23209 en Craft CMS 4 y 5 como explotado en ataques.
Fuente: bleepingcomputer