Los atacantes accedieron a sitios vulnerables sin autenticación, aprovechando la función de procesamiento por lotes de la API REST de WordPress. A través de este método, se colocaron webshells PHP con nombres aleatorios en el directorio /wp-content/cache/, y se hicieron accesibles mediante una variable en la URL. Estos webshells verificaban la disponibilidad de funciones PHP necesarias para ejecutar comandos del sistema, y algunos estaban configurados como puertas traseras complejas que imitaban herramientas como CMSmap.
Además, los atacantes intentaron acceder al archivo wp-config.php a través de admin-ajax.php para robar claves de base de datos y crear nuevas cuentas de administrador. La empresa de seguridad Wiz señaló que estos ataques no incluían exfiltración de datos ni movimiento lateral dentro de la red, pero destacó la intensidad de los ataques y los métodos automatizados de instalación de plugins. Johannes B. Ullrich del Sans Technology Institute explicó que los ataques tenían dos fases y que primero se validaba la vulnerabilidad mediante inyección SQL.
WordPress solucionó el problema en las versiones 7.0.2, 6.9.5 y 6.8.6. Los expertos en seguridad recomiendan a los propietarios de sitios actualizar sus instalaciones y revisar los directorios /cache/ y las cuentas de usuario recién creadas. Según un panel creado por el investigador de Macnica Yutaka Sejiyama, el 81,6% de los 124.580 sitios probados estaban actualizados.