攻撃者はWordPressのREST APIバッチエンドポイントにある認証回避の脆弱性（CVE-2026-60137）を悪用し、不正アクセスを実行している。この脆弱性は'author__not_in'パラメータの不適切なクリーニングが原因で、HTTPリクエストによるSQLインジェクションを可能にする。このステップと続くCVE-2026-63030が組み合わさると、デフォルト設定の環境でも遠隔コード実行（RCE）が可能になる。

研究者は、攻撃者が脆弱性を悪用して悪意のあるプラグインをアップロードし、管理者アカウントを作成し、CMSmapという名前で隠された150KBのPHPウェブシェルを展開したことを確認した。このウェブシェルはファイル管理、データベースアクセス、権限昇格などの機能を提供する。少なくとも100個の偽の管理者アカウントが作成され、一部の攻撃者はOverlord RATのような遠隔アクセストロイの木馬の導入を試みた。

GoogleのWiz部門によると、脆弱性が公表された時点では、WordPressを利用している組織の60％に少なくとも1つの脆弱なインスタンスが存在していた。しかしパッチが適用されるにつれてその割合は低下している。セキュリティ専門家は、新しい管理者アカウントや疑わしいプラグイン、不明なファイルが存在しないか確認することを勧めている。一部の攻撃はパッチ適用後も残存し続ける可能性があるためだ。