攻撃者はWordPressのREST APIのバッチ処理機能を悪用し、認証なしで脆弱なサイトにアクセスした。これにより、/wp-content/cache/ディレクトリにランダムな名前でPHPのWebシェルが配置され、URLの変数でパスワード保護された形でアクセス可能になった。これらのWebシェルは、システムコマンド実行に必要なPHP関数が利用可能かどうかを確認し、一部はCMSmapのような複雑なバックドアとして構成されていた。

さらに、攻撃者はadmin-ajax.php経由でwp-config.phpファイルにアクセスし、データベースキーを窃取しようとした。また、新しい管理者アカウントの作成も試みられた。セキュリティ企業Wizは、これらの攻撃がデータの外部送信やネットワーク内移動を含まないと指摘したが、攻撃の集中度と自動プラグインインストール手法が注目された。Sans Technology InstituteのJohannes B. Ullrichは、攻撃が二段階構成であり、最初にSQLインジェクションで脆弱性を確認したと説明した。

WordPressは7.0.2、6.9.5、6.8.6のバージョンでこの問題を修正した。セキュリティ専門家は、サイトの更新を実施し、/cache/ディレクトリと新規作成されたユーザーを確認することを推奨している。Macnicaの研究者Yutaka Sejiyamaが作成したダッシュボードによると、124,580サイトを調査した結果、81.6%が更新済みだった。