Аналитики VulnCheck зафиксировали 38 запросов к своей ловушке Gotenberg с одного IP-адреса. Расследование вывело на репозиторий с бэкдорами, загрузчиками и инструментами повышения привилегий. За 30 дней исследователи насчитали 1358 попыток эксплуатации CVE-2026-42589 со 128 IP-адресов.
Критическая ошибка с оценкой 9,8 балла по CVSS позволяет внедрять команды через API изменения метаданных PDF. Злоумышленники используют уязвимость для запуска команд без авторизации и пытаются загрузить вредоносные компоненты. Среди найденных инструментов оказались обратные оболочки для разных архитектур, PHP-веб-шеллы и программы для атак на Windows. VulnCheck выделила не менее семи групп активности.
Для защиты серверов Gotenberg требуется закрыть доступ к уязвимому API и перейти на исправленную версию 8.31.0 или новее. Администраторам также следует проверить журналы запросов к обработчику метаданных PDF и признаки запуска посторонних процессов. Уязвимость уже эксплуатируют, хотя подтверждений успешного закрепления участников описанной кампании пока нет.
