Ghost CMS sob ataque: CVE-2026-26980 sequestra mais de 700 sites para campanhas ClickFix

Cibercriminosos estão explorando ativamente a CVE-2026-26980, uma falha critica de injeção SQL no Ghost CMS com pontuação CVSS 9.4, para sequestrar mais de 700 sites e injetar codigo malicioso usado em campanhas de ClickFix. O exploit, descoberto pela Anthropic com auxilio de Claude e corrigido em fevereiro de 2026, permite que atacantes obtenham a chave de API administrativa sem autenticação e modifiquem diretamente o conteudo publicado.

O que aconteceu

Segundo a empresa chinesa QiAnXin XLab, atores de ameaça começaram a varrer a internet em busca de instalações do Ghost CMS vulneráveis a CVE-2026-26980 e a explorá-las em escala. A campanha aproveita o fato de que muitos administradores ainda não aplicaram a atualização para a versão 6.19.1, liberada há mais de três meses, e usa as credenciais roubadas para reescrever artigos publicados, transformando blogs legítimos em pontos de distribuição de malware.

O Ghost é uma plataforma de publicação de código aberto popular entre veículos de mídia independentes, newsletters pagas e criadores de conteúdo. A presença em um site confiável reduz a desconfiança dos visitantes e aumenta drasticamente a taxa de sucesso de qualquer campanha de engenharia social.

Detalhes da vulnerabilidade

A CVE-2026-26980 é uma injeção SQL na Content API do Ghost, o endpoint público utilizado para servir posts e páginas a temas e integrações externas. Por se tratar de uma API destinada a ser consumida sem autenticação reforçada, o vetor exige apenas requisições HTTP especialmente formatadas, sem necessidade de credenciais ou foothold prévio no servidor alvo.

O grande agravante apontado pelos pesquisadores é que o ataque permite ler dados arbitrários do banco, incluindo a Admin API Key do site. Com essa chave em mãos, o invasor passa a operar como administrador legítimo, autenticando-se na Admin API e modificando posts, páginas, integrações e webhooks sem disparar alertas baseados em login.

O ator de ameaça aproveitou a falha para obter a Admin API Key do site alvo sem autorização e, em seguida, usou a Admin API do Ghost para injetar JavaScript malicioso no cabeçalho de cada post.

QiAnXin XLab

O código injetado redireciona visitantes para páginas que reproduzem o já tradicional padrão ClickFix: uma mensagem falsa pede que o usuário copie um comando para o terminal ou para a caixa Executar do Windows, supostamente para corrigir um erro de exibição ou completar uma verificação humana. Quem cumpre a instrução acaba executando manualmente um loader que entrega o malware final, frequentemente um info-stealer ou um RAT.

Quem é afetado

A telemetria da XLab indica mais de 700 sites comprometidos até o fechamento do relatório, número considerado conservador porque depende apenas dos domínios visíveis nas varreduras passivas dos pesquisadores. A população de instalações Ghost expostas é estimada em dezenas de milhares, o que abre espaço para uma curva de exploração muito mais longa.

• Operadores de blogs editoriais e newsletters mantidas em Ghost CMS abaixo da versão 6.19.1.
• Provedores de hospedagem gerenciada que não aplicaram a atualização em fevereiro.
• Leitores e assinantes desses sites, transformados em alvos finais das campanhas ClickFix.
• Equipes corporativas que consomem conteúdo a partir desses domínios e podem cair em redirecionamentos para malware.

Análise

A combinação de CMS comprometido com técnica ClickFix mostra a maturidade desse vetor, que vem substituindo o tradicional download oculto e malvertising desde 2024. O atrativo é claro: o usuário executa o payload com as próprias mãos, contornando avisos do navegador, sandboxes de e-mail e até proteções de EDR baseadas em macros do Office. Em vez de explorar o navegador, o atacante explora o pressuposto cultural de que copiar um comando é seguro.

A história também recoloca o debate sobre divulgação coordenada e tempo de resposta. O Ghost corrigiu a falha em fevereiro, mas três meses depois ainda há centenas de sites vulneráveis, o que repete o padrão observado em casos como o do MOVEit Transfer e do Confluence. Ferramentas de descoberta automatizada de superfície de ataque continuam sendo escassas em organizações de pequeno e médio porte, e plataformas hospedadas de terceiros muitas vezes não comunicam atualizações de forma agressiva.

Um detalhe que merece atenção é o crédito de descoberta atribuído à Anthropic com uso de Claude. A presença de pesquisas em segurança apoiadas por modelos de linguagem em produtos críticos de código aberto sinaliza um possível ponto de inflexão: a próxima onda de bugs sérios pode vir tanto de fuzzers tradicionais quanto de análises assistidas por IA aplicadas em grande volume de código legado.

Recomendações práticas

• Atualize imediatamente para o Ghost CMS 6.19.1 ou superior, validando a versão exata em ambiente de produção e em qualquer staging exposto.
• Rotacione todas as chaves de API administrativas (Admin API Key) e revogue tokens de integração de terceiros que possam ter sido lidos do banco antes do patch.
• Faça auditoria do conteúdo dos posts publicados em busca de scripts injetados, especialmente no campo code_injection_head e em integrações com temas customizados.
• Implemente uma política de Content Security Policy restritiva para limitar a execução de scripts inline em domínios de blog.
• Treine usuários internos e leitores recorrentes sobre o padrão ClickFix, deixando claro que nenhum site legítimo solicita execução de comandos no terminal para resolver erros de exibição.
• Monitore logs de acesso à Content API em busca de payloads suspeitos típicos de injeção SQL e bloqueie origens com taxa anômala de requisições.

Fonte: The Hacker News