Ghost CMS unter Angriff von CVE 2026 26980 stiehlt Schlüssel Admin und leitet Betrug mit Fuß dieser Befehl

Eine massive Kampagne nutzt eine kritische Schwachstelle der SQL-Injektion in Ghost CMS (CVE-2026-26980) Verwaltungsschlüssel zu stehlen und schädliche JavaScript in Artikeln zu pflanzen, um den Klick zu orchestrieren Betrügereien, die Opfer dazu veranlassen, Befehle in ihrem Team auszuführen. Der Fehler betrifft Ghost Versionen 3.24.0 bis 6.19.0 und erlaubt nicht authentifizierten Angreifern, beliebige Daten aus der Basis zu lesen und die Schlüssel aus der Admin API zu extrahieren, die wiederum dazu dienen, Inhalte und Themen von den kompromittierten Seiten zu modifizieren.

XLab-Forscher von Qianxin dokumentierten mehr als 700 betroffene Domains in verschiedenen Branchen - von Universitäten und Medien bis hin zu IA-Unternehmen, Fintech und persönlichen Blogs - und gaben an, dass Sites mit schädlichem Code hochkarätige Plattformen umfassen würden. Die Angreifer injizieren nicht nur einen Ladegerät. JavaScript Licht, aber laden Sie eine zweite Phase, die Besucher vortäuscht und liefert nur den Betrug auf bestimmte Ziele Verringerung der Wahrscheinlichkeit der Erkennung und Erhöhung der Auswirkungen auf bestimmte Opfer.

Der Ablauf der Betrügerei beginnt mit einer Pop-up-Seite, die eine legitime Warnung simuliert (z.B. eine Cloudflare-Anfrage) und fordert den Benutzer auf, einen Befehl im Windows-Systemsymbol zu stecken. Dieser Befehl lädt und führt Payloads von DLL-Ladern und JavaScript-Droppers bis zu einem elektronenbasierten Installer von Forschern beobachtet. Diese Technik von "paste-this-command" ist gefährlich, weil es das Opfer zu einem technischen Komplize der Infektion macht.

Ghost veröffentlichte eine Korrektur am 19. Februar in Version 6.19.1; aber viele Seiten haben den Patch nicht angewendet, so dass die Kampagne weiterhin veraltete Instanzen auszunutzen. Wenn Sie eine Ghost-Site verwalten, ist die erste und dringendste Maßnahme, um die parcheed-Version zu aktualisieren und alle administrativen Schlüssel oder Token, die vor dem Patch existiert, vorausgesetzt, er hätte verlobt sein können.

Neben der Aktualisierung und Rotation von Schlüsseln sollte eine umfassende Suche nach Engagement-Indikatoren durchgeführt werden: Artikel und Themen durch injizierte Skripte oder verdächtige iframes, Audit-Änderungen in der Admin-API-Datenbank und -Log überprüfen und Themendateien mit bekannten Backup-Versionen vergleichen. Forscher empfehlen, mindestens 30 Tage Anrufaufzeichnungen an die Admin-API zu halten, um die Zeitlinie eines Eindringens wieder aufzubauen und unbefugte Ausgaben zuverlässiger zu erkennen. Technische Quellen und Detektionsmuster wurden von den Entdeckern und von den zufälligen Reaktionsfirmen veröffentlicht, um die Kehr- und Abhilfe zu erleichtern: siehe Ghost's GitHub Mitteilung und CVE's Eintrag in die NVD-Basis für formale Details und Parkdaten Sicherheitshinweis des Ghost und CVE-2026-26980 Rekord in NVD.

Für die Erkennung und operative Reaktion, suchen Sie nach Mustern wie Admin API Anfragen von unbekannten IPs, Artikel-Editionen, die Remote-Skripte, versteckte iframes und Anrufe auf ungewöhnliche externe Domänen aus den Dateien serviert. EDR / AV-Tools können die Nutzlasten identifizieren, die der Angreifer versucht, in Endpunkten zu implementieren; technische Berichte mit IoC und beobachtete Techniken wurden von Dritten von Bedrohungen und von Antwort-Teams als Referenz für forensische Scans und bösartige Domäne Sperrung veröffentlicht Analyse und Detektion von SentinelOne.

Wenn Sie feststellen, dass Sie kompromittiert wurden, speichern Sie Beweise, bevor Sie aufräumen: Datenbank, Webserver und Admin API-Aufzeichnungen, und Disk Snapshots. Dann gehen Sie zu regenerieren Schlüssel, Reinstallieren oder Wiederherstellen von sauberen Backups, und Kraft Änderung der Anmeldeinformationen von Administratoren. Da die Kampagne verschiedene Akteure umfasst, die manchmal Domänen oder Streitstellenkontrolle neu infizieren, teilweise Reinigung ohne Schlüsseldrehung und tiefe Überprüfung kann zur Wiedererkennung führen.

In Bezug auf die mittelfristige Minderung implementiert es neben dem Patch und der Key-Management Kontrollen, die die Missbrauchsoberfläche reduzieren: CSP-Richtlinien, die die Last von Remote-Skripten begrenzen, X-Frame-Optionen-Header, um Überschneidungen von schädlichen Iphrams zu vermeiden, WAFs zur Blockierung bekannter SQL-Injektionen und Dateiintegritätsüberwachung. Nutzen Sie Benutzer und Betreiber, nicht unified Befehle zu bleiben und fördert das Prinzip des Mindestvorrechtes für administrative APIs, so dass ein exponierter Schlüssel begrenzte Auswirkungen bei Flug.

Diese Kampagne ist eine klare Erinnerung an zwei chronische Probleme in der Websicherheit: Latenz bei der Anwendung kritischer Patches und übermäßigem Vertrauen in Komponenten von Drittanbietern, die dynamische Inhalte bedienen. Site-Aufbewahrer, vor allem in Organisationen mit öffentlicher Sicht, sollten automatische Updates oder schnelle Parkprozesse einschließen und eine vollständige und aktuelle Kopie ihrer Backups aus dem Produktionsnetzwerk halten sich erholen zu können, ohne den Preis einer langen Reinigung zu bezahlen.

Wenn Sie spezielle technische Anleitungen für die Inspektion Ihrer Ghost-Installation oder Antwortvorlagen benötigen, um einen Vorfall an Benutzer und Partner zu kommunizieren, kann ich eine handlungsfähige Checkliste und grundlegende Befehle auf der Suche nach Injektionsmustern und externen Anrufen auf Ihrem Server vorbereiten; sagen Sie mir, ob Sie einen schnellen Ansatz für technische Geräte oder eine nicht-technische Management-orientierte Version bevorzugen.