Alerta crítica CVE-2026-26980 en Ghost CMS expone la Admin API y facilita loaders JavaScript en cientos de sitios

Un fallo crítico en Ghost CMS —registrado como CVE-2026-26980 y valorado con un CVSS 9.4— está siendo explotado en campañas masivas que insertan código JavaScript malicioso en sitios legítimos para facilitar ataques de tipo ClickFix, según investigaciones públicas y reportes de inteligencia. La vulnerabilidad, un error de inyección SQL en la Content API resuelto en febrero de 2026 en la versión 6.19.1, permite a un atacante no autenticado leer datos arbitrarios de la base de datos y, crucialmente, recuperar la clave Admin API de un sitio Ghost sin autorización.

El peligro real de esta debilidad no es solo la exfiltración de datos, sino la capacidad de modificar contenidos publicados: con la clave de administración un actor malicioso puede invocar la Admin API y editar artículos en bloque para inyectar un loader JavaScript al final de las páginas. Ese loader es una pieza deliberadamente fina: descarga en tiempo de ejecución un payload principal alojado en dominios externos, lo que permite al atacante cambiar el malware sin volver a comprometer cada sitio individualmente.

Los operadores detrás de la campaña han empleado un script de cloaking comercial conocido como Adspect para distinguir entre visitantes legítimos y escáneres, entregando únicamente a víctimas seleccionadas una falsa verificación CAPTCHA dentro de un iframe que ordena al usuario ejecutar un comando Base64 en el diálogo Ejecutar de Windows. Esa cadena desencadena una cadena de caída que puede terminar instalando ejecutables (por ejemplo, un DLL lanzado con rundll32 o un instalador Inno Setup que contiene un cliente modificado de Grape), proporcionando persistencia y un canal de control remoto.

La escala es preocupante: QiAnXin XLab atribuye la campaña a al menos dos clusters distintos, con compromisos que en algunos casos ocurrieron en menos de 24 horas desde la detección inicial el 7 de mayo de 2026, y más de 700 sitios afectados en sectores que incluyen universidades, blockchain, IA, SaaS, investigación en seguridad, medios y fintech. El uso de sitios legítimos aumenta la tasa de éxito del engaño, porque usuarios confían más en dominios institucionales para seguir instrucciones o completar formularios aparentemente inofensivos.

Para mitigar el riesgo inmediato, la acción primaria es aplicar parches: actualice Ghost a la versión 6.19.1 o superior y verifique que no queden instancias sin actualizar. Además, es imprescindible rotar todas las credenciales y claves de la Admin API, invalidando tokens antiguos, y revisar la integridad del contenido publicado para eliminar los loaders y cualquier código remoto incrustado. La documentación oficial de Ghost y sus guías de actualización son un punto de partida fiable: https://ghost.org/docs/.

Las organizaciones afectadas deberían conservar registros y evidencias antes de limpiar y realizar un análisis forense: preserve logs de acceso web, registros de la base de datos y snapshots del sistema para trazar alcance, vectores de entrada y posibles exfiltraciones. Audite las configuraciones de hosting y los usuarios con privilegios, y revise integraciones como webhooks o procesos automatizados que puedan haber sido manipulados. Para detalles técnicos y la referencia de la vulnerabilidad, el registro de NIST/NVD contiene la ficha CVE: https://nvd.nist.gov/vuln/detail/CVE-2026-26980.

En el plano preventivo, implemente controles compensatorios para reducir el impacto de futuras fallas: restringir el acceso a APIs administrativas por IP o VPN, aplicar políticas de least privilege en claves y cuentas, habilitar Content Security Policy (CSP) para limitar la ejecución de scripts externos, y emplear un WAF con reglas específicas para inyección SQL y bloqueo de patrones de tampering en HTML. También conviene limitar la egress de red desde servidores web para impedir descargas de payloads externos.

Finalmente, comunique de forma proactiva: si su sitio estuvo comprometido, notifique a los usuarios que pudieron haber interactuado con contenido alterado para que supervisen dispositivos y estén atentos a indicadores de compromiso (como instalaciones no solicitadas o peticiones inusuales). Si encuentra artefactos relacionados con dominios como el mencionado por los investigadores, documente las evidencias y considere coordinar con equipos de respuesta a incidentes y autoridades según el marco legal aplicable.

La explotación de CVE-2026-26980 subraya una realidad recurrente en seguridad web: los CMS ampliamente adoptados se convierten en vectores muy atractivos para los atacantes porque un único fallo puede amplificar el impacto sobre miles de usuarios. Parches, rotación de credenciales, monitoreo y controles de acceso continuos son las medidas que reducen significativamente ese riesgo.