Ghost CMS bajo ataque por CVE 2026 26980 roba claves admin y dirige estafas con paste this command

Una campaña masiva está explotando una vulnerabilidad crítica de inyección SQL en Ghost CMS (CVE-2026-26980) para robar claves administrativas y plantar JavaScript malicioso en artículos, con el fin de orquestar estafas del tipo ClickFix que inducen a las víctimas a ejecutar comandos en su equipo. La falla afecta a Ghost versiones 3.24.0 hasta 6.19.0 y permite a atacantes no autenticados leer datos arbitrarios de la base y extraer las claves del Admin API, que a su vez sirven para modificar contenidos y temas de los sitios comprometidos.

Investigadores de XLab en Qianxin documentaron más de 700 dominios afectados en distintos sectores —desde universidades y medios hasta empresas de IA, fintech y blogs personales—, e indicaron que entre los sitios con código malicioso se incluirían plataformas de alto perfil. Los atacantes no solo inyectan un “loader” JavaScript ligero, sino que cargan una segunda etapa que fingerprinta visitantes y solo entrega la estafa a objetivos específicos, reduciendo la probabilidad de detección y aumentando el impacto sobre víctimas concretas.

El flujo de la estafa comienza con una página emergente que simula un aviso legítimo (por ejemplo, una petición de Cloudflare) y termina pidiendo al usuario que pegue un comando en el símbolo del sistema de Windows. Ese comando descarga y ejecuta cargas útiles que van desde loaders de DLL y droppers JavaScript hasta un instalador basado en Electron observado por los investigadores. Esta técnica de “paste-this-command” es peligrosa porque convierte a la víctima en cómplice técnico de la infección.

Ghost lanzó una corrección el 19 de febrero en la versión 6.19.1; sin embargo, muchos sitios no aplicaron el parche, lo que permitió que la campaña siguiera explotando instancias desactualizadas. Si administras un sitio Ghost, la primera y más urgente medida es actualizar a la versión parcheada y rotar cualquier clave administrativa o token que existiera antes del parche, asumiendo que pudo haberse comprometido.

Además de la actualización y rotación de claves, conviene realizar una búsqueda exhaustiva de indicadores de compromiso: revisar artículos y temas por scripts inyectados o iframes sospechosos, auditar cambios en la base de datos y en los logs del Admin API, y comparar archivos de tema con versiones de respaldo conocidas. Los investigadores recomiendan conservar al menos 30 días de registros de llamadas al Admin API para poder reconstruir la línea temporal de una intrusión y detectar ediciones no autorizadas con mayor fiabilidad. Fuentes técnicas y pautas de detección han sido publicadas por los descubridores y por firmas de respuesta a incidentes para facilitar el barrido y la remediación: vea el aviso de Ghost en GitHub y la entrada del CVE en la base de NVD para detalles formales y fechas de parcheo aviso de seguridad de Ghost y registro CVE-2026-26980 en NVD.

Para detección y respuesta operativa, busque patrones como peticiones Admin API desde IPs desconocidas, ediciones de artículos que introducen scripts remotos, iframes ocultos y llamadas a dominios externos inusuales desde los archivos servidos. Herramientas de EDR/AV pueden identificar las cargas útiles que el atacante intenta desplegar en endpoints; informes técnicos con IoC y técnicas observadas han sido publicados por terceros de amenazas y por equipos de respuesta como referencia para escaneos forenses y bloqueo de dominios maliciosos análisis y detección por SentinelOne.

Si determinas que fuiste comprometido, preserva evidencia antes de limpiar: captura volcado de base de datos, registros del servidor web y del Admin API, y snapshots de discos. Luego procede a regenerar claves, reinstalar o restaurar desde backups limpios, y forzar el cambio de credenciales de administradores. Dado que la campaña incluye actores distintos que a veces re-infectan dominios o se disputan el control del sitio, una limpieza parcial sin rotación de claves y revisión profunda puede resultar en reinfección.

En términos de mitigación a medio plazo, además del parche y la gestión de claves, implementa controles que reduzcan la superficie de abuso: políticas CSP que limiten la carga de scripts remotos, cabeceras X-Frame-Options para evitar iframes maliciosos superpuestos, WAFs orientados a bloquear inyecciones SQL conocidas y monitoreo de integridad de archivos. Educa a usuarios y operadores para que no peguen comandos sin verificar y promueve el principio de mínimo privilegio para las APIs administrativas, de modo que una clave expuesta tenga impacto limitado en caso de fuga.

Esta campaña es un recordatorio claro de dos problemas crónicos en seguridad web: la latencia en aplicar parches críticos y la confianza excesiva en componentes de terceros que sirven contenido dinámico. Los mantenedores de sitios, especialmente en organizaciones con visibilidad pública, deben incorporar actualizaciones automáticas o procesos de parcheo rápido y mantener una copia íntegra y reciente de sus backups fuera de la red de producción para poder recuperarse sin pagar el precio de una limpieza prolongada.

Si necesitas guías técnicas concretas para la inspección de tu instalación Ghost o plantillas de respuesta para comunicar un incidente a usuarios y socios, puedo preparar un checklist accionable y comandos básicos para buscar patrones de inyección y llamadas externas en tu servidor; dime si prefieres un enfoque rápido para equipos técnicos o una versión orientada a responsables no técnicos.