Ghost CMS sous attaque par CVE 2026 26980 vole les clés admin et dirige les escroqueries à pied cette commande

Une campagne massive exploite une vulnérabilité critique de l'injection SQL dans Ghost CMS (CVE-2026-26980) pour voler des clés administratives et planter malicieux JavaScript dans les articles, afin d'orchestrer cliquez Fix-type arnaques qui incitent les victimes à exécuter des commandes sur leur équipe. La défaillance affecte les versions Ghost 3.24.0 à 6.19.0 et permet aux attaquants non authentifiés de lire des données arbitraires de la base et d'extraire les clés de l'API Admin, qui à son tour servent à modifier le contenu et les thèmes des sites compromis.

Les chercheurs de XLab à Qianxin ont documenté plus de 700 domaines touchés dans différents secteurs - des universités et des médias aux entreprises de l'IA, aux blogs fintech et personnels - et ont indiqué que les sites avec un code malveillant comprendraient des plateformes très médiatisées. Les attaquants n'injectent pas seulement un chargeur. Lumière JavaScript, mais charger une deuxième étape qui fausse les visiteurs et ne livre que l'escroquerie à des cibles spécifiques réduire la probabilité de détection et accroître l'impact sur certaines victimes.

Le flux de l'escroquerie commence par une page pop-up qui simule un avertissement légitime (par exemple, une requête Cloudflare) et finit par demander à l'utilisateur de coller une commande dans le symbole du système Windows. Cette commande télécharge et exécute des charges utiles allant des chargeuses DLL et des goutteuses JavaScript à un installateur basé sur Electron observé par les chercheurs. Cette technique de "coller-ce-commande" est dangereuse car elle fait de la victime un complice technique de l'infection.

Ghost a publié une correction le 19 février dans la version 6.19.1; cependant, de nombreux sites n'ont pas appliqué le patch, permettant à la campagne de continuer à exploiter des instances dépassées. Si vous gérez un site Ghost, la première et la plus urgente mesure est de mettre à jour la version parcheed et rotation de toute clé administrative ou jeton existant avant le patch, en supposant qu'il aurait pu être fiancé.

En plus de la mise à jour et de la rotation des clés, une recherche complète d'indicateurs d'engagement devrait être effectuée : examiner les articles et les sujets par des scripts injectés ou des iframes suspects, vérifier les changements dans la base de données et le journal de l'API Admin, et comparer les fichiers thématiques avec les versions de sauvegarde connues. Les chercheurs recommandent de conserver au moins 30 jours d'enregistrements d'appels à l'API Admin pour pouvoir reconstruire la ligne de temps d'une intrusion et détecter les éditions non autorisées de façon plus fiable. Des sources techniques et des modèles de détection ont été publiés par les découvreurs et les entreprises d'intervention en cas d'incident afin de faciliter le balayage et l'assainissement : voir l'avis GitHub de Ghost et l'entrée de CVE dans la base NVD pour les détails officiels et les dates de stationnement Avis de sécurité de Ghost et CVE-2026-26980 record en NVD.

Pour la détection et la réponse opérationnelle, recherchez des modèles tels que les requêtes d'API Admin des IP inconnues, des éditions d'articles qui introduisent des scripts distants, des iframes cachés et des appels vers des domaines externes inhabituels à partir des fichiers desservis. Les outils EDR / AV peuvent identifier les charges utiles que l'attaquant tente de déployer dans les paramètres; des rapports techniques avec IoC et des techniques observées ont été publiés par des tiers de menaces et par des équipes d'intervention comme référence pour les analyses médico-légales et le blocage malveillant du domaine analyse et détection par SentinelOne.

Si vous déterminez que vous avez été compromis, enregistrez des preuves avant de nettoyer: base de données, serveur Web et fichiers API Admin, et des instantanés de disque. Puis procéder à régénérer les clés, réinstaller ou restaurer des sauvegardes propres, et forcer le changement d'identification des administrateurs. Étant donné que la campagne comprend différents acteurs qui réinfectent parfois des domaines ou le contrôle des sites de contestation, nettoyage partiel sans rotation clé et examen approfondi peut entraîner une réinfection.

En termes d'atténuation à moyen terme, en plus de la gestion des correctifs et des clés, il met en œuvre des contrôles qui réduisent la surface d'abus: les politiques CSP qui limitent la charge de scripts distants, les en-têtes X-Frame-Options pour éviter le chevauchement des iphrams malveillants, les WAFs visant à bloquer les injections SQL connues et la surveillance de l'intégrité des fichiers. Éduque les utilisateurs et les opérateurs à ne pas coller des commandes non vérifiées et promeut le principe du privilège minimum pour les API administratives, de sorte qu'une clé exposée a un impact limité en cas de vol.

Cette campagne rappelle clairement deux problèmes chroniques en matière de sécurité du Web : la latence à appliquer des correctifs critiques et une confiance excessive dans des composants tiers qui servent de contenu dynamique. Les responsables du site, en particulier dans les organisations ayant une visibilité publique, devraient intégrer des mises à jour automatiques ou des processus de stationnement rapide et conserver une copie complète et récente de leurs sauvegardes hors du réseau de production. être en mesure de récupérer sans payer le prix d'un long nettoyage.

Si vous avez besoin de guides techniques spécifiques pour l'inspection de vos modèles d'installation ou de réponse Ghost pour communiquer un incident aux utilisateurs et partenaires, je peux préparer une liste de contrôle actionnable et des commandes de base pour rechercher des modèles d'injection et des appels externes sur votre serveur; dites-moi si vous préférez une approche rapide de l'équipement technique ou une version non-technique de gestion.