Alerta crítico CVE-2026-26980 no Ghost CMS expõe a API Admin e facilita loaders JavaScript em centenas de sites

Um erro crítico no Ghost CMS —registrado como CVE-2026-26980 e valorizado com um CVSS 9.4 — está a ser explorado em campanhas massivas que inserem código de JavaScript malicioso em sites legítimos para facilitar ataques de tipo ClickFix, segundo pesquisas públicas e relatórios de inteligência. A vulnerabilidade, um erro de injeção SQL na Content API resolvido em fevereiro de 2026 na versão 6.19.1, permite a um atacante não autenticado ler dados arbitrários da base de dados e, crucialmente, recuperar a chave Admin API de um site Ghost sem autorização.

O perigo real desta fraqueza não é apenas a exfiltração de dados, mas a capacidade de modificar conteúdos publicados: com a chave de administração um ator malicioso pode invocar a API Admin e editar artigos em bloco para injetar um loader JavaScript No fim das páginas. Esse loader é uma peça deliberadamente fina: download em tempo de execução um payload principal hospedado em domínios externos, o que permite ao atacante mudar o malware sem voltar a comprometer cada site individualmente.

Os operadores por trás da campanha usaram um programa de cloaking comercial conhecido como Adspect para distinguir entre visitantes legítimos e scanners, entregando apenas vítimas selecionadas uma falsa verificação CAPTCHA dentro de um iframe que ordena ao usuário executar um comando Base64 na janela Executar do Windows. Essa cadeia desencadeia uma cadeia de queda que pode terminar instalando executáveis (por exemplo, um DLL lançado com rundll32 ou um instalador Inno Setup que contém um cliente modificado de Grape), proporcionando persistência e um canal de controle remoto.

A escala é preocupante: QiAnXin XLab atribui a campanha a pelo menos dois clusters distintos, com compromissos que ocorreram em menos de 24 horas desde a detecção inicial em 7 de maio de 2026, e mais de 700 sites afetados em setores que incluem universidades, blockchain, IA, SaaS, pesquisa em segurança, mídia e fintech. O uso de sites legítimos aumenta a taxa de sucesso do engano, porque usuários confiam mais em domínios institucionais para seguir instruções ou completar formulários aparentemente inofensivos.

Para mitigar o risco imediato, a ação primária é aplicar adesivos: atualizar o Ghost para a versão 6.19.1 ou superior verifique que não sejam instâncias sem actualizar. Além disso, é imprescindível rodar todas as credenciais e chaves da Admin API, invalidando tokens antigos, e revisar a integridade do conteúdo publicado para remover os loaders e qualquer código remoto incorporado. A documentação oficial do Ghost e seus guias de atualização são um ponto de partida confiável: https://ghost.org/docs/.

As organizações afetadas devem conservar registros e evidências antes de limpar e realizar uma análise forense: preserve logs de acesso web, registros da base de dados e snapshots do sistema para traçar alcance, vetores de entrada e possíveis exfiltrações. Audite as configurações de hospedagem e os usuários com privilégios, e verifique integrações como webhooks ou processos automatizados que possam ter sido manipulados. Para detalhes técnicos e referência da vulnerabilidade, o registro de NIST/NVD contém o prontuário CVE: https://nvd.nist.gov/vuln/detail/CVE-2026-26980.

No plano preventivo, implemente controles compensatórios para reduzir o impacto de futuras falhas: restringir o acesso a APIs administrativas por IP ou VPN, aplicar políticas de lerst privilege em chaves e contas, activar o Content Security Policy (CSP) para limitar a execução de programas externos, e utilizar um WAF com regras específicas para injeção SQL e bloqueio de padrões de tampering em HTML. Também convém limitar a egress de rede a partir de servidores web para impedir descargas de payloads externos.

Finalmente, comunique de forma proativa: se o seu site estiver comprometido, informe os usuários que puderam ter interagido com conteúdo alterado para que supervisem dispositivos e estejam atentos a indicadores de compromisso (como instalações não solicitadas ou petições incomuns). Se encontrar artefatos relacionados a domínios como o mencionado pelos pesquisadores, documente as evidências e considere coordenar com equipes de resposta a incidentes e autoridades segundo o quadro legal aplicável.

A exploração do CVE-2026-26980 destaca uma realidade recorrente em segurança web: os CMS amplamente adotados tornam-se vetores muito atrativos para os atacantes porque uma única falha pode amplificar o impacto sobre milhares de usuários. Parches, rotação de credenciais, monitoramento e controles de acesso contínuos são as medidas que reduzem significativamente esse risco.