Ghost CMS sob ataque por CVE 2026 26980 rouba chaves admin e dirige fraudes com paste this command

Uma campanha massiva está explodindo uma vulnerabilidade crítica de injeção SQL no Ghost CMS (CVE-2026-26980) para roubar chaves administrativas e plantar JavaScript malicioso em artigos, a fim de orquestrar fraudes do tipo ClickFix que induzem as vítimas a executar comandos em sua equipe. A falha afeta Ghost versões 3.24.0 até 6.19.0 e permite a atacantes não autenticados ler dados arbitrários da base e extrair as chaves do Admin API, que por sua vez servem para modificar conteúdos e temas dos sites comprometidos.

Pesquisadores de XLab em Qianxin documentaram mais de 700 domínios afetados em diferentes setores – desde universidades e mídia até empresas de IA, fintech e blogs pessoais – e indicaram que entre os sites com código malicioso seriam incluídas plataformas de alto perfil. Os atacantes não injectam apenas um “loader” JavaScript leve, mas carregam uma segunda etapa que fingerprinta visitantes e entrega apenas a fraude a objetivos específicos, reduzindo a probabilidade de detecção e aumentando o impacto sobre vítimas concretas.

O fluxo de fraudes começa com uma página emergente que simula um aviso legítimo (por exemplo, um pedido de Cloudflare) e termina pedindo ao usuário que pegue um comando no símbolo do sistema do Windows. Esse comando descarrega e executa cargas úteis que vão desde loaders de DLL e droppers JavaScript até um instalador baseado em Electron observado pelos pesquisadores. Esta técnica de “paste-this-command” é perigosa porque converte a vítima em cúmplice técnico da infecção.

O Ghost lançou uma correção em 19 de fevereiro na versão 6.19.1; porém, muitos sites não aplicaram o adesivo, o que permitiu que a campanha seguisse explodindo instâncias desatualizadas. Se você administra um site Ghost, a primeira e mais urgente medida é atualizar para a versão adesivo e rodar qualquer chave administrativa ou token que existisse antes do adesivo, assumindo que pôde ter se comprometido.

Além da atualização e rotatividade de chaves, convém realizar uma busca exaustiva de indicadores de compromisso: revisar artigos e temas por scripts injetados ou iframes suspeitos, auditar mudanças na base de dados e nos logs do Admin API, e comparar arquivos de tema com versões de backup conhecidas. Os pesquisadores recomendam conservar pelo menos 30 dias de registros de chamadas ao Admin API para poder reconstruir a linha temporal de uma intrusão e detectar edições não autorizadas com maior confiabilidade. Fontes técnicas e diretrizes de detecção foram publicadas pelos descubridores e por assinaturas de resposta a incidentes para facilitar o barrido e a remediação: veja o aviso do Ghost no GitHub e a entrada do CVE na base de NVD para detalhes formais e datas de adesivo Aviso de segurança do Ghost e registro CVE-2026-26980 em NVD.

Para detecção e resposta operacional, procure padrões como petições Admin API a partir de IPs desconhecidos, edições de artigos que introduzem scripts remotos, iframes ocultos e chamadas a domínios externos incomuns a partir dos arquivos servidos. Ferramentas de EDR/AV podem identificar as cargas úteis que o atacante tenta implantar em endpoints; relatórios técnicos com IoC e técnicas observadas foram publicados por terceiros de ameaças e por equipes de resposta como referência para digitalização forense e bloqueio de domínios maliciosos Análise e detecção por SentinelOne.

Se você determinar que você foi comprometido, preserva evidências antes de limpar: captura de base de dados, registros do servidor web e do Admin API, e snapshots de discos. Depois, procede a regenerar chaves, reinstalar ou restaurar de backups limpos, e forçar a mudança de credenciais de administradores. Como a campanha inclui atores distintos que às vezes reinfectam domínios ou disputam o controle do site, uma limpeza parcial sem rotação de chaves e revisão profunda pode resultar em reinfecção.

Em termos de mitigação a médio prazo, além do adesivo e gestão de chaves, implementa controles que reduzam a superfície de abuso: políticas CSP que limitem a carga de scripts remotos, cabeçalhos X-Frame-Options para evitar iframes maliciosos superpostos, WAFs orientados a bloquear injeções SQL conhecidas e monitoramento de integridade de arquivos. Educa usuários e operadores para que não colem comandos sem verificar e promove o princípio de mínimo privilégio para as APIs administrativas, de modo que uma chave exposta tenha impacto limitado em caso de fuga.

Esta campanha é um lembrete claro de dois problemas crônicos em segurança web: a latência em aplicar adesivos críticos e a confiança excessiva em componentes de terceiros que servem conteúdo dinâmico. Os mantenedores de sites, especialmente em organizações com visibilidade pública, devem incorporar atualizações automáticas ou processos de adesivo rápido e manter uma cópia completa e recente de seus backups fora da rede de produção Para recuperar sem pagar o preço de uma limpeza prolongada.

Se você precisar de guias técnicos específicos para a inspeção da sua instalação Ghost ou modelos de resposta para comunicar um incidente a usuários e parceiros, posso preparar um checklist acionável e comandos básicos para procurar padrões de injeção e chamadas externas no seu servidor; diga-me se você prefere uma abordagem rápida para equipamentos técnicos ou uma versão orientada para responsáveis não técnicos.