ثغرة Ghost CMS الخطيرة تخترق أكثر من 700 موقع حول العالم

البيانات التي يمكن أن تتسرب تشمل كلمات مرور مشفرة بنظام bcrypt، وأسرار الجلسات، والأخطر من ذلك: مفاتيح Admin API . هذه المفاتيح تفتح الباب على مصراعيه أمام واجهة Ghost Admin API، التي تمتلك صلاحيات كاملة لإنشاء وتعديل المقالات والصفحات ومحتوى الموقع.

وصل التحديث العلاجي بهدوء في إصدار Ghost 6.19.1، لكن الكثير من المشغلين لم يقوموا بتثبيته، تاركين الباب مفتوحاً على مصراعيه للاستغلال .

الحملة النشطة: أكثر من 700 نطاق مخترق

اكتشف فريق "XLab" لأبحاث التهديدات السيبرانية التابع لشركة "تشيان شين" (Qianxin) الصينية الحملةَ في مايو 2026، وقد تمكنت بالفعل من تسميم أكثر من 700 نطاق، بما في ذلك مواقع ذات سمعة مرموقة . من بين الضحايا المؤكدين بوابات تملكها جامعة هارفارد، وجامعة أكسفورد، وجامعة أوبورن، ومحرك البحث المهتم بالخصوصية "دك دك جو" (DuckDuckGo) .

ما يزيد الوضع سوءاً أن مجموعتي تهديد متنافستين على الأقل تتسابقان لاختراق نفس المواقع الضعيفة. في بعض الحالات، لاحظ الباحثون أن موقع Ghost واحداً حُقن بكود خبيث من إحدى المجموعات، ليتم إعادة اختراقه من قبل مجموعة منافسة بعد ساعات فقط .

سلسلة الهجوم

1. حقن SQL لسرقة المفاتيح – يرسل المهاجمون حمولات SQL مصممة خصيصاً إلى واجهة Content API العامة، لاستخراج مفاتيح Admin API من قاعدة البيانات دون أي حاجة لتسجيل الدخول .
2. التلاعب الجماعي بالمقالات – بصلاحيات إدارية مسروقة، يستخدمون Ghost Admin API لتعديل المقالات المنشورة بشكل جماعي، وإلحاق مُحمِّل JavaScript خفيف بأسفل كل صفحة .
3. هندسة اجتماعية بأسلوب ClickFix – يُعرض على زوار المواقع المخترقة صفحة تحقق بشري مزيفة من Cloudflare بعنوان "Just a moment…". توجه الصفحة المستخدمين للضغط على اختصار لوحة مفاتيح ولصق أمر في نافذة التشغيل (Run) في ويندوز - وهي خدعة ClickFix كلاسيكية تهدف لتجاوز دفاعات المتصفح وتنفيذ البرمجيات الخبيثة محلياً .

الحمولات وتوصيل البرمجيات الخبيثة

كود JavaScript المحقون صغير الحجم عن قصد؛ فهو يعمل بمثابة مُحمِّل ثنائي المراحل يجلب أكواد الهجوم الفعلية من خادم خارجي . من بين الحمولات التي تم رصدها:

• مُحمِّلات DLL تقوم بإسقاط برمجيات خبيثة إضافية على نظام ويندوز .
• عينة من برمجية خبيثة مبنية على Electron، مما يشير إلى أن المهاجمين يقومون بتغليف الأكواد الخبيثة داخل أطر عمل تبدو كتطبيقات سطح مكتب شرعية .
• إغراءات مزيفة بصفحات CAPTCHA و Cloudflare تُستخدم كطُعم رئيسي للهندسة الاجتماعية لإقناع المستخدمين بتجاوز التحذيرات الأمنية .

المعالجة: خطوات تأمين نظام Ghost لديك

نظرًا لأن سلسلة الهجوم تشمل قراءة من قاعدة البيانات والتلاعب بمحتوى موثوق، فيجب أن تعالج خطة الإصلاح الثغرة نفسها والأضرار اللاحقة للاختراق المحتمل.

إجراءات فورية (في غضون ساعات)

1. قم بترقية Ghost إلى الإصدار 6.19.1 أو أحدث. هذا هو الحل الدائم الوحيد لثغرة SQL injection .
2. قم بتدوير (إعادة إنشاء) جميع مفاتيح Admin API. لأن الهجوم يبدأ بسرقة المفاتيح، فإن الاستمرار في استخدام المفاتيح الحالية يترك واجهة Admin API متاحة بالكامل حتى بعد الترقيع . أنشئ مفاتيح جديدة من إعدادات Ghost Admin Labs.
3. قم بمراجعة جميع المقالات والصفحات المنشورة بحثاً عن أكواد JavaScript محقونة. يحقن المهاجمون المُحمِّلات أسفل المنشورات؛ افحص نصوص المقالات وإعدادات حقن الأكواد المخصصة بحثاً عن أي أكواد غير مصرح بها .
4. راجع سجلات الوصول (Access Logs) الخاصة بـ Ghost بحثاً عن أنماط غير طبيعية في Content API - خاصة الطلبات التي تحتوي على أجزاء من أوامر SQL أو مُعامِلات slug غير اعتيادية، بالإضافة إلى أنشطة التحديث الجماعي على المقالات .

إجراءات قصيرة المدى (24-48 ساعة)

5. افحص وجود أي آليات للبقاء والثبات (Persistence) خارج Ghost. يمكن لمفتاح Admin API المسروق تعديل ملفات القوالب أو رفع تحويلات (Redirects). تعامل مع أي اختراق مؤكد على أنه أوسع من مجرد حقن كود برمجي إلى أن يتم فحص الخادم المضيف.
6. أعد تعيين كلمات مرور جميع مستخدمي فريق العمل في Ghost. حتى لو سُرقت كلمات المرور المشفرة بنظام bcrypt، فإن تغيير بيانات الاعتماد يحد من نافذة محاولات فك التشفير .
7. راقب استعلامات قاعدة البيانات بحثاً عن أي قراءات غير طبيعية مستمرة لجداول البيانات الحساسة - قد يحاول المهاجمون المستمرون إعادة استخراج أسرار جديدة .
8. قم بتشغيل فحص كامل للبرمجيات الخبيثة على بيئة الخادم الذي يستضيف Ghost، بما في ذلك مسار تطبيق Node.js وقاعدة البيانات.

دفاعات طويلة الأمد

9. قم بتمكين التحديثات التلقائية لـ Ghost واشترك في نشرات التحذيرات الأمنية .
10. انشر قاعدة في جدار حماية تطبيقات الويب (WAF) لحظر أنماط SQL injection التي تستهدف Content API كإجراء دفاعي دفاعي إضافي - لكن لا تعتبرها بديلاً عن الترقية .
11. قم بمراجعة جميع أنظمة Ghost المكشوفة عبر بنيتك التحتية. حجم الحملة يعني أن أي موقع Ghost غير محدث على الإنترنت هو هدف، سواء كان مدونة شخصية أو بوابة مؤسسية .

التصحيحات الأمنية تُنشر بسرعة، لكن التبني هو دائماً عنق الزجاجة الحقيقي. هذه الحملة تذكير قاسٍ بأن ثغرات أنظمة إدارة المحتوى عالية الخطورة لا تختفي بعد الكشف عنها، بل تتحول إلى ذخيرة، والمهاجمون سيستهدفون بنشاط المؤسسات التي لم تتلق الرسالة بعد.