Ghost CMS SQL-Injection kapert über 700 Webseiten – Harvard und DuckDuckGo betroffen

Zu den begehrten Zieldaten zählen bcrypt-Passwort-Hashes, Sitzungsgeheimnisse und vor allem die Admin-API-Schlüssel . Diese Schlüssel öffnen eine weitaus größere Tür: die Ghost Admin-API, die volle Kontrolle über Beiträge, Seiten und Inhalte gewährt.

Der Patch kam unauffällig mit der Ghost-Version 6.19.1; viele Betreiber spielten ihn jedoch nie ein und ließen die Tür für Angreifer sperrangelweit offen .

Die aktive Kampagne: Über 700 kompromittierte Domains

Entdeckt wurde die laufende Angriffswelle im Mai 2026 vom Threat-Intelligence-Team XLab des chinesischen Cybersicherheitsunternehmens Qianxin. Die Bilanz ist alarmierend: Mehr als 700 Domains sind bereits vergiftet, darunter auch renommierte Einrichtungen . Zu den bestätigten Opfern zählen Portale der Harvard University, der Oxford University, der Auburn University sowie die für ihren Datenschutz bekannte Suchmaschine DuckDuckGo .

Das Besondere an dieser Kampagne: Mindestens zwei konkurrierende Angriffsgruppen liefern sich ein regelrechtes Wettrennen um dieselben verwundbaren Ziele. Mehrfach beobachteten die Forscher, dass eine Ghost-Instanz zunächst mit dem Code der einen Gruppe infiziert, nur Stunden später aber bereits von einem Rivalen mit dessen Schadcode überschrieben wurde .

Die Angriffskette im Detail

1. SQL-Injection zum Schlüsseldiebstahl – Die Angreifer senden präparierte SQL-Befehle an die öffentliche Content-API und extrahieren so die Admin-API-Schlüssel aus der Datenbank – ganz ohne vorherige Anmeldung .
2. Massenhafte Veränderung von Artikeln – Mit den gestohlenen Admin-Rechten nutzen sie die Ghost Admin-API, um veröffentlichte Artikel en masse zu verändern. An das Ende jeder Seite wird ein minimalistischer JavaScript-Loader angehängt .
3. ClickFix-Social-Engineering – Besucher einer kompromittierten Seite bekommen eine gefälschte Cloudflare-Seite („Einen Moment bitte…") zur Bot-Prüfung angezeigt. Die Seite fordert sie zu einer Tastenkombination auf und dazu, einen Befehl in das Windows-Ausführen-Dialogfeld zu kopieren. Ein klassischer ClickFix-Trick, der die Schutzmechanismen des Browsers umgeht, um den Nutzer selbst die Malware lokal ausführen zu lassen .

Schaddateien und Verteilwege

Das eingeschleuste JavaScript ist bewusst schlank gehalten; es fungiert als zweistufiger Lader, der die eigentliche Angriffslogik von einem externen Server nachlädt . Zu den beobachteten Nutzlasten gehören:

• DLL-Loader, die weitere Windows-Malware nachladen .
• Eine Electron-basierte Malware-Probe, was darauf hindeutet, dass die Angreifer Schadcode in Frameworks verpacken, die legitimen Desktop-Anwendungen zum Verwechseln ähnlich sehen .
• Gefälschte CAPTCHA- und Cloudflare-Köder, die als zentrales Social-Engineering-Werkzeug dienen, um Nutzer zum Umgehen von Warnungen zu bewegen .

Abhilfe: So sichern Sie Ihre Ghost-Instanz

Da die Angriffskette sowohl Lesezugriffe auf die Datenbank als auch authentifizierte Inhaltsmanipulation umfasst, muss die Behebung sowohl die Schwachstelle selbst als auch die Folgeschäden einer möglichen Kompromittierung adressieren.

Sofortmaßnahmen (innerhalb von Stunden)

1. Aktualisieren Sie Ghost auf Version 6.19.1 oder neuer. Dies ist die einzige dauerhafte Lösung für die SQL-Injection-Lücke .
2. Tauschen Sie alle Admin-API-Schlüssel aus. Da der Angriff mit dem Diebstahl dieser Schlüssel beginnt, bleibt die Admin-API auch nach dem Patchen voll zugänglich, wenn man die alten Schlüssel weiter verwendet . Neue Schlüssel generieren Sie in den Ghost Admin Labs-Einstellungen.
3. Prüfen Sie veröffentlichte Artikel und Seiten auf eingeschleusten JavaScript-Code. Angreifer injizieren Loader am Ende von Beiträgen. Durchsuchen Sie Beitragsinhalte und Einstellungen für benutzerdefinierte Code-Injektionen nach unbefugten Skripten .
4. Überprüfen Sie die Zugriffsprotokolle von Ghost auf auffällige Content-API-Muster – insbesondere auf Anfragen mit SQL-Fragmenten oder ungewöhnlichen slug-Filterparametern sowie auf Massenbearbeitungen von Beiträgen .

Kurzfristig (24–48 Stunden)

5. Auf Persistenz jenseits von Ghost prüfen. Ein gestohlener Admin-API-Schlüssel kann Theme-Dateien verändern oder Weiterleitungen hochladen. Behandeln Sie eine bestätigte Kompromittierung als umfassender als nur das Injizieren eines Skripts, bis der Host-Server überprüft wurde.
6. Setzen Sie alle Passwörter der Ghost-Benutzer zurück. Selbst wenn bcrypt-Hashes gestohlen wurden, schränkt der Austausch der Anmeldedaten das Zeitfenster für Passwort-Cracking ein .
7. Datenbankabfragen überwachen auf anhaltende, auffällige Lesezugriffe auf sensible Tabellen – hartnäckige Angreifer könnten versuchen, frische Geheimnisse erneut zu extrahieren .
8. Führen Sie einen vollständigen Malware-Scan auf dem Server durch, auf dem Ghost gehostet wird, einschließlich des Node.js-Anwendungspfads und der Datenbank.

Langfristige Verteidigung

9. Automatische Updates für Ghost aktivieren und Sicherheitshinweise abonnieren .
10. Eine Web Application Firewall (WAF)-Regel einsetzen, um SQL-Injection-Muster auf die Content-API zu blockieren. Dies dient als zusätzliche Sicherheitsebene, ist aber kein Ersatz für das Update .
11. Inventarisieren Sie alle öffentlich erreichbaren Ghost-Instanzen in Ihrer Infrastruktur. Das Ausmaß der Kampagne zeigt: Jede ungepatchte Ghost-Seite im Netz ist ein Ziel, egal ob privater Blog oder institutionelles Portal .

Patches erscheinen schnell, doch die flächendeckende Umsetzung ist stets die eigentliche Hürde. Diese Kampagne ist eine ernüchternde Erinnerung daran, dass schwerwiegende CMS-Sicherheitslücken nach der Offenlegung nicht einfach verschwinden. Sie werden zu Waffen – und Angreifer werden aktiv diejenigen Organisationen ins Visier nehmen, die die Nachricht nicht erreicht hat.