Ghost CMS SQL-Injection kapert über 700 Webseiten – Harvard und DuckDuckGo betroffen
Aktive Ausnutzung: Eine SQL Injection Lücke in Ghost CMS (CVE 2026 26980, CVSS 9.4) ermöglicht Angreifern den Diebstahl von Admin API Schlüsseln. Tückische Angriffskette: Nach dem Datenklau schleusen die Angreifer Code ein, der Besuchern eine gefälschte Cloudflare „Verifizierungsseite“ anzeigt.
Aktive Ausnutzung: Eine SQL Injection Lücke in Ghost CMS (CVE 2026 26980, CVSS 9.4) ermöglicht Angreifern den Diebstahl von Admin API Schlüsseln.
Tückische Angriffskette: Nach dem Datenklau schleusen die Angreifer Code ein, der Besuchern eine gefälschte Cloudflare „Verifizierungsseite“ anzeigt.
Jetzt handeln: Einzige Abhilfe ist das Update auf Ghost 6.19.1 sowie der sofortige Austausch aller Admin API Schlüssel und die Prüfung aller veröffentlichten Inhalte auf eingeschleusten Code [1][4].
What is the CVE-2026-26980 vulnerability in Ghost CMS, how are attackers actively exploiting it to compromise over 700 websites, what payloaA large-scale ClickFix campaign exploits unpatched Ghost CMS instances to turn trusted websites into malware delivery platforms.
KI-Prompt
Create a landscape editorial hero image for this Studio Global article: What is the CVE-2026-26980 vulnerability in Ghost CMS, how are attackers actively exploiting it to compromise over 700 websites, what payloa. Article summary: ## What is CVE-2026-26980. Topic tags: general, government, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "# Ghost CMS SQL Injection Hits 700 Sites: Harvard, DuckDuckGo Serve Fake Cloudflare Malware. #### Two threat groups exploit an unpatched CVSS 9.4 flaw to serve ClickFix malware on" source context "Ghost CMS SQL Injection Hits 700 Sites: Harvard, DuckDuckGo Serve Fake Cloudflare Malware" Reference image 2: visual subject "# Ghost CMS SQL Injection Hits 700 Sites: Harvard, DuckDuckGo Serve Fake Cloudflare Malware. #### Two threat groups exploit an unpatched CVSS 9.4 flaw to serve ClickFix malwa
openai.com
Eine vor Monaten gepatchte Schwachstelle ist zur Munition für eine der aggressivsten Website-Kaperkampagnen des Jahres geworden. Angreifer nutzen eine kritische SQL-Injection-Lücke in Ghost CMS aus, um administrative Schlüssel zu stehlen, Schadcode einzuschleusen und hoch angesehene Domains kurzerhand in Verteilplattformen für Malware zu verwandeln. Betroffen sind nicht nur kleine Blogs, sondern auch prominente Portale – von Elite-Universitäten bis hin zu einer datenschutzorientierten Suchmaschine.
Die Schwachstelle: Unbefugter Datenbankzugriff
CVE-2026-26980 ist eine als kritisch eingestufte SQL-Injection-Lücke mit einem CVSS-Score von 9.4, die die Content-API von Ghost CMS betrifft . Der Fehler liegt in der mangelhaften Bereinigung der Parameter filter und order bei API-Abfragen – konkret in der Art, wie der ORDER BY-Befehl zusammengesetzt wird . Ohne jegliche Authentifizierung kann ein entfernter Angreifer beliebige SQL-Kommandos in Parameter wie oder einschleusen und so unbemerkt jede beliebige Tabelle der Datenbank auslesen .
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Wie lautet die kurze Antwort auf „Ghost CMS SQL-Injection kapert über 700 Webseiten – Harvard und DuckDuckGo betroffen“?
Aktive Ausnutzung: Eine SQL Injection Lücke in Ghost CMS (CVE 2026 26980, CVSS 9.4) ermöglicht Angreifern den Diebstahl von Admin API Schlüsseln.
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Aktive Ausnutzung: Eine SQL Injection Lücke in Ghost CMS (CVE 2026 26980, CVSS 9.4) ermöglicht Angreifern den Diebstahl von Admin API Schlüsseln. Tückische Angriffskette: Nach dem Datenklau schleusen die Angreifer Code ein, der Besuchern eine gefälschte Cloudflare „Verifizierungsseite“ anzeigt.
Was soll ich als nächstes in der Praxis tun?
Jetzt handeln: Einzige Abhilfe ist das Update auf Ghost 6.19.1 sowie der sofortige Austausch aller Admin API Schlüssel und die Prüfung aller veröffentlichten Inhalte auf eingeschleusten Code [1][4].
Ghost CMS SQL-Injection kapert über 700 Webseiten – Harvard und DuckDuckGo betroffen
Aktive Ausnutzung: Eine SQL Injection Lücke in Ghost CMS (CVE 2026 26980, CVSS 9.4) ermöglicht Angreifern den Diebstahl von Admin API Schlüsseln. Tückische Angriffskette: Nach dem Datenklau schleusen die Angreifer Code ein, der Besuchern eine gefälschte Cloudflare „Verifizierungsseite“ anzeigt.
Aktive Ausnutzung: Eine SQL Injection Lücke in Ghost CMS (CVE 2026 26980, CVSS 9.4) ermöglicht Angreifern den Diebstahl von Admin API Schlüsseln.
Tückische Angriffskette: Nach dem Datenklau schleusen die Angreifer Code ein, der Besuchern eine gefälschte Cloudflare „Verifizierungsseite“ anzeigt.
Jetzt handeln: Einzige Abhilfe ist das Update auf Ghost 6.19.1 sowie der sofortige Austausch aller Admin API Schlüssel und die Prüfung aller veröffentlichten Inhalte auf eingeschleusten Code [1][4].
What is the CVE-2026-26980 vulnerability in Ghost CMS, how are attackers actively exploiting it to compromise over 700 websites, what payloaA large-scale ClickFix campaign exploits unpatched Ghost CMS instances to turn trusted websites into malware delivery platforms.
KI-Prompt
Create a landscape editorial hero image for this Studio Global article: What is the CVE-2026-26980 vulnerability in Ghost CMS, how are attackers actively exploiting it to compromise over 700 websites, what payloa. Article summary: ## What is CVE-2026-26980. Topic tags: general, government, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "# Ghost CMS SQL Injection Hits 700 Sites: Harvard, DuckDuckGo Serve Fake Cloudflare Malware. #### Two threat groups exploit an unpatched CVSS 9.4 flaw to serve ClickFix malware on" source context "Ghost CMS SQL Injection Hits 700 Sites: Harvard, DuckDuckGo Serve Fake Cloudflare Malware" Reference image 2: visual subject "# Ghost CMS SQL Injection Hits 700 Sites: Harvard, DuckDuckGo Serve Fake Cloudflare Malware. #### Two threat groups exploit an unpatched CVSS 9.4 flaw to serve ClickFix malwa
openai.com
Eine vor Monaten gepatchte Schwachstelle ist zur Munition für eine der aggressivsten Website-Kaperkampagnen des Jahres geworden. Angreifer nutzen eine kritische SQL-Injection-Lücke in Ghost CMS aus, um administrative Schlüssel zu stehlen, Schadcode einzuschleusen und hoch angesehene Domains kurzerhand in Verteilplattformen für Malware zu verwandeln. Betroffen sind nicht nur kleine Blogs, sondern auch prominente Portale – von Elite-Universitäten bis hin zu einer datenschutzorientierten Suchmaschine.
Die Schwachstelle: Unbefugter Datenbankzugriff
CVE-2026-26980 ist eine als kritisch eingestufte SQL-Injection-Lücke mit einem CVSS-Score von 9.4, die die Content-API von Ghost CMS betrifft . Der Fehler liegt in der mangelhaften Bereinigung der Parameter filter und order bei API-Abfragen – konkret in der Art, wie der ORDER BY-Befehl zusammengesetzt wird . Ohne jegliche Authentifizierung kann ein entfernter Angreifer beliebige SQL-Kommandos in Parameter wie oder einschleusen und so unbemerkt jede beliebige Tabelle der Datenbank auslesen .
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Wie lautet die kurze Antwort auf „Ghost CMS SQL-Injection kapert über 700 Webseiten – Harvard und DuckDuckGo betroffen“?
Aktive Ausnutzung: Eine SQL Injection Lücke in Ghost CMS (CVE 2026 26980, CVSS 9.4) ermöglicht Angreifern den Diebstahl von Admin API Schlüsseln.
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Aktive Ausnutzung: Eine SQL Injection Lücke in Ghost CMS (CVE 2026 26980, CVSS 9.4) ermöglicht Angreifern den Diebstahl von Admin API Schlüsseln. Tückische Angriffskette: Nach dem Datenklau schleusen die Angreifer Code ein, der Besuchern eine gefälschte Cloudflare „Verifizierungsseite“ anzeigt.
Was soll ich als nächstes in der Praxis tun?
Jetzt handeln: Einzige Abhilfe ist das Update auf Ghost 6.19.1 sowie der sofortige Austausch aller Admin API Schlüssel und die Prüfung aller veröffentlichten Inhalte auf eingeschleusten Code [1][4].
Zu den begehrten Zieldaten zählen bcrypt-Passwort-Hashes, Sitzungsgeheimnisse und vor allem die Admin-API-Schlüssel. Diese Schlüssel öffnen eine weitaus größere Tür: die Ghost Admin-API, die volle Kontrolle über Beiträge, Seiten und Inhalte gewährt.
Der Patch kam unauffällig mit der Ghost-Version 6.19.1; viele Betreiber spielten ihn jedoch nie ein und ließen die Tür für Angreifer sperrangelweit offen .
Die aktive Kampagne: Über 700 kompromittierte Domains
Entdeckt wurde die laufende Angriffswelle im Mai 2026 vom Threat-Intelligence-Team XLab des chinesischen Cybersicherheitsunternehmens Qianxin. Die Bilanz ist alarmierend: Mehr als 700 Domains sind bereits vergiftet, darunter auch renommierte Einrichtungen . Zu den bestätigten Opfern zählen Portale der Harvard University, der Oxford University, der Auburn University sowie die für ihren Datenschutz bekannte Suchmaschine DuckDuckGo .
Das Besondere an dieser Kampagne: Mindestens zwei konkurrierende Angriffsgruppen liefern sich ein regelrechtes Wettrennen um dieselben verwundbaren Ziele. Mehrfach beobachteten die Forscher, dass eine Ghost-Instanz zunächst mit dem Code der einen Gruppe infiziert, nur Stunden später aber bereits von einem Rivalen mit dessen Schadcode überschrieben wurde .
Die Angriffskette im Detail
SQL-Injection zum Schlüsseldiebstahl – Die Angreifer senden präparierte SQL-Befehle an die öffentliche Content-API und extrahieren so die Admin-API-Schlüssel aus der Datenbank – ganz ohne vorherige Anmeldung .
Massenhafte Veränderung von Artikeln – Mit den gestohlenen Admin-Rechten nutzen sie die Ghost Admin-API, um veröffentlichte Artikel en masse zu verändern. An das Ende jeder Seite wird ein minimalistischer JavaScript-Loader angehängt .
ClickFix-Social-Engineering – Besucher einer kompromittierten Seite bekommen eine gefälschte Cloudflare-Seite („Einen Moment bitte…") zur Bot-Prüfung angezeigt. Die Seite fordert sie zu einer Tastenkombination auf und dazu, einen Befehl in das Windows-Ausführen-Dialogfeld zu kopieren. Ein klassischer ClickFix-Trick, der die Schutzmechanismen des Browsers umgeht, um den Nutzer selbst die Malware lokal ausführen zu lassen .
Schaddateien und Verteilwege
Das eingeschleuste JavaScript ist bewusst schlank gehalten; es fungiert als zweistufiger Lader, der die eigentliche Angriffslogik von einem externen Server nachlädt . Zu den beobachteten Nutzlasten gehören:
DLL-Loader, die weitere Windows-Malware nachladen .
Eine Electron-basierte Malware-Probe, was darauf hindeutet, dass die Angreifer Schadcode in Frameworks verpacken, die legitimen Desktop-Anwendungen zum Verwechseln ähnlich sehen .
Gefälschte CAPTCHA- und Cloudflare-Köder, die als zentrales Social-Engineering-Werkzeug dienen, um Nutzer zum Umgehen von Warnungen zu bewegen .
Abhilfe: So sichern Sie Ihre Ghost-Instanz
Da die Angriffskette sowohl Lesezugriffe auf die Datenbank als auch authentifizierte Inhaltsmanipulation umfasst, muss die Behebung sowohl die Schwachstelle selbst als auch die Folgeschäden einer möglichen Kompromittierung adressieren.
Sofortmaßnahmen (innerhalb von Stunden)
Aktualisieren Sie Ghost auf Version 6.19.1 oder neuer. Dies ist die einzige dauerhafte Lösung für die SQL-Injection-Lücke .
Tauschen Sie alle Admin-API-Schlüssel aus. Da der Angriff mit dem Diebstahl dieser Schlüssel beginnt, bleibt die Admin-API auch nach dem Patchen voll zugänglich, wenn man die alten Schlüssel weiter verwendet . Neue Schlüssel generieren Sie in den Ghost Admin Labs-Einstellungen.
Prüfen Sie veröffentlichte Artikel und Seiten auf eingeschleusten JavaScript-Code. Angreifer injizieren Loader am Ende von Beiträgen. Durchsuchen Sie Beitragsinhalte und Einstellungen für benutzerdefinierte Code-Injektionen nach unbefugten Skripten .
Überprüfen Sie die Zugriffsprotokolle von Ghost auf auffällige Content-API-Muster – insbesondere auf Anfragen mit SQL-Fragmenten oder ungewöhnlichen slug-Filterparametern sowie auf Massenbearbeitungen von Beiträgen .
Kurzfristig (24–48 Stunden)
Auf Persistenz jenseits von Ghost prüfen. Ein gestohlener Admin-API-Schlüssel kann Theme-Dateien verändern oder Weiterleitungen hochladen. Behandeln Sie eine bestätigte Kompromittierung als umfassender als nur das Injizieren eines Skripts, bis der Host-Server überprüft wurde.
Setzen Sie alle Passwörter der Ghost-Benutzer zurück. Selbst wenn bcrypt-Hashes gestohlen wurden, schränkt der Austausch der Anmeldedaten das Zeitfenster für Passwort-Cracking ein .
Datenbankabfragen überwachen auf anhaltende, auffällige Lesezugriffe auf sensible Tabellen – hartnäckige Angreifer könnten versuchen, frische Geheimnisse erneut zu extrahieren .
Führen Sie einen vollständigen Malware-Scan auf dem Server durch, auf dem Ghost gehostet wird, einschließlich des Node.js-Anwendungspfads und der Datenbank.
Langfristige Verteidigung
Automatische Updates für Ghost aktivieren und Sicherheitshinweise abonnieren .
Eine Web Application Firewall (WAF)-Regel einsetzen, um SQL-Injection-Muster auf die Content-API zu blockieren. Dies dient als zusätzliche Sicherheitsebene, ist aber kein Ersatz für das Update .
Inventarisieren Sie alle öffentlich erreichbaren Ghost-Instanzen in Ihrer Infrastruktur. Das Ausmaß der Kampagne zeigt: Jede ungepatchte Ghost-Seite im Netz ist ein Ziel, egal ob privater Blog oder institutionelles Portal .
Patches erscheinen schnell, doch die flächendeckende Umsetzung ist stets die eigentliche Hürde. Diese Kampagne ist eine ernüchternde Erinnerung daran, dass schwerwiegende CMS-Sicherheitslücken nach der Offenlegung nicht einfach verschwinden. Sie werden zu Waffen – und Angreifer werden aktiv diejenigen Organisationen ins Visier nehmen, die die Nachricht nicht erreicht hat.
bleepingcomputer.com
Ghost CMS SQL injection flaw exploited in large-scale ClickFix ...
Zu den begehrten Zieldaten zählen bcrypt-Passwort-Hashes, Sitzungsgeheimnisse und vor allem die Admin-API-Schlüssel. Diese Schlüssel öffnen eine weitaus größere Tür: die Ghost Admin-API, die volle Kontrolle über Beiträge, Seiten und Inhalte gewährt.
Der Patch kam unauffällig mit der Ghost-Version 6.19.1; viele Betreiber spielten ihn jedoch nie ein und ließen die Tür für Angreifer sperrangelweit offen .
Die aktive Kampagne: Über 700 kompromittierte Domains
Entdeckt wurde die laufende Angriffswelle im Mai 2026 vom Threat-Intelligence-Team XLab des chinesischen Cybersicherheitsunternehmens Qianxin. Die Bilanz ist alarmierend: Mehr als 700 Domains sind bereits vergiftet, darunter auch renommierte Einrichtungen . Zu den bestätigten Opfern zählen Portale der Harvard University, der Oxford University, der Auburn University sowie die für ihren Datenschutz bekannte Suchmaschine DuckDuckGo .
Das Besondere an dieser Kampagne: Mindestens zwei konkurrierende Angriffsgruppen liefern sich ein regelrechtes Wettrennen um dieselben verwundbaren Ziele. Mehrfach beobachteten die Forscher, dass eine Ghost-Instanz zunächst mit dem Code der einen Gruppe infiziert, nur Stunden später aber bereits von einem Rivalen mit dessen Schadcode überschrieben wurde .
Die Angriffskette im Detail
SQL-Injection zum Schlüsseldiebstahl – Die Angreifer senden präparierte SQL-Befehle an die öffentliche Content-API und extrahieren so die Admin-API-Schlüssel aus der Datenbank – ganz ohne vorherige Anmeldung .
Massenhafte Veränderung von Artikeln – Mit den gestohlenen Admin-Rechten nutzen sie die Ghost Admin-API, um veröffentlichte Artikel en masse zu verändern. An das Ende jeder Seite wird ein minimalistischer JavaScript-Loader angehängt .
ClickFix-Social-Engineering – Besucher einer kompromittierten Seite bekommen eine gefälschte Cloudflare-Seite („Einen Moment bitte…") zur Bot-Prüfung angezeigt. Die Seite fordert sie zu einer Tastenkombination auf und dazu, einen Befehl in das Windows-Ausführen-Dialogfeld zu kopieren. Ein klassischer ClickFix-Trick, der die Schutzmechanismen des Browsers umgeht, um den Nutzer selbst die Malware lokal ausführen zu lassen .
Schaddateien und Verteilwege
Das eingeschleuste JavaScript ist bewusst schlank gehalten; es fungiert als zweistufiger Lader, der die eigentliche Angriffslogik von einem externen Server nachlädt . Zu den beobachteten Nutzlasten gehören:
DLL-Loader, die weitere Windows-Malware nachladen .
Eine Electron-basierte Malware-Probe, was darauf hindeutet, dass die Angreifer Schadcode in Frameworks verpacken, die legitimen Desktop-Anwendungen zum Verwechseln ähnlich sehen .
Gefälschte CAPTCHA- und Cloudflare-Köder, die als zentrales Social-Engineering-Werkzeug dienen, um Nutzer zum Umgehen von Warnungen zu bewegen .
Abhilfe: So sichern Sie Ihre Ghost-Instanz
Da die Angriffskette sowohl Lesezugriffe auf die Datenbank als auch authentifizierte Inhaltsmanipulation umfasst, muss die Behebung sowohl die Schwachstelle selbst als auch die Folgeschäden einer möglichen Kompromittierung adressieren.
Sofortmaßnahmen (innerhalb von Stunden)
Aktualisieren Sie Ghost auf Version 6.19.1 oder neuer. Dies ist die einzige dauerhafte Lösung für die SQL-Injection-Lücke .
Tauschen Sie alle Admin-API-Schlüssel aus. Da der Angriff mit dem Diebstahl dieser Schlüssel beginnt, bleibt die Admin-API auch nach dem Patchen voll zugänglich, wenn man die alten Schlüssel weiter verwendet . Neue Schlüssel generieren Sie in den Ghost Admin Labs-Einstellungen.
Prüfen Sie veröffentlichte Artikel und Seiten auf eingeschleusten JavaScript-Code. Angreifer injizieren Loader am Ende von Beiträgen. Durchsuchen Sie Beitragsinhalte und Einstellungen für benutzerdefinierte Code-Injektionen nach unbefugten Skripten .
Überprüfen Sie die Zugriffsprotokolle von Ghost auf auffällige Content-API-Muster – insbesondere auf Anfragen mit SQL-Fragmenten oder ungewöhnlichen slug-Filterparametern sowie auf Massenbearbeitungen von Beiträgen .
Kurzfristig (24–48 Stunden)
Auf Persistenz jenseits von Ghost prüfen. Ein gestohlener Admin-API-Schlüssel kann Theme-Dateien verändern oder Weiterleitungen hochladen. Behandeln Sie eine bestätigte Kompromittierung als umfassender als nur das Injizieren eines Skripts, bis der Host-Server überprüft wurde.
Setzen Sie alle Passwörter der Ghost-Benutzer zurück. Selbst wenn bcrypt-Hashes gestohlen wurden, schränkt der Austausch der Anmeldedaten das Zeitfenster für Passwort-Cracking ein .
Datenbankabfragen überwachen auf anhaltende, auffällige Lesezugriffe auf sensible Tabellen – hartnäckige Angreifer könnten versuchen, frische Geheimnisse erneut zu extrahieren .
Führen Sie einen vollständigen Malware-Scan auf dem Server durch, auf dem Ghost gehostet wird, einschließlich des Node.js-Anwendungspfads und der Datenbank.
Langfristige Verteidigung
Automatische Updates für Ghost aktivieren und Sicherheitshinweise abonnieren .
Eine Web Application Firewall (WAF)-Regel einsetzen, um SQL-Injection-Muster auf die Content-API zu blockieren. Dies dient als zusätzliche Sicherheitsebene, ist aber kein Ersatz für das Update .
Inventarisieren Sie alle öffentlich erreichbaren Ghost-Instanzen in Ihrer Infrastruktur. Das Ausmaß der Kampagne zeigt: Jede ungepatchte Ghost-Seite im Netz ist ein Ziel, egal ob privater Blog oder institutionelles Portal .
Patches erscheinen schnell, doch die flächendeckende Umsetzung ist stets die eigentliche Hürde. Diese Kampagne ist eine ernüchternde Erinnerung daran, dass schwerwiegende CMS-Sicherheitslücken nach der Offenlegung nicht einfach verschwinden. Sie werden zu Waffen – und Angreifer werden aktiv diejenigen Organisationen ins Visier nehmen, die die Nachricht nicht erreicht hat.
bleepingcomputer.com
Ghost CMS SQL injection flaw exploited in large-scale ClickFix ...
