Los datos expuestos pueden incluir hashes de contraseñas bcrypt, secretos de sesión y, de forma crítica, las claves de la API de Administración (Admin API) . Estas llaves abren una puerta mucho más grande: la API de administración de Ghost, que posee plena autoridad para crear y modificar publicaciones, páginas y el contenido del sitio .

El parche llegó de manera silenciosa en la versión Ghost 6.19.1, pero muchos operadores nunca lo aplicaron, dejando la puerta abierta de par en par para su explotación .

La Campaña Activa: Más de 700 Dominios Comprometidos

Descubierta en mayo de 2026 por los investigadores de inteligencia de amenazas del equipo XLab de Qianxin, la campaña ya ha envenenado más de 700 dominios, incluyendo sitios de alta reputación . Las víctimas confirmadas incluyen portales propiedad de las universidades de Harvard, Oxford y Auburn, así como el motor de búsqueda centrado en la privacidad DuckDuckGo .

Al menos dos grupos de amenazas competidores están compitiendo por comprometer los mismos sitios vulnerables. En algunos casos, los investigadores observaron una sola instancia de Ghost inyectada con el código malicioso de un grupo, solo para ser reinfectada por un rival horas más tarde .

La Cadena del Ataque

1. Inyección SQL para el robo de claves – Los atacantes envían cargas útiles SQL diseñadas a la API de Contenido pública, extrayendo las claves de la API de Administración de la base de datos sin siquiera autenticarse .
2. Alteración masiva de artículos – Con los privilegios de administrador robados, utilizan la API de administración de Ghost para editar de forma masiva los artículos publicados, añadiendo un cargador ligero de JavaScript al final de cada página .
3. Ingeniería social con "ClickFix" – A los visitantes de los sitios comprometidos se les presenta una página falsa de verificación humana de Cloudflare con el mensaje "Un momento…". La página instruye a los usuarios a presionar un atajo de teclado y pegar un comando en el cuadro de diálogo "Ejecutar" de Windows, un truco clásico de ClickFix diseñado para eludir las defensas del navegador y ejecutar malware localmente .

Cargas Útiles y Distribución de Malware

El JavaScript inyectado es intencionalmente pequeño; actúa como un cargador de dos etapas que obtiene la lógica del ataque real desde un servidor externo . Las cargas útiles secundarias observadas incluyen:

• Cargadores DLL que descargan malware adicional para Windows .
• Una muestra de malware basada en Electron, lo que sugiere que los atacantes están empaquetando código malicioso dentro de frameworks que se camuflan con aplicaciones de escritorio legítimas .
• Señuelos con temática de CAPTCHA falsos y Cloudflare, utilizados como el principal gancho de ingeniería social para convencer a los usuarios de eludir las advertencias de seguridad .

Remediación: Pasos para Asegurar una Instancia de Ghost

Dado que la cadena de ataque implica tanto lecturas de la base de datos como la alteración de contenido autenticado, la remediación debe abordar la vulnerabilidad en sí y el daño derivado de un posible compromiso.

Acciones Inmediatas (en cuestión de horas)

1. Actualice Ghost a la versión 6.19.1 o superior. Esta es la única solución permanente para la inyección SQL .
2. Rote todas las claves de la API de Administración. Dado que el ataque comienza con el robo de claves, seguir utilizando las llaves existentes deja la API de administración completamente accesible incluso después de aplicar el parche . Genere nuevas claves desde la configuración de Ghost Admin Labs.
3. Audite los artículos y páginas publicados en busca de JavaScript inyectado. Los atacantes inyectan cargadores al final de las publicaciones; revise el cuerpo de las entradas y la configuración de inyección de código personalizado en busca de scripts no autorizados .
4. Revise los registros de acceso de Ghost en busca de patrones anómalos en la API de Contenido, particularmente solicitudes que contengan fragmentos SQL o parámetros de filtro slug inusuales, así como actividad de actualización masiva en las publicaciones .

A Corto Plazo (24-48 horas)

5. Escanee en busca de persistencia más allá de Ghost. Una clave de API de administración robada puede modificar archivos de temas o cargar redireccionamientos. Trate cualquier compromiso confirmado como algo más amplio que una simple inyección de script hasta que se revise el servidor anfitrión.
6. Restablezca todas las contraseñas de los usuarios staff de Ghost. Incluso si se roban los hashes bcrypt, la rotación de credenciales limita el margen de tiempo para los intentos de descifrado de contraseñas .
7. Monitoree las consultas a la base de datos en busca de lecturas anómalas continuas de tablas confidenciales; atacantes persistentes pueden intentar reextraer secretos frescos .
8. Ejecute un escaneo completo de malware en el entorno del servidor que aloja Ghost, incluyendo la ruta de la aplicación Node.js y la base de datos.

Defensa a Largo Plazo

9. Active las actualizaciones automáticas para Ghost y suscríbase a los avisos de seguridad .
10. Implemente una regla de Firewall de Aplicaciones Web (WAF) para bloquear patrones de inyección SQL dirigidos a la API de Contenido como medida de defensa en profundidad, pero no la considere un sustituto de la actualización .
11. Audite todas las instancias de Ghost expuestas en su infraestructura. La escala de la campaña significa que cualquier sitio Ghost sin parchear en línea es un objetivo, ya sea un blog personal o un portal institucional .

Los parches se distribuyen rápido, pero la adopción es siempre el verdadero cuello de botella. Esta campaña es un recordatorio aleccionador de que las vulnerabilidades de alta gravedad en los CMS no desaparecen después de su divulgación: se convierten en munición, y los atacantes apuntan activamente a las organizaciones que no recibieron el aviso.

Los datos expuestos pueden incluir hashes de contraseñas bcrypt, secretos de sesión y, de forma crítica, las claves de la API de Administración (Admin API) . Estas llaves abren una puerta mucho más grande: la API de administración de Ghost, que posee plena autoridad para crear y modificar publicaciones, páginas y el contenido del sitio .

El parche llegó de manera silenciosa en la versión Ghost 6.19.1, pero muchos operadores nunca lo aplicaron, dejando la puerta abierta de par en par para su explotación .

La Campaña Activa: Más de 700 Dominios Comprometidos

Descubierta en mayo de 2026 por los investigadores de inteligencia de amenazas del equipo XLab de Qianxin, la campaña ya ha envenenado más de 700 dominios, incluyendo sitios de alta reputación . Las víctimas confirmadas incluyen portales propiedad de las universidades de Harvard, Oxford y Auburn, así como el motor de búsqueda centrado en la privacidad DuckDuckGo .

Al menos dos grupos de amenazas competidores están compitiendo por comprometer los mismos sitios vulnerables. En algunos casos, los investigadores observaron una sola instancia de Ghost inyectada con el código malicioso de un grupo, solo para ser reinfectada por un rival horas más tarde .

La Cadena del Ataque

1. Inyección SQL para el robo de claves – Los atacantes envían cargas útiles SQL diseñadas a la API de Contenido pública, extrayendo las claves de la API de Administración de la base de datos sin siquiera autenticarse .
2. Alteración masiva de artículos – Con los privilegios de administrador robados, utilizan la API de administración de Ghost para editar de forma masiva los artículos publicados, añadiendo un cargador ligero de JavaScript al final de cada página .
3. Ingeniería social con "ClickFix" – A los visitantes de los sitios comprometidos se les presenta una página falsa de verificación humana de Cloudflare con el mensaje "Un momento…". La página instruye a los usuarios a presionar un atajo de teclado y pegar un comando en el cuadro de diálogo "Ejecutar" de Windows, un truco clásico de ClickFix diseñado para eludir las defensas del navegador y ejecutar malware localmente .

Cargas Útiles y Distribución de Malware

El JavaScript inyectado es intencionalmente pequeño; actúa como un cargador de dos etapas que obtiene la lógica del ataque real desde un servidor externo . Las cargas útiles secundarias observadas incluyen:

• Cargadores DLL que descargan malware adicional para Windows .
• Una muestra de malware basada en Electron, lo que sugiere que los atacantes están empaquetando código malicioso dentro de frameworks que se camuflan con aplicaciones de escritorio legítimas .
• Señuelos con temática de CAPTCHA falsos y Cloudflare, utilizados como el principal gancho de ingeniería social para convencer a los usuarios de eludir las advertencias de seguridad .

Remediación: Pasos para Asegurar una Instancia de Ghost

Dado que la cadena de ataque implica tanto lecturas de la base de datos como la alteración de contenido autenticado, la remediación debe abordar la vulnerabilidad en sí y el daño derivado de un posible compromiso.

Acciones Inmediatas (en cuestión de horas)

1. Actualice Ghost a la versión 6.19.1 o superior. Esta es la única solución permanente para la inyección SQL .
2. Rote todas las claves de la API de Administración. Dado que el ataque comienza con el robo de claves, seguir utilizando las llaves existentes deja la API de administración completamente accesible incluso después de aplicar el parche . Genere nuevas claves desde la configuración de Ghost Admin Labs.
3. Audite los artículos y páginas publicados en busca de JavaScript inyectado. Los atacantes inyectan cargadores al final de las publicaciones; revise el cuerpo de las entradas y la configuración de inyección de código personalizado en busca de scripts no autorizados .
4. Revise los registros de acceso de Ghost en busca de patrones anómalos en la API de Contenido, particularmente solicitudes que contengan fragmentos SQL o parámetros de filtro slug inusuales, así como actividad de actualización masiva en las publicaciones .

A Corto Plazo (24-48 horas)

5. Escanee en busca de persistencia más allá de Ghost. Una clave de API de administración robada puede modificar archivos de temas o cargar redireccionamientos. Trate cualquier compromiso confirmado como algo más amplio que una simple inyección de script hasta que se revise el servidor anfitrión.
6. Restablezca todas las contraseñas de los usuarios staff de Ghost. Incluso si se roban los hashes bcrypt, la rotación de credenciales limita el margen de tiempo para los intentos de descifrado de contraseñas .
7. Monitoree las consultas a la base de datos en busca de lecturas anómalas continuas de tablas confidenciales; atacantes persistentes pueden intentar reextraer secretos frescos .
8. Ejecute un escaneo completo de malware en el entorno del servidor que aloja Ghost, incluyendo la ruta de la aplicación Node.js y la base de datos.

Defensa a Largo Plazo

9. Active las actualizaciones automáticas para Ghost y suscríbase a los avisos de seguridad .
10. Implemente una regla de Firewall de Aplicaciones Web (WAF) para bloquear patrones de inyección SQL dirigidos a la API de Contenido como medida de defensa en profundidad, pero no la considere un sustituto de la actualización .
11. Audite todas las instancias de Ghost expuestas en su infraestructura. La escala de la campaña significa que cualquier sitio Ghost sin parchear en línea es un objetivo, ya sea un blog personal o un portal institucional .

Los parches se distribuyen rápido, pero la adopción es siempre el verdadero cuello de botella. Esta campaña es un recordatorio aleccionador de que las vulnerabilidades de alta gravedad en los CMS no desaparecen después de su divulgación: se convierten en munición, y los atacantes apuntan activamente a las organizaciones que no recibieron el aviso.