Ghost CMS : une faille SQL injection utilisée pour pirater plus de 700 sites, dont Harvard et DuckDuckGo

Les données exposées peuvent inclure des hashs de mots de passe bcrypt, des secrets de session et, surtout, les clés d'API administrateur . Ces clés ouvrent une porte bien plus grande : l'API d'administration de Ghost, qui a le pouvoir total de créer et de modifier des articles, des pages et le contenu du site.

Le correctif est arrivé discrètement avec la version 6.19.1 de Ghost, mais de nombreux opérateurs ne l'ont jamais appliqué, laissant la porte grande ouverte à l'exploitation .

La campagne active : plus de 700 domaines compromis

Découverte en mai 2026 par les chercheurs en renseignement sur les menaces de l'équipe XLab de Qianxin, la campagne a déjà empoisonné plus de 700 domaines, y compris des sites de grande réputation . Parmi les victimes confirmées figurent des portails appartenant à l'université de Harvard, à l'université d'Oxford, à l'université d'Auburn et au moteur de recherche axé sur la vie privée DuckDuckGo .

Au moins deux groupes de menace concurrents se livrent une course pour compromettre les mêmes sites vulnérables. Dans certains cas, les chercheurs ont observé une seule instance Ghost injectée avec le code malveillant d'un groupe, puis réinfectée par un rival quelques heures plus tard .

La chaîne d'attaque

1. Injection SQL pour le vol de clés – Les attaquants envoient des charges utiles SQL spécialement conçues à l'API de contenu publique, extrayant les clés d'API administrateur de la base de données sans jamais s'authentifier .
2. Altération d'articles en masse – Avec les privilèges d'administration volés, ils utilisent l'API d'administration de Ghost pour modifier en masse les articles publiés, en ajoutant un léger programme de chargement JavaScript au bas de chaque page .
3. Ingénierie sociale avec ClickFix – Les visiteurs des sites compromis se voient présenter une fausse page de vérification humaine Cloudflare « Un instant... ». La page demande aux utilisateurs d'appuyer sur un raccourci clavier et de coller une commande dans la boîte de dialogue Exécuter de Windows — une astuce classique de type « ClickFix » conçue pour contourner les défenses du navigateur et exécuter un malware localement .

Charges utiles et distribution de malwares

Le code JavaScript injecté est volontairement petit ; il agit comme un chargeur en deux étapes qui va chercher la logique d'attaque réelle sur un serveur externe . Les charges utiles observées en aval incluent :

• Des chargeurs DLL qui déposent des logiciels malveillants supplémentaires pour Windows .
• Un échantillon de malware basé sur Electron, ce qui suggère que les attaquants intègrent du code malveillant dans des frameworks qui se fondent dans les applications de bureau légitimes .
• De faux leurres de CAPTCHA et sur le thème de Cloudflare utilisés comme principal outil d'ingénierie sociale pour convaincre les utilisateurs d'ignorer les avertissements .

Remédiation : les étapes pour sécuriser une instance Ghost

Étant donné que la chaîne d'attaque implique à la fois des lectures de base de données et une altération de contenu authentifiée, la remédiation doit traiter à la fois la vulnérabilité elle-même et les dommages collatéraux d'une éventuelle compromission.

Immédiatement (dans les heures qui suivent)

1. Mettez à niveau Ghost vers la version 6.19.1 ou ultérieure. C'est le seul correctif permanent pour l'injection SQL .
2. Révoquez et regénérez toutes les clés d'API administrateur. Étant donné que l'attaque commence par un vol de clé, continuer à utiliser des clés existantes laisse l'API d'administration entièrement accessible, même après l'application du correctif . Générez de nouvelles clés à partir des paramètres Labs de l'administration Ghost.
3. Auditez les articles et les pages publiés pour détecter tout code JavaScript injecté. Les attaquants injectent des chargeurs au bas des articles ; vérifiez le corps des articles et les paramètres d'injection de code personnalisé pour les scripts non autorisés .
4. Examinez les journaux d'accès Ghost pour détecter des schémas anormaux d'API de contenu — en particulier les requêtes contenant des fragments SQL ou des paramètres de filtre slug inhabituels, ainsi que des activités de mise à jour en masse sur les articles .

À court terme (24 à 48 heures)

5. Recherchez toute persistance au-delà de Ghost. Une clé d'API administrateur volée peut modifier les fichiers de thème ou télécharger des redirections. Traitez toute compromission confirmée comme étant plus large qu'une simple injection de script, jusqu'à ce que le serveur hôte ait été examiné.
6. Réinitialisez tous les mots de passe des utilisateurs de l'équipe Ghost. Même si les hashs bcrypt sont volés, la rotation des informations d'identification limite la fenêtre pour les tentatives de craquage de mots de passe .
7. Surveillez les requêtes de base de données pour détecter des lectures anormales continues sur les tables sensibles — des attaquants persistants pourraient tenter de réextraire de nouveaux secrets .
8. Exécutez une analyse complète des malwares sur l'environnement du serveur hébergeant Ghost, y compris le chemin de l'application Node.js et la base de données.

Défense à long terme

9. Activez les mises à jour automatiques pour Ghost et abonnez-vous aux avis de sécurité .
10. Déployez une règle de pare-feu applicatif web (WAF) pour bloquer les schémas d'injection SQL ciblant l'API de contenu comme mesure de défense en profondeur — mais ne la considérez pas comme un substitut à la mise à niveau .
11. Auditez toutes les instances Ghost exposées dans votre infrastructure. L'ampleur de la campagne signifie que tout site Ghost non corrigé en ligne est une cible, qu'il s'agisse d'un blog personnel ou d'un portail institutionnel .

Les correctifs sont déployés rapidement, mais l'adoption est toujours le véritable goulot d'étranglement. Cette campagne est un rappel cinglant que les vulnérabilités critiques des CMS ne disparaissent pas après leur divulgation — elles deviennent des munitions, et les attaquants cibleront activement les organisations qui n'ont pas reçu le message.