हार्वर्ड से डकडकगो तक: जानिए कैसे Ghost CMS की एक पुरानी खामी हैकर्स का नया हथियार बनी
Ghost CMS की एक सीरियस SQL इंजेक्शन खामी (CVE 2026 26980, CVSS 9.4) का फायदा उठाकर हैकर्स ने हार्वर्ड, ऑक्सफोर्ड और डकडकगो जैसे बड़े संस्थानों की 700 से अधिक वेबसाइटों को हाइजैक कर लिया है। हमले की शुरुआत बिना किसी आईडी पासवर्ड के डेटाबेस से एडमिन API कीज चुराने से होती है, जिसके बाद नकली क्लाउडफ्लेयर वेरिफिकेशन पेज...
What is the CVE-2026-26980 vulnerability in Ghost CMS, how are attackers actively exploiting it to compromise over 700 websites, what payloaA large-scale ClickFix campaign exploits unpatched Ghost CMS instances to turn trusted websites into malware delivery platforms.
AI संकेत
Create a landscape editorial hero image for this Studio Global article: What is the CVE-2026-26980 vulnerability in Ghost CMS, how are attackers actively exploiting it to compromise over 700 websites, what payloa. Article summary: ## What is CVE-2026-26980. Topic tags: general, government, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "# Ghost CMS SQL Injection Hits 700 Sites: Harvard, DuckDuckGo Serve Fake Cloudflare Malware. #### Two threat groups exploit an unpatched CVSS 9.4 flaw to serve ClickFix malware on" source context "Ghost CMS SQL Injection Hits 700 Sites: Harvard, DuckDuckGo Serve Fake Cloudflare Malware" Reference image 2: visual subject "# Ghost CMS SQL Injection Hits 700 Sites: Harvard, DuckDuckGo Serve Fake Cloudflare Malware. #### Two threat groups exploit an unpatched CVSS 9.4 flaw to serve ClickFix malwa
openai.com
जिस सुरक्षा खामी को महीनों पहले ठीक कर दिया गया था, वही अब इस साल के सबसे आक्रामक वेबसाइट हैकिंग अभियानों की वजह बनी हुई है। हैकर्स Ghost CMS की एक गंभीर SQL इंजेक्शन कमजोरी का फायदा उठाकर एडमिन चाबियां (keys) चुरा रहे हैं, नुकसानदेह स्क्रिप्ट डाल रहे हैं, और बड़े-बड़े भरोसेमंद डोमेन—जैसे आइवी लीग के पोर्टल और प्राइवेसी पर फोकस करने वाले सर्च इंजन—को मैलवेयर फैलाने का जरिया बना रहे हैं।
कमजोरी: बिना आईडी-पासवर्ड के पूरे डेटाबेस तक पहुंच
CVE-2026-26980 एक ऐसी SQL इंजेक्शन खामी है जिसे CVSS स्केल पर 9.4 की गंभीर रेटिंग मिली है। इसका असर Ghost CMS की कंटेंट API पर होता है । दरअसल, यह कमी उस तरीके में है जिस तरह से API filter और order क्वेरी पैरामीटर्स को हैंडल करती है—खासकर
ORDER BY
क्लॉज में सही से सफाई (sanitization) न होने की वजह से । एक हैकर बिना किसी लॉगिन या पासवर्ड के filter=slug:[...] या order=slug:[...] जैसे पैरामीटर्स में अपनी मनमानी SQL डालकर डेटाबेस की किसी भी टेबल को चुपचाप पढ़ सकता है ।
इस तरह चुराए जा सकने वाले डेटा में bcrypt पासवर्ड हैश, सेशन सीक्रेट्स, और सबसे अहम—एडमिन API कीज शामिल हैं । इन चाबियों के हाथ लगते ही एक बहुत बड़ा दरवाजा खुल जाता है: Ghost Admin API, जिसके जरिए पोस्ट, पेज और पूरी साइट के कंटेंट को बनाने और बदलने का पूरा अधिकार मिल जाता है।
इसका पैच चुपचाप Ghost के 6.19.1 वर्जन में आ गया था, लेकिन बहुत सारे यूजर्स ने इसे लागू नहीं किया, जिससे हमलावरों के लिए रास्ता पूरी तरह खुला रहा ।
एक्टिव कैंपेन: 700 से ज्यादा वेबसाइटें हैक
मई 2026 में चीनी साइबर सिक्योरिटी कंपनी Qianxin की XLab टीम के रिसर्चर्स ने इस हमले की खोज की। इस अभियान ने पहले ही 700 से अधिक डोमेन को अपना शिकार बना लिया है, जिनमें बेहद प्रतिष्ठित वेबसाइटें भी शामिल हैं । इस हमले की चपेट में आने वालों में हार्वर्ड यूनिवर्सिटी, ऑक्सफोर्ड यूनिवर्सिटी, ऑबर्न यूनिवर्सिटी और प्राइवेसी-फोकस्ड सर्च इंजन डकडकगो (DuckDuckGo) के पोर्टल शामिल हैं ।
एक दिलचस्प बात यह है कि कम से कम दो प्रतिद्वंदी हैकिंग ग्रुप एक ही कमजोर साइटों पर कब्जा जमाने की होड़ में लगे हैं। रिसर्चर्स ने देखा कि कई बार एक ही Ghost इंस्टेंस में एक ग्रुप का मैलवेयर डाला गया, तो कुछ ही घंटों बाद दूसरे ग्रुप ने उसे अपने कोड से री-इन्फेक्ट कर दिया ।
हमले का पूरा तरीका
SQL इंजेक्शन से चाबी की चोरी – हमलावर पब्लिक कंटेंट API पर खास तरह की SQL कमांड भेजते हैं और बिना कभी लॉगिन किए डेटाबेस से एडमिन API कीज चुरा लेते हैं ।
बड़े पैमाने पर आर्टिकल से छेड़छाड़ – चुराई गई एडमिन पॉवर का इस्तेमाल करके, वे Ghost Admin API के जरिए पब्लिश्ड आर्टिकल्स को बड़े पैमाने पर एडिट करते हैं और हर पेज के नीचे एक हल्का-फुल्का जावास्क्रिप्ट लोडर डाल देते हैं ।
ClickFix सोशल इंजीनियरिंग – जो विजिटर इन हैक्ड साइटों पर आते हैं, उन्हें एक नकली Cloudflare का "Just a moment…" (बस एक पल…) वेरिफिकेशन पेज दिखाया जाता है। यह पेज यूजर से कहता है कि एक खास कीबोर्ड शॉर्टकट दबाएं और एक कमांड विंडोज रन डायलॉग में पेस्ट करें। यह एक पुरानी ClickFix ट्रिक है, जो ब्राउजर की सुरक्षा को चकमा देकर सीधे कंप्यूटर पर मैलवेयर चलाने के लिए बनाई गई है ।
पेलोड और मैलवेयर डिलीवरी
जो जावास्क्रिप्ट डाला जाता है, वह जानबूझकर बहुत छोटा होता है; यह एक दो-चरणीय लोडर की तरह काम करता है जो हमले का असली लॉजिक किसी बाहरी सर्वर से लाता है । अब तक जो दूसरे चरण के पेलोड देखे गए हैं, उनमें शामिल हैं:
DLL लोडर्स, जो अतिरिक्त विंडोज मैलवेयर डालते हैं ।
इलेक्ट्रॉन-बेस्ड मैलवेयर का एक सैंपल, जो बताता है कि हमलावर अब मैलवेयर को ऐसे फ्रेमवर्क में पैक कर रहे हैं, जो देखने में असली और भरोसेमंद डेस्कटॉप ऐप्लिकेशन जैसे लगते हैं ।
नकली कैप्चा और Cloudflare जैसे झांसे, जिन्हें मुख्य सोशल इंजीनियरिंग चारे के तौर पर इस्तेमाल किया जाता है ताकि यूजर सिक्योरिटी वॉर्निंग को नजरअंदाज कर दें ।
बचाव के उपाय: अपनी Ghost साइट को सुरक्षित करने का तरीका
चूंकि इस हमले में डेटाबेस की रीडिंग और कंटेंट से छेड़छाड़, दोनों शामिल हैं, इसलिए बचाव के तरीके में खामी को दूर करना और पहले से हुए नुकसान की भरपाई, दोनों करना जरूरी है।
तुरंत (कुछ घंटों के भीतर)
Ghost को वर्जन 6.19.1 या बाद के वर्जन में अपडेट करें। SQL इंजेक्शन का यही एक स्थायी इलाज है ।
सभी एडमिन API कीज (चाबियां) बदल डालें। क्योंकि हमला चाबियों की चोरी से शुरू होता है, पैच लगाने के बाद भी पुरानी चाबियां रखने से एडमिन API का रास्ता हैकर्स के लिए खुला रहेगा ।
अपने पब्लिश्ड आर्टिकल्स और पेजों की जांच करें। देखें कि कहीं कोई अनचाही जावास्क्रिप्ट तो नहीं डाली गई। हैकर्स पोस्ट के नीचे लोडर डालते हैं; पोस्ट की बॉडी और कस्टम कोड इंजेक्शन सेटिंग्स में अनाधिकृत स्क्रिप्ट्स की जांच करें ।
Ghost के एक्सेस लॉग्स की समीक्षा करें। कंटेंट API के अनोखे पैटर्न—खासकर ऐसे अनुरोध जिनमें SQL के टुकड़े या असामान्य slug फिल्टर पैरामीटर हों, और साथ ही पोस्ट में भारी मात्रा में बदलाव की गतिविधि—देखें ।
अल्पकालिक (24-48 घंटे)
Ghost से परे भी सिस्टम में घुसपैठ की जांच करें। एडमिन API की चाबी चुरा लेने के बाद, हैकर थीम फाइलों में बदलाव कर सकता है या रीडायरेक्ट अपलोड कर सकता है। जब तक पूरे सर्वर की जांच न हो जाए, किसी भी घुसपैठ को सिर्फ एक स्क्रिप्ट इंजेक्शन से कहीं ज्यादा बड़ा मानें।
सभी Ghost स्टाफ यूजर्स के पासवर्ड बदल दें। भले ही bcrypt हैश चोरी हो जाएं, पासवर्ड बदलने से हैकर्स के पास पासवर्ड क्रैक करने के लिए अब और समय नहीं रहेगा ।
डेटाबेस पर नजर रखें। संवेदनशील टेबलों को लगातार पढ़ने की किसी भी असामान्य कोशिश को ट्रैक करें—लगातार हमला करने वाले नई चाबियां चुराने की कोशिश कर सकते हैं ।
अपने सर्वर का पूरा मैलवेयर स्कैन चलाएं। इस स्कैन में खासकर Node.js एप्लीकेशन पाथ और डेटाबेस शामिल हों।
लंबी अवधि की सुरक्षा
Ghost के लिए ऑटोमैटिक अपडेट्स चालू करें और सुरक्षा सलाहों को सब्सक्राइब करें ।
एक वेब एप्लीकेशन फायरवॉल (WAF) नियम लगाएं। कंटेंट API को टारगेट करने वाले SQL इंजेक्शन पैटर्न्स को ब्लॉक करें। यह एक अतिरिक्त सुरक्षा उपाय है—इसे अपडेट करने का विकल्प न समझें ।
अपने पूरे इंफ्रास्ट्रक्चर में मौजूद सभी Ghost इंस्टेंस की जांच करें। इस अभियान के पैमाने का मतलब है कि ऑनलाइन मौजूद हर बिना-पैच वाली Ghost साइट—चाहे वह कोई निजी ब्लॉग हो या कोई संस्थान का पोर्टल—एक निशाना है ।
पैच तो तेजी से आ जाते हैं, लेकिन असली चुनौती होती है उन्हें अपनाना। यह हमला एक सबक है कि एक बार जब CMS की गंभीर कमजोरियां सार्वजनिक हो जाती हैं, तो वे कम नहीं होतीं—वे बारूद बन जाती हैं, और हमलावर उन संगठनों के पीछे पड़ जाते हैं जिन तक यह खबर नहीं पहुंची।
Studio Global AI
Search, cite, and publish your own answer
Use this topic as a starting point for a fresh source-backed answer, then compare citations before you share it.
"हार्वर्ड से डकडकगो तक: जानिए कैसे Ghost CMS की एक पुरानी खामी हैकर्स का नया हथियार बनी" का संक्षिप्त उत्तर क्या है?
Ghost CMS की एक सीरियस SQL इंजेक्शन खामी (CVE 2026 26980, CVSS 9.4) का फायदा उठाकर हैकर्स ने हार्वर्ड, ऑक्सफोर्ड और डकडकगो जैसे बड़े संस्थानों की 700 से अधिक वेबसाइटों को हाइजैक कर लिया है।
सबसे पहले सत्यापित करने योग्य मुख्य बिंदु क्या हैं?
Ghost CMS की एक सीरियस SQL इंजेक्शन खामी (CVE 2026 26980, CVSS 9.4) का फायदा उठाकर हैकर्स ने हार्वर्ड, ऑक्सफोर्ड और डकडकगो जैसे बड़े संस्थानों की 700 से अधिक वेबसाइटों को हाइजैक कर लिया है। हमले की शुरुआत बिना किसी आईडी पासवर्ड के डेटाबेस से एडमिन API कीज चुराने से होती है, जिसके बाद नकली क्लाउडफ्लेयर वेरिफिकेशन पेज डालकर विजिटर्स को मैलवेयर इंस्टॉल करने के लिए बरगलाया जाता है।
मुझे अभ्यास में आगे क्या करना चाहिए?
बचने के लिए सबसे जरूरी कदम: अपने Ghost CMS को तुरंत 6.19.1 या उसके बाद वाले वर्जन में अपडेट करें, सभी एडमिन API कीज बदलें और अपने पुराने आर्टिकल्स में किसी अनचाहे कोड की जांच करें।
