Celah Ghost CMS SQL Injection Bajak Massal 700+ Situs Termasuk Harvard dan DuckDuckGo

Sebuah kerentanan yang telah ditambal berbulan-bulan lalu kini menjadi mesin bagi salah satu kampanye pembajakan situs web paling agresif tahun ini. Penyerang mengeksploitasi celah SQL injection kritis di Ghost CMS untuk mencuri kunci administratif, menyuntikkan skrip jahat, dan mengubah domain dengan reputasi tinggi—mulai dari portal Ivy League hingga mesin pencari yang berfokus pada privasi—menjadi platform pengirim malware.

Kerentanannya: Akses Basis Data Tanpa Autentikasi

CVE-2026-26980 adalah celah SQL injection dengan skor 9.4 pada skala CVSS yang memengaruhi Content API di Ghost CMS . Kelemahan ini terletak pada cara API menangani parameter query filter dan order—tepatnya, kurangnya sanitasi yang tepat pada klausa

ORDER BY

Data yang terekspos dapat mencakup hash kata sandi bcrypt, rahasia sesi, dan—yang paling kritis—kunci Admin API . Kunci-kunci tersebut membuka pintu yang jauh lebih besar: Ghost Admin API, yang memiliki wewenang penuh untuk membuat dan memodifikasi posting, halaman, dan konten situs.

Tambalan dirilis diam-diam di Ghost 6.19.1, tetapi banyak operator tidak pernah menerapkannya, sehingga pintu tetap terbuka lebar untuk eksploitasi .

Kampanye Aktif: 700+ Domain Dikompromikan

Ditemukan pada Mei 2026 oleh peneliti intelijen ancaman dari tim XLab Qianxin, kampanye ini telah meracuni lebih dari 700 domain, termasuk situs-situs dengan reputasi tinggi . Para korban yang terkonfirmasi termasuk portal milik Universitas Harvard, Universitas Oxford, Universitas Auburn, dan mesin pencari yang berfokus pada privasi, DuckDuckGo .

Setidaknya dua kelompok ancaman yang bersaing tengah berlomba untuk mengkompromikan situs-situs rentan yang sama. Dalam beberapa kasus, peneliti mengamati satu instance Ghost disuntik dengan kode jahat satu kelompok, hanya untuk diinfeksi ulang oleh kelompok saingan beberapa jam kemudian .

Rantai Serangan

1. SQL injection untuk pencurian kunci – Penyerang mengirimkan payload SQL yang dirancang khusus ke Content API publik, mengekstrak kunci Admin API dari basis data tanpa pernah melakukan autentikasi .
2. Perusakan artikel massal – Dengan hak istimewa admin yang telah dicuri, mereka menggunakan Ghost Admin API untuk mengedit artikel yang diterbitkan secara massal, menambahkan pemuat (loader) JavaScript ringan di bagian bawah setiap halaman .
3. Rekayasa sosial ClickFix – Pengunjung situs yang terkompromikan disuguhi halaman verifikasi manusia Cloudflare "Just a moment…" palsu. Halaman tersebut menginstruksikan pengguna untuk menekan pintasan keyboard dan menempelkan perintah ke dialog Windows Run—trik klasik ClickFix yang dirancang untuk melewati pertahanan peramban dan menjalankan malware secara lokal .

Payload dan Pengiriman Malware

JavaScript yang disuntikkan sengaja dibuat kecil; ia bertindak sebagai pemuat dua tahap yang mengambil logika serangan sebenarnya dari server eksternal . Payload lanjutan yang teramati meliputi:

• Pemuat DLL yang menjatuhkan malware Windows tambahan .
• Sampel malware berbasis Electron, menunjukkan bahwa penyerang mengemas kode jahat di dalam kerangka kerja yang menyamar sebagai aplikasi desktop yang sah .
• Umpan bertema CAPTCHA dan Cloudflare palsu yang digunakan sebagai kaitan rekayasa sosial utama untuk meyakinkan pengguna mengabaikan peringatan .

Remediasi: Langkah-Langkah Mengamankan Instance Ghost

Karena rantai serangan ini melibatkan pembacaan basis data dan perusakan konten yang terautentikasi, remediasi harus menangani kerentanan itu sendiri dan kerusakan akibat dari kemungkinan kompromi.

Segera (dalam hitungan jam)

1. Tingkatkan Ghost ke versi 6.19.1 atau lebih baru. Ini adalah satu-satunya perbaikan permanen untuk SQL injection tersebut .
2. Rotasi semua kunci Admin API. Karena serangan dimulai dengan pencurian kunci, penggunaan kunci yang ada akan membuat Admin API tetap dapat diakses sepenuhnya bahkan setelah penambalan . Buat kunci baru dari pengaturan Ghost Admin Labs.
3. Audit artikel dan halaman yang diterbitkan untuk mencari JavaScript yang disuntikkan. Penyerang menyuntikkan pemuat di bagian bawah posting; periksa isi posting dan pengaturan injeksi kode kustom untuk skrip yang tidak sah .
4. Tinjau log akses Ghost untuk pola Content API yang mencurigakan—khususnya permintaan yang mengandung fragmen SQL atau parameter filter slug yang tidak biasa, serta aktivitas pembaruan massal pada posting .

Jangka pendek (24–48 jam)

5. Pindai untuk mencari persistensi di luar Ghost. Kunci Admin API yang dicuri dapat mengubah file tema atau mengunggah pengalihan. Perlakukan setiap kompromi yang terkonfirmasi lebih luas dari sekadar injeksi skrip hingga server host ditinjau.
6. Atur ulang semua kata sandi pengguna staf Ghost. Bahkan jika hash bcrypt dicuri, rotasi kredensial membatasi jendela waktu untuk upaya pemecahan kata sandi .
7. Pantau query basis data untuk pembacaan mencurigakan yang berkelanjutan pada tabel sensitif—penyerang yang persisten mungkin mencoba mengekstraksi ulang rahasia baru .
8. Jalankan pemindaian malware penuh pada lingkungan server yang menghosting Ghost, termasuk jalur aplikasi Node.js dan basis data.

Pertahanan jangka panjang

9. Aktifkan pembaruan otomatis untuk Ghost dan berlangganan advisori keamanan .
10. Terapkan aturan Web Application Firewall (WAF) untuk memblokir pola SQL injection yang menargetkan Content API sebagai langkah pertahanan berlapis—tetapi jangan anggap ini sebagai pengganti peningkatan versi .
11. Audit semua instance Ghost yang terpapar di seluruh infrastruktur Anda. Skala kampanye ini berarti setiap situs Ghost yang tidak ditambal secara daring adalah target, baik itu blog pribadi maupun portal institusional .

Tambalan dikirim dengan cepat, tetapi adopsi selalu menjadi hambatan sebenarnya. Kampanye ini adalah pengingat yang serius bahwa kerentanan CMS dengan tingkat keparahan tinggi tidak hilang setelah pengungkapan—mereka menjadi amunisi, dan penyerang akan secara aktif menargetkan organisasi yang tidak mendapat memo tersebut.