ゴーストCMSの脆弱性「CVE-2026-26980」が猛威、ハーバード大やDuckDuckGoも被害に

数ヶ月前に修正パッチが公開された脆弱性が、今年最大級のウェブサイト乗っ取りキャンペーンのエンジンとして悪用されています。攻撃者は、人気のオープンソースCMS「Ghost」の深刻なSQLインジェクション脆弱性を悪用し、管理者権限を奪取。ハーバード大学やオックスフォード大学といった世界的な教育機関から、プライバシー重視の検索エンジンDuckDuckGoまで、信頼性の高いドメインを次々とマルウェア配信プラットフォームへと変貌させています。

脆弱性の概要：認証不要でデータベースにアクセス可能

「CVE-2026-26980」は、Node.js製コンテンツ管理システム（CMS）であるGhostのコンテンツAPIに存在するSQLインジェクションの脆弱性で、CVSS（共通脆弱性評価システム）で最高レベルに近い9.4の深刻度と評価されています 。この問題の核心は、APIが filter および order クエリパラメータを処理する方法にあります。具体的には、

ORDER BY

これにより、bcryptでハッシュ化されたパスワードやセッションシークレット、そして特に重要な管理者APIキーといった機密情報が露出する危険性があります 。管理者APIキーが漏洩すると、攻撃者はGhostの管理APIへのフルアクセス権を手に入れ、記事の作成・改ざんやページ内容の変更など、サイトのコンテンツを自由に操作できるようになります。

この脆弱性に対する修正パッチは、2026年2月にGhostバージョン6.19.1で静かに提供されました。しかし、多くのサイト運営者がアップデートを適用しなかったため、悪用への扉は開かれたままとなりました 。

進行中の大規模攻撃：700以上のドメインが汚染

中国のセキュリティ企業である奇安信（QiAnXin）の脅威インテリジェンスチーム「XLab」が2026年5月に発見したこのキャンペーンは、すでに700を超えるドメインに被害を及ぼしており、その中には信頼性の高い有名サイトも多数含まれています 。被害が確認されたサイトには、ハーバード大学、オックスフォード大学、オーバーン大学といった教育機関のポータルサイトや、**プライバシー重視の検索エンジン「DuckDuckGo」**の関連サイトが含まれます 。

さらに事態を複雑にしているのは、少なくとも2つの競合する攻撃グループが、同じ脆弱なサイトを奪い合うように侵害している点です。XLabの調査によれば、ある攻撃グループによって不正コードが埋め込まれたGhostサイトが、その数時間後には別の攻撃グループによって再び改ざんされるというケースも観測されています 。

攻撃の全容

1. キー窃取のためのSQLインジェクション：攻撃者はまず、一般に公開されているコンテンツAPIに対して巧妙に細工したSQL文を送り込み、認証を経ることなくデータベースから管理者APIキーを抽出します 。
2. 記事の一括改ざん：盗み出した管理者権限を悪用し、Ghostの管理APIを通じて公開済みの記事を大量に編集。各ページの末尾に、軽量なJavaScriptローダー（読み込みプログラム）を追記していきます 。
3. 「ClickFix（クリックフィックス）」型のソーシャルエンジニアリング：改ざんされたサイトを訪れたユーザーは、"Just a moment...（ちょっとお待ちください）" と表示する偽のCloudflare認証ページに直面します。この偽ページは、ユーザーに特定のキーボードショートカットを押し、表示されたコマンドをWindowsの「ファイル名を指定して実行」ダイアログに貼り付けて実行するよう指示します。これは、ブラウザの防御機構をすり抜け、ユーザーの端末上で直接マルウェアを実行させるための典型的な「ClickFix」の手口です 。

使用されるペイロード（攻撃コード）とマルウェア配信

サイトに埋め込まれるJavaScriptは意図的に小さく作られており、二段階式のローダーとして機能します。最初の小さなスクリプトが、外部の攻撃サーバーから実際の攻撃ロジックを取得して実行する仕組みです 。これまでに確認されている最終的なペイロード（攻撃の最終段階で実行される不正プログラム）は以下の通りです。

• DLLローダー：Windows端末上でさらなるマルウェアをダウンロード・実行するためのプログラム 。
• Electronベースのマルウェア：一見すると正規のデスクトップアプリケーションのように見せかけ、フレームワークに紛れ込ませた悪意あるコード。ユーザーに怪しまれにくいのが特徴です 。
• 偽のCAPTCHA（キャプチャ）やCloudflareを模したページ：ユーザーを騙し、セキュリティ警告を無視させて悪意ある操作を実行させるための主要なソーシャルエンジニアリングの仕掛けとして利用されています 。

再発防止策：今すぐGhostサイトを守るために

この攻撃チェーンは、データベースからの情報窃取と認証済みコンテンツの改ざんの両方を含むため、対策は脆弱性自体の修正と、侵害の可能性がある場合の事後対応の両面から行う必要があります。

緊急対応（数時間以内に実施）

1. Ghostをバージョン6.19.1以降にアップデートする。 これがSQLインジェクション脆弱性に対する唯一の恒久的な修正です 。
2. 全ての管理者APIキーを再発行（ローテーション）する。 攻撃の起点はキーの窃取であるため、パッチ適用後も古いキーを使い続ければ、管理APIへのアクセス権は攻撃者に残ったままになります 。Ghost管理画面の「Labs」設定から新しいキーを生成してください。
3. 公開済みの全記事と固定ページを監査し、不正なJavaScriptが埋め込まれていないか確認する。 攻撃者は記事の末尾にローダーを注入するため、投稿本文や「コードインジェクション」設定項目に不審なスクリプトがないか重点的にチェックします 。
4. Ghostのアクセスログを精査し、コンテンツAPIへの不審なアクセスパターンがないか確認する。 特に、SQLの断片や異常なslugフィルターパラメータを含むリクエスト、記事の一括更新処理の痕跡が無いかを重点的に調査します 。

短期的対策（24～48時間以内）

5. Ghost以外の箇所にも持続的な侵入の痕跡（バックドア）が無いか調査する。 窃取された管理者APIキーは、テーマファイルの改ざんやリダイレクトのアップロードにも悪用され得ます。侵害が確認された場合は、サーバー本体の調査が完了するまで単なるスクリプト注入以上の被害を想定して対処します。
6. 全てのGhost管理ユーザーのパスワードをリセットする。 万が一bcryptハッシュが窃取されていたとしても、認証情報を変更することでパスワード解析の猶予時間を狭めることができます 。
7. データベースのクエリを監視し、機密テーブルへの不審な読み取りが継続していないか確認する。 執拗な攻撃者が、新たに発行された秘密情報を再抽出しようと試みる可能性もあります 。
8. Ghostをホストしているサーバー環境全体で、マルウェアのフルスキャンを実行する。 Node.jsアプリケーションのパスやデータベース環境も対象に含めてください。

長期的な防御策

9. Ghostの自動アップデートを有効にし、セキュリティ勧告を購読する。 常に最新の状態を保つことが最も重要です 。
10. 多層防御として、WAF（Webアプリケーションファイアウォール）でコンテンツAPIを狙ったSQLインジェクションのパターンをブロックするルールを展開する。 ただし、これはアップデートの代替策にはならない点に注意してください 。
11. 管理下にある全てのGhostインスタンスを監査する。 このキャンペーンの規模からすると、インターネット上に存在する未パッチのGhostサイトは、個人ブログであれ大学のポータルであれ、あらゆるサイトが標的になり得ます 。

パッチの提供は迅速でも、実際に適用されるまでのタイムラグこそが常に最大の課題です。今回のキャンペーンは、深刻度の高いCMSの脆弱性が公表後に消え去ることはなく、攻撃者にとって格好の「武器」となり、アップデートを怠った組織が積極的に標的にされるという現実を、改めて痛感させるものです。