Os dados expostos podem incluir hashes de senha bcrypt, segredos de sessão e — de forma crítica — chaves da API Admin (Admin API Keys) . Essas chaves abrem uma porta ainda maior: a API Admin do Ghost, que tem autoridade total para criar e modificar posts, páginas e o conteúdo do site.

A correção chegou silenciosamente na versão Ghost 6.19.1, mas muitos operadores não a aplicaram, deixando a porta escancarada para a exploração .

A Campanha Ativa: Mais de 700 Domínios Comprometidos

Descoberta em maio de 2026 por pesquisadores de inteligência de ameaças da equipe XLab da Qianxin, a campanha já envenenou mais de 700 domínios, incluindo sites de grande reputação . As vítimas confirmadas incluem portais pertencentes à Universidade de Harvard, Universidade de Oxford, Universidade de Auburn e o buscador focado em privacidade DuckDuckGo .

Pelo menos dois grupos de ameaça rivais estão competindo para comprometer os mesmos sites vulneráveis. Em alguns casos, pesquisadores observaram uma única instância do Ghost ser injetada com o código malicioso de um grupo e, horas depois, ser reinfectada por um concorrente .

A Cadeia do Ataque

1. SQL Injection para roubo de chaves – Os atacantes enviam cargas SQL criadas sob medida para a API de Conteúdo pública, extraindo chaves da API Admin do banco de dados sem nunca precisarem se autenticar .
2. Adulteração de artigos em massa – Com os privilégios de administrador roubados, eles usam a API Admin do Ghost para editar artigos em massa, anexando um pequeno carregador de JavaScript ao final de cada página .
3. Engenharia social com ClickFix – Os visitantes dos sites comprometidos veem uma página falsa de verificação humana da Cloudflare, com a mensagem "Só um momento...". A página instrui os usuários a pressionar um atalho de teclado e colar um comando na janela "Executar" do Windows — um truque clássico de ClickFix projetado para driblar as defesas do navegador e executar malware localmente .

Cargas Maliciosas e Entrega de Malware

O JavaScript injetado é intencionalmente pequeno; ele atua como um carregador de dois estágios que busca a lógica de ataque real em um servidor externo . As cargas secundárias observadas incluem:

• Carregadores de DLL que instalam outros malwares para Windows .
• Uma amostra de malware baseada em Electron, sugerindo que os atacantes estão empacotando código malicioso dentro de frameworks que se misturam a aplicativos legítimos de desktop .
• Iscas temáticas de CAPTCHA e Cloudflare falsos, usadas como o principal gancho de engenharia social para convencer os usuários a ignorar os avisos de segurança .

Como Resolver: Passos para Proteger sua Instância do Ghost

Como a cadeia de ataque envolve tanto leituras do banco de dados quanto adulteração de conteúdo autenticado, a correção deve abordar a vulnerabilidade em si e os danos posteriores de um possível comprometimento.

Imediato (em até algumas horas)

1. Atualize o Ghost para a versão 6.19.1 ou posterior. Esta é a única correção permanente para a injeção de SQL .
2. Faça a rotação de todas as chaves da API Admin. Como o ataque começa com o roubo de chaves, continuar usando as chaves existentes deixa a API Admin totalmente acessível, mesmo após a correção . Gere novas chaves nas configurações do Ghost Admin Labs.
3. Audite artigos e páginas publicados em busca de JavaScript injetado. Os atacantes injetam carregadores no final das postagens; verifique o corpo das postagens e as configurações de injeção de código personalizado em busca de scripts não autorizados .
4. Revise os logs de acesso do Ghost em busca de padrões anômalos na API de Conteúdo — particularmente requisições contendo fragmentos SQL ou parâmetros de filtro slug incomuns, bem como atividades de atualização em massa de posts .

Curto Prazo (24 a 48 horas)

5. Procure por persistência além do Ghost. Uma chave da API Admin roubada pode modificar arquivos de tema ou enviar redirecionamentos. Trate qualquer comprometimento confirmado como algo mais amplo do que uma simples injeção de script até que o servidor de hospedagem seja revisado.
6. Redefina todas as senhas de usuários colaboradores do Ghost. Mesmo que hashes bcrypt sejam roubados, a rotação de credenciais limita a janela para tentativas de quebra de senha .
7. Monitore as consultas ao banco de dados para identificar leituras anômalas contínuas de tabelas sensíveis — atacantes persistentes podem tentar reextrair novos segredos .
8. Execute uma varredura completa de malware no ambiente do servidor que hospeda o Ghost, incluindo o caminho da aplicação Node.js e o banco de dados.

Defesa de Longo Prazo

9. Ative as atualizações automáticas para o Ghost e assine os avisos de segurança .
10. Implante uma regra de WAF (Firewall de Aplicação Web) para bloquear padrões de SQL Injection direcionados à API de Conteúdo como uma medida de defesa em profundidade — mas não a trate como um substituto para a atualização .
11. Audite todas as instâncias do Ghost expostas em sua infraestrutura. A escala da campanha significa que qualquer site Ghost online e sem correção é um alvo, seja um blog pessoal ou um portal institucional .

As correções são lançadas rapidamente, mas a adoção é sempre o verdadeiro gargalo. Esta campanha é um lembrete preocupante de que vulnerabilidades de alta gravidade em CMS não desaparecem após a divulgação — elas se tornam munição, e os atacantes mirarão ativamente nas organizações que não ficaram sabendo.

Os dados expostos podem incluir hashes de senha bcrypt, segredos de sessão e — de forma crítica — chaves da API Admin (Admin API Keys) . Essas chaves abrem uma porta ainda maior: a API Admin do Ghost, que tem autoridade total para criar e modificar posts, páginas e o conteúdo do site.

A correção chegou silenciosamente na versão Ghost 6.19.1, mas muitos operadores não a aplicaram, deixando a porta escancarada para a exploração .

A Campanha Ativa: Mais de 700 Domínios Comprometidos

Descoberta em maio de 2026 por pesquisadores de inteligência de ameaças da equipe XLab da Qianxin, a campanha já envenenou mais de 700 domínios, incluindo sites de grande reputação . As vítimas confirmadas incluem portais pertencentes à Universidade de Harvard, Universidade de Oxford, Universidade de Auburn e o buscador focado em privacidade DuckDuckGo .

Pelo menos dois grupos de ameaça rivais estão competindo para comprometer os mesmos sites vulneráveis. Em alguns casos, pesquisadores observaram uma única instância do Ghost ser injetada com o código malicioso de um grupo e, horas depois, ser reinfectada por um concorrente .

A Cadeia do Ataque

1. SQL Injection para roubo de chaves – Os atacantes enviam cargas SQL criadas sob medida para a API de Conteúdo pública, extraindo chaves da API Admin do banco de dados sem nunca precisarem se autenticar .
2. Adulteração de artigos em massa – Com os privilégios de administrador roubados, eles usam a API Admin do Ghost para editar artigos em massa, anexando um pequeno carregador de JavaScript ao final de cada página .
3. Engenharia social com ClickFix – Os visitantes dos sites comprometidos veem uma página falsa de verificação humana da Cloudflare, com a mensagem "Só um momento...". A página instrui os usuários a pressionar um atalho de teclado e colar um comando na janela "Executar" do Windows — um truque clássico de ClickFix projetado para driblar as defesas do navegador e executar malware localmente .

Cargas Maliciosas e Entrega de Malware

O JavaScript injetado é intencionalmente pequeno; ele atua como um carregador de dois estágios que busca a lógica de ataque real em um servidor externo . As cargas secundárias observadas incluem:

• Carregadores de DLL que instalam outros malwares para Windows .
• Uma amostra de malware baseada em Electron, sugerindo que os atacantes estão empacotando código malicioso dentro de frameworks que se misturam a aplicativos legítimos de desktop .
• Iscas temáticas de CAPTCHA e Cloudflare falsos, usadas como o principal gancho de engenharia social para convencer os usuários a ignorar os avisos de segurança .

Como Resolver: Passos para Proteger sua Instância do Ghost

Como a cadeia de ataque envolve tanto leituras do banco de dados quanto adulteração de conteúdo autenticado, a correção deve abordar a vulnerabilidade em si e os danos posteriores de um possível comprometimento.

Imediato (em até algumas horas)

1. Atualize o Ghost para a versão 6.19.1 ou posterior. Esta é a única correção permanente para a injeção de SQL .
2. Faça a rotação de todas as chaves da API Admin. Como o ataque começa com o roubo de chaves, continuar usando as chaves existentes deixa a API Admin totalmente acessível, mesmo após a correção . Gere novas chaves nas configurações do Ghost Admin Labs.
3. Audite artigos e páginas publicados em busca de JavaScript injetado. Os atacantes injetam carregadores no final das postagens; verifique o corpo das postagens e as configurações de injeção de código personalizado em busca de scripts não autorizados .
4. Revise os logs de acesso do Ghost em busca de padrões anômalos na API de Conteúdo — particularmente requisições contendo fragmentos SQL ou parâmetros de filtro slug incomuns, bem como atividades de atualização em massa de posts .

Curto Prazo (24 a 48 horas)

5. Procure por persistência além do Ghost. Uma chave da API Admin roubada pode modificar arquivos de tema ou enviar redirecionamentos. Trate qualquer comprometimento confirmado como algo mais amplo do que uma simples injeção de script até que o servidor de hospedagem seja revisado.
6. Redefina todas as senhas de usuários colaboradores do Ghost. Mesmo que hashes bcrypt sejam roubados, a rotação de credenciais limita a janela para tentativas de quebra de senha .
7. Monitore as consultas ao banco de dados para identificar leituras anômalas contínuas de tabelas sensíveis — atacantes persistentes podem tentar reextrair novos segredos .
8. Execute uma varredura completa de malware no ambiente do servidor que hospeda o Ghost, incluindo o caminho da aplicação Node.js e o banco de dados.

Defesa de Longo Prazo

9. Ative as atualizações automáticas para o Ghost e assine os avisos de segurança .
10. Implante uma regra de WAF (Firewall de Aplicação Web) para bloquear padrões de SQL Injection direcionados à API de Conteúdo como uma medida de defesa em profundidade — mas não a trate como um substituto para a atualização .
11. Audite todas as instâncias do Ghost expostas em sua infraestrutura. A escala da campanha significa que qualquer site Ghost online e sem correção é um alvo, seja um blog pessoal ou um portal institucional .

As correções são lançadas rapidamente, mas a adoção é sempre o verdadeiro gargalo. Esta campanha é um lembrete preocupante de que vulnerabilidades de alta gravidade em CMS não desaparecem após a divulgação — elas se tornam munição, e os atacantes mirarão ativamente nas organizações que não ficaram sabendo.