Массовый взлом Ghost CMS: критическая уязвимость подставила под удар сотни сайтов

Уязвимость, исправленная несколько месяцев назад, стала основой для одной из самых агрессивных кампаний по захвату сайтов в этом году. Злоумышленники используют критическую уязвимость в Ghost CMS, чтобы красть административные ключи, внедрять вредоносные скрипты и превращать доверенные домены — от сайтов Лиги плюща до конфиденциальных поисковиков — в инструмент распространения вредоносного ПО.

Уязвимость: доступ к базе данных без аутентификации

CVE-2026-26980 — это SQL-инъекция с оценкой 9,4 по шкале CVSS, которая затрагивает Content API в Ghost CMS . Слабое место кроется в том, как API обрабатывает параметры filter и order — в частности, отсутствует надлежащая очистка в операторе

ORDER BY

Среди данных, к которым можно получить доступ, — хеши паролей bcrypt, сессионные секреты и, что самое опасное, ключи Admin API . Получив такой ключ, злоумышленник открывает гораздо более широкую дверь — Ghost Admin API, который обладает полными правами на создание и изменение постов, страниц и всего содержимого сайта.

Исправление было незаметно включено в версию Ghost 6.19.1, однако многие владельцы сайтов его так и не установили, оставив дверь открытой для эксплуатации .

Массовая кампания: более 700 скомпрометированных доменов

Кампания была обнаружена в мае 2026 года исследователями XLab, подразделением китайской компании Qianxin. На данный момент зафиксировано заражение более 700 доменов, включая сайты с высокой репутацией . Среди подтвержденных жертв — порталы Гарвардского университета, Оксфордского университета, Обернского университета и поисковика DuckDuckGo с его фокусом на приватности .

Забавно, что как минимум две конкурирующие хакерские группировки одновременно атакуют одни и те же уязвимые сайты. Исследователи наблюдали случаи, когда уже зараженный одним кодом экземпляр Ghost в течение нескольких часов повторно заражался конкурирующей группой .

Цепочка атаки

1. SQL-инъекция для кражи ключа. Злоумышленники отправляют специально сформированные SQL-запросы к публичному Content API и без аутентификации извлекают из базы ключи Admin API .
2. Массовое изменение статей. Используя украденные привилегии, они через Ghost Admin API пакетно редактируют опубликованные статьи, добавляя в конец каждой страницы легковесный JavaScript-загрузчик .
3. Социальная инженерия ClickFix. Посетители скомпрометированных сайтов видят поддельную страницу проверки Cloudflare «Сейчас проверим, что вы человек…». Эта страница инструктирует пользователя нажать сочетание клавиш и вставить команду в диалог «Выполнить» (Windows Run). Это классический трюк ClickFix, призванный обойти защиту браузера и запустить вредоносный код на компьютере жертвы .

Вредоносная нагрузка

Внедряемый JavaScript-код намеренно делают маленьким; он представляет собой двухэтапный загрузчик, который подгружает основную вредоносную логику с внешнего сервера . Среди замеченных типов вредоносной нагрузки:

• Загрузчики DLL, которые устанавливают дополнительное ПО в Windows .
• Образец вредоносного ПО на базе Electron, что говорит о попытках злоумышленников маскировать вредоносный код под обычные десктопные приложения .
• Поддельные CAPTCHA и страницы в стиле Cloudflare как главный крючок социальной инженерии, чтобы убедить пользователя проигнорировать предупреждения браузера .

Что делать: защита и восстановление Ghost

Поскольку атака включает как чтение базы данных, так и авторизованное изменение контента, меры по защите должны быть направлены и на саму уязвимость, и на последствия возможной компрометации.

Срочные меры (в течение нескольких часов)

1. Обновите Ghost до версии 6.19.1 или новее. Это единственное полноценное исправление SQL-инъекции .
2. Смените все ключи Admin API. Так как атака начинается с кражи этих ключей, использование старых делает Admin API полностью доступным для злоумышленников даже после установки патча . Сгенерируйте новые ключи в разделе настроек (Labs).
3. Проверьте все статьи и страницы на наличие вредоносного JavaScript. Злоумышленники добавляют загрузчики в конец постов; проверьте тексты постов и настройки кастомного кода на предмет неавторизованных скриптов .
4. Проанализируйте логи доступа Ghost на предмет аномальной активности в Content API — особенно запросы, содержащие фрагменты SQL или необычные параметры фильтра slug, а также на случаи массового обновления постов .

Краткосрочные меры (24–48 часов)

5. Проверьте систему на другие следы взлома. Имея украденный ключ Admin API, злоумышленники могли менять файлы темы или загружать редиректы. Пока вы не проверите хост-сервер, считайте, что любое заражение глубже простой инъекции скрипта.
6. Сбросьте пароли всем пользователям Ghost. Даже если хеши bcrypt украдены, смена паролей минимизирует окно возможностей для их подбора .
7. Отслеживайте запросы к базе данных на предмет аномальных попыток чтения конфиденциальных таблиц — злоумышленники могут пытаться повторно извлечь свежие секретные данные .
8. Проведите полное сканирование на вирусы серверной среды, где запущен Ghost, включая путь к приложению Node.js и саму базу данных.

Долгосрочная защита

9. Включите автоматические обновления для Ghost и подпишитесь на уведомления о безопасности .
10. Настройте правило для Web Application Firewall (WAF) для блокировки типичных паттернов SQL-инъекций, нацеленных на Content API. Это хорошая практика для эшелонированной обороны, но не замена установке обновления .
11. Проведите аудит всех ваших проектов на Ghost. Масштаб кампании говорит о том, что под угрозой любой необновленный сайт на Ghost — будь то личный блог или портал крупной организации .

Патчи выпускаются быстро, но главная проблема всегда в их внедрении. Эта кампания — серьезное напоминание о том, что критические уязвимости в CMS не исчезают после публикации. Они превращаются в оружие, и злоумышленники активно ищут тех, кто не успел или не захотел обновиться.