Ghost CMS SQL Injection โจมตีไฮแจ็คกว่า 700 เว็บไซต์ รวมฮาร์วาร์ดและ DuckDuckGo

ข้อมูลที่อาจถูกเปิดเผยรวมถึง bcrypt password hashes, session secrets และที่สำคัญที่สุดคือ กุญแจ Admin API การเข้าถึงกุญแจเหล่านี้เปรียบเสมือนการเปิดประตูบานใหญ่ไปสู่ Ghost Admin API ซึ่งให้สิทธิ์เต็มรูปแบบในการสร้างและแก้ไขโพสต์ เพจ และเนื้อหาต่างๆ ของเว็บไซต์

แพตช์แก้ไขถูกปล่อยออกมาอย่างเงียบๆ ใน Ghost เวอร์ชัน 6.19.1 แต่ผู้ดูแลระบบจำนวนมากไม่ได้อัปเดต ซึ่งทำให้เว็บไซต์ของพวกเขายังคงเสี่ยงต่อการถูกโจมตี

แคมเปญที่กำลังดำเนินอยู่: กว่า 700 โดเมนถูกควบคุม

แคมเปญนี้ถูกค้นพบในเดือนพฤษภาคม 2026 โดยทีมนักวิจัยภัยคุกคามจาก XLab ของ Qianxin ซึ่งตรวจพบว่าได้แพร่กระจายเข้าสู่กว่า 700 โดเมนแล้ว รวมถึงเว็บไซต์ที่มีชื่อเสียงอย่างสูง เหยื่อที่ได้รับการยืนยันแล้วรวมถึงพอร์ทัลของมหาวิทยาลัยฮาร์วาร์ด มหาวิทยาลัยออกซฟอร์ด มหาวิทยาลัยออเบิร์น และเครื่องมือค้นหา DuckDuckGo ที่เน้นความเป็นส่วนตัว

มีกลุ่มผู้โจมตีอย่างน้อยสองกลุ่มที่กำลังแข่งกันแย่งชิงเว็บไซต์ที่มีช่องโหว่เดียวกัน ในบางกรณี นักวิจัยพบว่า Ghost instance เดียวกันถูกแทรกโค้ดอันตรายของกลุ่มหนึ่ง ก่อนที่จะถูกอีกกลุ่มหนึ่งเข้ามาแทรกโค้ดซ้ำอีกในอีกไม่กี่ชั่วโมงต่อมา

ห่วงโซ่การโจมตี

1. SQL Injection เพื่อขโมยกุญแจ – ผู้โจมตีส่งชุดคำสั่ง SQL ที่ออกแบบมาเป็นพิเศษไปยัง Content API สาธารณะ เพื่อดึงข้อมูลกุญแจ Admin API จากฐานข้อมูลโดยไม่ต้องผ่านการรับรองตัวตนเลย
2. แก้ไขบทความจำนวนมาก – ด้วยสิทธิ์ผู้ดูแลที่ขโมยมา พวกเขาใช้ Ghost Admin API เพื่อแก้ไขบทความที่เผยแพร่แล้วจำนวนมาก โดยต่อท้ายตัวโหลด JavaScript ขนาดเล็กไว้ที่ด้านล่างของแต่ละหน้า
3. วิศวกรรมสังคมด้วยกลลวง ClickFix – ผู้เข้าชมเว็บไซต์ที่ถูกบุกรุกจะเห็นหน้า "Just a moment…" ปลอมของ Cloudflare ซึ่งอ้างว่าเป็นการยืนยันตัวตนมนุษย์ หน้านี้จะหลอกให้ผู้ใช้กดปุ่มลัดบนคีย์บอร์ดและวางคำสั่งลงในช่อง Run ของ Windows เป็นกลลวง ClickFix แบบคลาสสิกที่ถูกออกแบบมาเพื่อเลี่ยงการป้องกันของเบราว์เซอร์และเรียกใช้มัลแวร์บนเครื่องเหยื่อโดยตรง

เพย์โหลดและการแพร่มัลแวร์

JavaScript ที่ถูกแทรกเข้ามานั้นถูกทำให้มีขนาดเล็กโดยเจตนา ทำหน้าที่เป็น ตัวโหลดสองขั้นตอน ที่จะดึงชุดคำสั่งโจมตีจริงมาจากเซิร์ฟเวอร์ภายนอก เพย์โหลดที่ตรวจพบได้แก่:

• DLL loaders ที่ใช้ดรอปมัลแวร์เพิ่มเติมบน Windows
• ตัวอย่างมัลแวร์ที่สร้างด้วย Electron ซึ่งบ่งชี้ว่าผู้โจมตีกำลังบรรจุโค้ดอันตรายในเฟรมเวิร์กที่ดูเหมือนแอปพลิเคชันเดสก์ท็อปทั่วไป เพื่อให้กลมกลืนกับซอฟต์แวร์ที่ถูกต้องตามกฎหมาย
• หน้า CAPTCHA ปลอมและหน้ายืนยันตัวตนปลอมของ Cloudflare ที่ถูกใช้เป็นเหยื่อล่อหลักทางวิศวกรรมสังคมเพื่อโน้มน้าวให้ผู้ใช้ทำตามคำสั่งและเลี่ยงคำเตือนด้านความปลอดภัย

การแก้ไข: ขั้นตอนรักษาความปลอดภัย Ghost Instance

เนื่องจากห่วงโซ่การโจมตีครอบคลุมทั้งการอ่านข้อมูลฐานข้อมูลและการแก้ไขเนื้อหาผ่านการรับรองตัวตน การแก้ไขจึงต้องจัดการทั้งตัวช่องโหว่เองและความเสียหายที่อาจเกิดขึ้นจากการบุกรุก

ทันที (ภายในไม่กี่ชั่วโมง)

1. อัปเกรด Ghost เป็นเวอร์ชัน 6.19.1 หรือใหม่กว่า นี่เป็นวิธีแก้ไข SQL Injection อย่างถาวรเพียงวิธีเดียว
2. เปลี่ยนกุญแจ Admin API ทั้งหมด เพราะการโจมตีเริ่มต้นด้วยการขโมยกุญแจ หากยังใช้กุญแจเดิมต่อไป Admin API จะยังคงถูกเข้าถึงได้แม้หลังจากการอัปเดตแล้ว สร้างกุญแจใหม่ได้จาก Ghost Admin ในส่วนตั้งค่า Labs
3. ตรวจสอบบทความและเพจที่เผยแพร่แล้วว่ามี JavaScript ที่ถูกแทรกเข้ามาหรือไม่ ผู้โจมตีจะแทรกตัวโหลดไว้ที่ด้านล่างของโพสต์ ให้ตรวจสอบเนื้อหาโพสต์และการตั้งค่า Custom Code Injection เพื่อหาสคริปต์ที่ไม่ได้รับอนุญาต
4. ตรวจสอบ Ghost access logs เพื่อหารูปแบบการเข้าถึง Content API ที่ผิดปกติ โดยเฉพาะคำขอที่มีชิ้นส่วนของ SQL หรือพารามิเตอร์ slug ที่ผิดปกติ รวมถึงกิจกรรมการอัปเดตจำนวนมากบนโพสต์ต่างๆ

ระยะสั้น (24–48 ชั่วโมง)

5. ตรวจหาการคงอยู่ของการโจมตีนอกเหนือจาก Ghost กุญแจ Admin API ที่ถูกขโมยสามารถใช้เพื่อแก้ไขไฟล์ธีมหรืออัปโหลดสคริปต์เปลี่ยนเส้นทางได้ ให้พิจารณาว่าการบุกรุกที่ได้รับการยืนยันแล้วอาจมีขอบเขตกว้างกว่าการแทรกสคริปต์เพียงอย่างเดียว จนกว่าจะได้ตรวจสอบเครื่องเซิร์ฟเวอร์แล้ว
6. รีเซ็ตรหัสผ่านของผู้ใช้ Ghost ทุกคน แม้ว่า bcrypt hashes จะถูกขโมยไป การเปลี่ยนข้อมูลรับรองจะช่วยลดกรอบเวลาในการพยายามถอดรหัสผ่าน
7. เฝ้าตรวจสอบการเข้าถึงฐานข้อมูล เพื่อหาการอ่านข้อมูลที่ผิดปกติอย่างต่อเนื่องในตารางที่มีความละเอียดอ่อน ผู้โจมตีที่ยังคงอยู่อาจพยายามดึงข้อมูลลับใหม่อีกครั้ง
8. สแกนหามัลแวร์เต็มรูปแบบ บนเซิร์ฟเวอร์ที่โฮสต์ Ghost รวมถึงเส้นทางของแอปพลิเคชัน Node.js และฐานข้อมูล

การป้องกันระยะยาว

9. เปิดใช้งานการอัปเดตอัตโนมัติสำหรับ Ghost และสมัครรับข้อมูลข่าวสารด้านความปลอดภัย
10. ปรับใช้กฎ Web Application Firewall (WAF) เพื่อบล็อกรูปแบบ SQL Injection ที่พุ่งเป้าไปที่ Content API เป็นมาตรการป้องกันเชิงลึก แต่ไม่ควรใช้แทนการอัปเกรดระบบ
11. ตรวจสอบ Ghost Instance ทั้งหมดที่เปิดเผยสู่ภายนอก ทั่วทั้งโครงสร้างพื้นฐานของคุณ เนื่องจากขนาดของแคมเปญนี้ เว็บไซต์ Ghost ที่ไม่ได้รับการอัปเดตทุกแห่งที่ออนไลน์อยู่ล้วนเป็นเป้าหมาย ไม่ว่าจะเป็นบล็อกส่วนตัวหรือพอร์ทัลของสถาบัน

ตัวแพตช์ถูกปล่อยออกมาอย่างรวดเร็ว แต่การนำไปปรับใช้ต่างหากที่เป็นคอขวดเสมอ แคมเปญนี้เป็นเครื่องเตือนใจที่สำคัญว่าช่องโหว่ร้ายแรงใน CMS ไม่ได้หายไปหลังจากการเปิดเผยข้อมูล แต่มันกลายเป็นอาวุธ และผู้โจมตีจะมุ่งเป้าไปที่องค์กรที่ไม่ได้รับข่าวสารนั้นอย่างแข็งขัน