Lỗ hổng Ghost CMS SQL Injection chiếm quyền hàng loạt hơn 700 trang web, bao gồm cả Harvard và DuckDuckGo

Một lỗ hổng bảo mật đã được vá từ nhiều tháng trước bỗng trở thành động cơ cho một trong những chiến dịch chiếm quyền website táo bạo nhất trong năm. Tin tặc đang khai thác lỗ hổng SQL Injection nghiêm trọng trong Ghost CMS để đánh cắp khóa quản trị, tiêm mã độc và biến các tên miền uy tín—từ cổng thông tin các trường Ivy League đến công cụ tìm kiếm tập trung vào quyền riêng tư—thành nền tảng phát tán mã độc.

Lỗ hổng: Truy cập cơ sở dữ liệu mà không cần xác thực

CVE-2026-26980 là một lỗ hổng SQL Injection được đánh giá 9.4 trên thang điểm CVSS, ảnh hưởng đến Content API trong Ghost CMS . Điểm yếu nằm ở cách API xử lý các tham số filter và order—cụ thể là thiếu bước làm sạch dữ liệu đầu vào đúng cách trong mệnh đề

ORDER BY

Dữ liệu bị lộ có thể bao gồm mật khẩu băm bcrypt, bí mật phiên và—quan trọng nhất—khóa Admin API . Những khóa này mở ra một cánh cửa lớn hơn nhiều: Ghost Admin API, vốn có toàn quyền tạo và chỉnh sửa bài viết, trang, và nội dung trang web.

Bản vá đã được phát hành một cách âm thầm trong Ghost 6.19.1, nhưng nhiều nhà vận hành đã không áp dụng, để ngỏ cánh cửa cho việc khai thác .

Chiến dịch đang diễn ra: Hơn 700 tên miền bị xâm phạm

Được phát hiện vào tháng 5 năm 2026 bởi các nhà nghiên cứu tình báo mối đe dọa tại nhóm XLab của Qianxin, chiến dịch này đã đầu độc hơn 700 tên miền, bao gồm các trang web có uy tín cao . Các nạn nhân được xác nhận bao gồm các cổng thông tin thuộc sở hữu của Đại học Harvard, Đại học Oxford, Đại học Auburn và công cụ tìm kiếm tập trung vào quyền riêng tư DuckDuckGo .

Ít nhất hai nhóm đe dọa đang cạnh tranh để xâm phạm các trang web dễ bị tấn công tương tự. Trong một số trường hợp, các nhà nghiên cứu quan sát thấy một phiên bản Ghost bị tiêm mã độc của nhóm này, chỉ vài giờ sau lại bị tái nhiễm bởi một đối thủ khác .

Chuỗi tấn công

1. SQL Injection để đánh cắp khóa – Kẻ tấn công gửi các payload SQL được chế tạo đặc biệt đến Content API công khai, trích xuất khóa Admin API từ cơ sở dữ liệu mà chưa từng cần xác thực .
2. Giả mạo bài viết hàng loạt – Với đặc quyền quản trị bị đánh cắp, chúng sử dụng Ghost Admin API để chỉnh sửa hàng loạt bài viết đã xuất bản, thêm một loader JavaScript nhẹ vào cuối mỗi trang .
3. Kỹ thuật xã hội ClickFix – Khách truy cập vào các trang bị xâm phạm được hiển thị một trang xác minh con người Cloudflare giả mạo "Just a moment…". Trang này hướng dẫn người dùng nhấn tổ hợp phím tắt và dán một lệnh vào hộp thoại Run của Windows—một mánh khóe ClickFix cổ điển được thiết kế để vượt qua phòng thủ của trình duyệt và thực thi mã độc cục bộ .

Payload và phát tán mã độc

Mã JavaScript được tiêm vào có chủ đích nhỏ gọn; nó hoạt động như một loader hai giai đoạn tải logic tấn công thực sự từ một máy chủ bên ngoài . Các payload hạ nguồn đã được quan sát bao gồm:

• DLL loader thả thêm mã độc Windows .
• Một mẫu mã độc dựa trên Electron, cho thấy kẻ tấn công đang đóng gói mã độc bên trong các framework trông giống như các ứng dụng máy tính để bàn hợp pháp .
• Mồi nhử CAPTCHA và Cloudflare giả mạo được sử dụng làm mánh khóe kỹ thuật xã hội chính để thuyết phục người dùng bỏ qua các cảnh báo .

Biện pháp khắc phục: Các bước bảo mật phiên bản Ghost

Vì chuỗi tấn công liên quan đến cả việc đọc cơ sở dữ liệu và giả mạo nội dung đã xác thực, việc khắc phục phải giải quyết chính lỗ hổng và thiệt hại gián tiếp của một vụ xâm phạm tiềm tàng.

Ngay lập tức (trong vòng vài giờ)

1. Nâng cấp Ghost lên phiên bản 6.19.1 trở lên. Đây là bản sửa lỗi vĩnh viễn duy nhất cho lỗi SQL Injection .
2. Thu hồi tất cả khóa Admin API. Vì cuộc tấn công bắt đầu bằng việc đánh cắp khóa, tiếp tục sử dụng khóa hiện tại sẽ khiến Admin API hoàn toàn có thể truy cập ngay cả sau khi vá lỗi . Tạo khóa mới từ cài đặt Ghost Admin Labs.
3. Rà soát các bài viết và trang đã xuất bản để tìm JavaScript bị tiêm vào. Kẻ tấn công tiêm các loader ở cuối bài viết; kiểm tra nội dung bài viết và cài đặt chèn mã tùy chỉnh để tìm các script không được ủy quyền .
4. Xem lại nhật ký truy cập Ghost để phát hiện các mẫu Content API bất thường—đặc biệt là các yêu cầu chứa đoạn mã SQL hoặc tham số slug bất thường, cũng như hoạt động cập nhật hàng loạt trên các bài viết .

Ngắn hạn (24–48 giờ)

5. Quét để tìm sự tồn tại dai dẳng ngoài Ghost. Một khóa Admin API bị đánh cắp có thể sửa đổi tệp theme hoặc tải lên các chuyển hướng. Hãy coi mọi vụ xâm phạm đã xác nhận là rộng hơn việc tiêm script cho đến khi máy chủ lưu trữ được xem xét lại.
6. Đặt lại tất cả mật khẩu người dùng nhân viên Ghost. Ngay cả khi mật khẩu băm bcrypt bị đánh cắp, việc thay đổi thông tin xác thực sẽ giới hạn thời gian cho các nỗ lực dò mật khẩu .
7. Giám sát truy vấn cơ sở dữ liệu để phát hiện các lần đọc bất thường liên tục vào các bảng nhạy cảm—những kẻ tấn công dai dẳng có thể cố gắng trích xuất lại các bí mật mới .
8. Chạy quét toàn bộ mã độc trên môi trường máy chủ lưu trữ Ghost, bao gồm đường dẫn ứng dụng Node.js và cơ sở dữ liệu.

Phòng thủ dài hạn

9. Bật cập nhật tự động cho Ghost và đăng ký nhận các tư vấn bảo mật .
10. Triển khai quy tắc Tường lửa Ứng dụng Web (WAF) để chặn các mẫu SQL Injection nhắm vào Content API như một biện pháp phòng thủ chuyên sâu—nhưng không coi đó là biện pháp thay thế cho việc nâng cấp .
11. Rà soát tất cả các phiên bản Ghost đang hoạt động trên toàn bộ hạ tầng của bạn. Quy mô của chiến dịch có nghĩa là bất kỳ trang Ghost nào trực tuyến chưa được vá đều là mục tiêu, dù đó là blog cá nhân hay cổng thông tin tổ chức .

Bản vá được phát hành nhanh chóng, nhưng việc áp dụng luôn là nút thắt thực sự. Chiến dịch này là một lời nhắc nhở đáng lo ngại rằng các lỗ hổng CMS mức độ nghiêm trọng cao không biến mất sau khi tiết lộ—chúng trở thành vũ khí và kẻ tấn công sẽ chủ động nhắm mục tiêu vào các tổ chức chưa nắm bắt được thông tin.