Ghost CMS 高危 SQL 注入漏洞遭大规模利用：超 700 个网站已成恶意软件分发渠道

官方已在 Ghost 6.19.1 版本中悄悄修复了此漏洞，但大量站长并未及时更新，为攻击者敞开了大门 。

活跃的攻击活动：超 700 个域名沦陷

2026 年 5 月，奇安信 XLab 团队的研究人员发现了此攻击活动。确认的受害者包括哈佛大学、牛津大学、奥本大学的相关门户网站，以及以注重隐私著称的搜索引擎 DuckDuckGo 。

更令人担忧的是，至少有两个相互竞争的黑客组织正在争相攻陷相同的漏洞网站。研究人员观察到，有的 Ghost 站点刚被一个组织植入恶意代码，几小时后又被另一个对手组织再次感染 。

攻击全链条

1. SQL 注入窃取密钥 – 攻击者向公开的内容 API 发送精心构造的 SQL 载荷，无需认证即可从数据库中提取管理员 API 密钥 。
2. 批量篡改文章 – 利用窃取的管理员权限，他们通过 Ghost 管理 API 批量修改已发布文章，在每篇文章底部附加一个轻量级的 JavaScript 加载器 。
3. “ClickFix” 社工陷阱 – 访问被攻击网站的访客，会看到一个伪造的 Cloudflare "Just a moment…" 人机验证页面。页面会指示用户按下键盘快捷键，并将命令粘贴到 Windows 运行对话框中——这是一种典型的 ClickFix 伎俩，旨在绕过浏览器防御，在本地执行恶意软件 。

载荷与恶意软件分发

注入的 JavaScript 代码刻意保持短小精悍，充当一个二级加载器，从外部服务器获取真正的攻击逻辑 。目前已观察到的下游载荷包括：

• DLL 加载器，用于投递更多 Windows 恶意软件 。
• 一个基于 Electron 的恶意软件样本，表明攻击者正将恶意代码打包进看似合法的桌面应用框架中，以掩人耳目 。
• 伪造的 CAPTCHA 和 Cloudflare 主题诱饵，作为主要的社交工程钩子，诱导用户绕过安全警告 。

修复指南：加固你的 Ghost 站点

鉴于攻击链同时涉及数据库读取和认证后的内容篡改，修复方案必须覆盖漏洞本身以及可能已遭入侵的后续清理工作。

立即行动（数小时内）

1. 将 Ghost 升级至 6.19.1 或更高版本。 这是修复此 SQL 注入漏洞的唯一永久性方案 。
2. 轮换所有管理员 API 密钥。 攻击始于密钥窃取，即使打完补丁，若继续使用旧密钥，管理 API 依然大门敞开 。请在 Ghost 管理后台的 Labs 设置中生成新密钥。
3. 审计所有已发布的文章和页面。 攻击者在文章底部注入加载器；请检查文章正文和自定义代码注入设置中是否存在未授权的脚本 。
4. 检查 Ghost 访问日志，寻找异常的内容 API 访问模式——尤其是包含 SQL 片段或异常 slug 过滤参数的请求，以及对文章的大批量更新活动 。

短期措施（24 - 48 小时内）

5. 扫描 Ghost 之外的持久化后门。 窃取到的管理员 API 密钥也可以用来修改主题文件或上传重定向代码。在完成对主服务器的全面审查之前，应将任何已确认的入侵视为超出单个脚本注入的更广泛威胁。
6. 重置所有 Ghost 工作人员的用户密码。 即使 bcrypt 哈希已失窃，轮换凭据也能缩短暴力破解的窗口期 。
7. 监控数据库查询，防范对敏感数据表的持续异常读取——顽固的攻击者可能会尝试再次提取新密钥 。
8. 对运行 Ghost 的服务器环境执行全盘恶意软件扫描，包括 Node.js 应用路径和数据库。

长期防御策略

9. 为 Ghost 启用自动更新，并订阅安全公告 。
10. 部署 Web 应用防火墙规则，阻止针对内容 API 的 SQL 注入模式，作为一种深度防御措施——但请勿将其视为升级的替代方案 。
11. 审计基础设施内所有暴露在公网的 Ghost 实例。 此次攻击活动的规模意味着，任何未打补丁的 Ghost 网站，无论是个人博客还是机构门户，都可能成为攻击目标 。

补丁发布很快，但用户的采纳总是真正的瓶颈。这次攻击活动清醒地提醒我们：高风险的 CMS 漏洞在披露后并不会消失，它们会变成弹药，攻击者会主动瞄准那些“没收到通知”的组织。