CVE-2026-26980：黑客利用 Ghost CMS 漏洞劫持超過 700 個網站

幾個月前修補嘅漏洞，而家成為今年最狼死嘅網站騎劫行動嘅引擎。攻擊者利用 Ghost CMS 入面一個關鍵嘅 SQL 注入漏洞，偷取管理員金鑰、注入惡意腳本，將一啲高信任度嘅域名——由常春藤聯盟嘅大學網站到重視私隱嘅搜尋引擎——變成惡意軟件嘅派送平台。

漏洞詳情：無需認證嘅數據庫存取

CVE-2026-26980 係一個 SQL 注入漏洞，喺 CVSS 評分系統攞到 9.4 分，影響 Ghost CMS 嘅 Content API 。問題出喺 API 處理 filter 同 order 呢兩個查詢參數嘅方式——講得具體啲，就係

ORDER BY

可能會外洩嘅資料包括 bcrypt 密碼雜湊、會話秘密，以及最關鍵嘅——管理員 API 金鑰（Admin API Key） 。呢啲金鑰會打開一道更大嘅門：Ghost 嘅 Admin API，呢個 API 有齊晒創建同修改文章、頁面同網站內容嘅權限。

Ghost 喺 6.19.1 版本已經靜靜雞出咗修補程式，但好多營運者根本冇更新，結果就畀黑客有機可乘 。

進行中嘅攻擊行動：超過 700 個域名被攻陷

呢次攻擊行動由奇安信（Qianxin）旗下 XLab 團隊嘅威脅情報研究員喺 2026 年 5 月發現，已經成功毒害超過 700 個域名，當中包括一啲好有信譽嘅網站 。已經確認嘅受害者包括哈佛大學、牛津大學、奧本大學擁有嘅網站，仲有以私隱為先嘅搜尋引擎鴨鴨走（DuckDuckGo） 。

至少有兩個相互競爭嘅黑客組織，鬥快去攻擊同一批有漏洞嘅網站。研究人員觀察到，有啲 Ghost 伺服器先被一個組織注入惡意代碼，幾個鐘之後又畀另一個競爭對手再感染多次 。

攻擊鏈

1. SQL 注入偷金鑰 – 攻擊者向公開嘅 Content API 發送特製嘅 SQL 指令，喺完全唔使認證嘅情況下，直接由數據庫提取管理員 API 金鑰 。
2. 批量篡改文章 – 偷到管理員權限之後，佢哋利用 Ghost Admin API 大量修改已發佈嘅文章，喺每頁嘅底部附加一個輕量級嘅 JavaScript 載入器 。
3. ClickFix 社會工程學攻擊 – 訪客去到被攻陷嘅網站，會見到一個假嘅 Cloudflare 「Just a moment…」人機驗證頁面。個頁面會叫用戶撳一組鍵盤快捷鍵，然後將一段指令貼上 Windows 嘅「執行」對話框——呢招係典型嘅 ClickFix 技倆，目的係繞過瀏覽器嘅防護，直接喺本機執行惡意軟件 。

惡意負載同軟件派送

注入嘅 JavaScript 代碼故意寫得好短，佢係一個兩階段載入器，會再由外部伺服器提取真正嘅攻擊邏輯 。觀察到嘅下游惡意負載包括：

• DLL 載入器，會再植入其他 Windows 惡意軟件 。
• 一個基於 Electron 框架嘅惡意軟件樣本，顯示攻擊者可能將惡意代碼打包喺呢啲框架入面，令佢睇落好似正當嘅桌面應用程式，魚目混珠 。
• 偽冒嘅 CAPTCHA 同 Cloudflare 主題誘餌，係最主要嘅社會工程學圈套，用嚟說服用戶忽略安全警告 。

補救措施：點樣保護你嘅 Ghost 伺服器

因為攻擊鏈同時涉及數據庫讀取同已認證嘅內容篡改，補救措施必須同時處理漏洞本身，同埋一旦被入侵之後可能留低嘅手尾。

即刻要做（幾個鐘內）

1. 將 Ghost 升級到 6.19.1 或更新版本。 呢個係解決 SQL 注入漏洞嘅唯一永久方法 。
2. 輪換（Rotate）所有管理員 API 金鑰。 因為攻擊第一步就係偷金鑰，就算修補咗漏洞，繼續用舊金鑰都等於將 Admin API 大門繼續敞開 。去 Ghost 管理後台嘅 Labs 設定度產生新金鑰。
3. 審查所有已發佈嘅文章同頁面，睇下有冇被注入惡意 JavaScript。 攻擊者會喺文章底部注入載入器；檢查文章內容同自訂代碼注入設定，確保冇未經授權嘅腳本 。
4. 檢查 Ghost 嘅存取記錄，留意有冇異常嘅 Content API 請求模式——特別係一啲包含 SQL 片段或者古怪 slug 過濾參數嘅請求，同埋針對文章嘅批量更新活動 。

短期內做（24–48 小時內）

5. 掃描 Ghost 以外嘅持續性（Persistence）機制。 偷到管理員 API 金鑰之後，黑客有機會修改主題檔案或者上載惡意轉址。除非檢查過主機伺服器，否則應將任何已確認嘅入侵視為比單純注入腳本更廣泛嘅事件。
6. 重設所有 Ghost 員工用戶嘅密碼。 就算 bcrypt 雜湊被偷，盡快輪換憑證都可以縮短密碼被破解嘅風險窗口 。
7. 監察數據庫查詢，睇下有冇持續出現對敏感資料表嘅異常讀取——有恆心嘅攻擊者可能會嘗試重新提取新鮮嘅秘密 。
8. 喺托管 Ghost 嘅伺服器環境執行全面嘅惡意軟件掃描，包括 Node.js 應用程式路徑同數據庫。

長遠防禦

9. 為 Ghost 啟用自動更新，並訂閱安全公告 。
10. 部署網絡應用程式防火牆（WAF）規則，攔截針對 Content API 嘅 SQL 注入攻擊模式，作為縱深防禦嘅一環——但唔好將佢當成升級嘅替代方案 。
11. 審查你基礎架構入面所有對外開放嘅 Ghost 伺服器。今次攻擊嘅規模顯示，任何未修補兼上咗線嘅 Ghost 網站都會成為目標，無論係個人網誌定係機構門戶都一樣 。

修補程式出得快，但更新永遠慢幾拍。今次攻擊行動係一個當頭棒喝：高嚴重性嘅 CMS 漏洞喺公開披露之後唔會自動消失——佢哋會變成彈藥，而攻擊者會主動針對嗰啲收唔到風嘅組織。