CVE-2026-26980：駭客利用 Ghost CMS 漏洞劫持超過 700 個網站，知名學府與搜尋引擎也中招

一個數月前已修補的漏洞，如今成了今年最猛烈的網站劫持活動之一的核心推手。攻擊者正利用 Ghost CMS 中的一個嚴重 SQL 注入漏洞，竊取管理員金鑰、注入惡意腳本，並將高度信任的網域——從常春藤名校入口網站到以隱私為賣點的搜尋引擎——轉變為散播惡意軟體的投放平台。

漏洞本體：無需身分驗證的資料庫存取

CVE-2026-26980 是一個在通用漏洞評分系統（CVSS）中獲得 9.4 分的 SQL 注入漏洞，影響 Ghost CMS 的 Content API 。此弱點存在於 API 處理 filter 和 order 查詢參數的方式，特別是在處理

ORDER BY

外洩的資料可能包括密碼的 bcrypt 雜湊值、工作階段密鑰，以及——最關鍵的——管理員 API 金鑰 (Admin API keys) 。這些金鑰能打開一扇更大的門：擁有對新增、修改文章、頁面和網站內容完全權限的 Ghost Admin API。

修補程式早在今年二月就已低調隨 Ghost 6.19.1 版本發布，但許多網站營運者並未套用更新，使得這扇門至今仍為攻擊者敞開 。

進行中的攻擊活動：超過 700 個網域受害

此攻擊活動由中國資安公司奇安信旗下的 XLab 威脅情資團隊於 2026 年 5 月發現，已波及超過 700 個網域，其中不乏聲譽卓著的網站 。已證實的受害者包括哈佛大學、牛津大學、奧本大學旗下的入口網站，以及以隱私為重的搜尋引擎 DuckDuckGo 。

至少有兩個相互競爭的駭客組織正爭先恐後地入侵相同的脆弱網站。研究人員觀察到，部分 Ghost 實例在被某個組織植入惡意程式碼後，短短數小時內又遭到另一個競爭對手的再次感染 。

攻擊鏈分析

1. SQL 注入以竊取金鑰 – 攻擊者向公開的 Content API 發送特製的 SQL 酬載，在無須任何身分驗證的情況下，從資料庫中提取管理員 API 金鑰 。
2. 大量文章竄改 – 利用竊取的管理員權限，攻擊者透過 Ghost Admin API 批次修改已發布的文章，在每篇文章的頁面底部附加一段極輕量的 JavaScript 載入器 。
3. ClickFix 社交工程攻擊 – 遭入侵網站的訪客會看到一個仿造的 Cloudflare「正在檢查您的瀏覽器…」人機驗證頁面。此頁面會指示使用者按下鍵盤快速鍵，並將一段指令貼到 Windows 的「執行」對話框中——這是一種典型的 ClickFix 伎倆，旨在繞過瀏覽器防禦，並在使用者本機上執行惡意軟體 。

酬載與惡意軟體投放

被注入的 JavaScript 程式碼刻意保持極小；它是一個兩階段載入器，會從外部伺服器取得真正的攻擊邏輯 。觀察到的下游酬載包括：

• DLL 載入器，用於植入其他 Windows 惡意軟體 。
• 一個以 Electron 框架為基礎的惡意軟體樣本，這暗示攻擊者將惡意程式碼包裝在與合法桌面應用程式無異的框架中，試圖魚目混珠 。
• 仿造的 CAPTCHA 和 Cloudflare 主題誘餌，作為主要的社交工程鉤子，說服使用者忽略瀏覽器的安全警告 。

補救措施：保護 Ghost 實例的安全步驟

由於攻擊鏈同時涉及資料庫讀取和經身分驗證的內容竄改，補救措施必須同時解決漏洞本身和可能已發生的入侵損害。

立即行動（數小時內）

1. 將 Ghost 升級至 6.19.1 或更高版本。 這是修補此 SQL 注入漏洞的唯一永久解決方案 。
2. 更換所有管理員 API 金鑰。 由於攻擊始於金鑰竊取，繼續使用現有金鑰將使 Admin API 在修補後仍完全暴露給攻擊者 。請從 Ghost 管理後台的「Labs」設定中產生新的金鑰。
3. 稽核所有已發布的文章和頁面中是否含有被注入的 JavaScript。 攻擊者會將載入器注入文章底部；請檢查文章內文和自訂程式碼注入設定中是否有未經授權的腳本 。
4. 審查 Ghost 的存取日誌，尋找異常的 Content API 模式——特別是那些包含 SQL 片段或異常 slug 篩選參數的請求，以及對文章的大量更新活動 。

短期處置（24-48 小時內）

5. 掃描 Ghost 之外的持久化機制。 遭竊的管理員 API 金鑰可能被用來修改主題檔案或上傳重新導向腳本。在對主機伺服器完成全面審查之前，應將任何確認的入侵視為遠不止於腳本注入。
6. 重設所有 Ghost 後台使用者的密碼。 即使 bcrypt 雜湊值被盜，輪換憑證也能限制攻擊者嘗試破解密碼的時間窗口 。
7. 監控資料庫查詢，觀察是否有持續對敏感資料表進行異常讀取的行為——頑固的攻擊者可能會嘗試重新提取新的密鑰 。
8. 對託管 Ghost 的伺服器環境進行完整的惡意軟體掃描，包括 Node.js 應用程式路徑和資料庫。

長期防禦策略

9. 為 Ghost 啟用自動更新，並訂閱安全公告 。
10. 部署 Web 應用程式防火牆 (WAF) 規則，以阻擋針對 Content API 的 SQL 注入攻擊模式，作為深度防禦措施——但切勿將其視為升級的替代方案 。
11. 全面清查基礎架構中所有公開的 Ghost 實例。 此攻擊活動的規模顯示，任何一個線上的未修補 Ghost 網站，無論是個人部落格還是機構入口網站，都將成為攻擊目標 。

修補程式釋出的速度很快，但採納的速度總是真正的瓶頸。這波攻擊活動是一記清醒的警鐘：嚴重的 CMS 漏洞在公開揭露後並不會消失——它們會變成攻擊者的彈藥，而這些攻擊者也將主動瞄準那些沒收到訊息的組織。