Falha no Ghost CMS explorada em campanha ClickFix massiva
Uma campanha em larga escala está explorando uma vulnerabilidade crítica de SQL injection (CVE-2026-26980) no Ghost CMS, permitindo a injeção de código JavaScript malicioso que ativa fluxos de ataque ClickFix. Pesquisadores da Qianxin XLab descobriram que mais de 700 domínios foram comprometidos, incluindo portais de universidades como Harvard, Oxford e Auburn, bem como empresas de tecnologia e mídia.
CVE-2026-26980: a vulnerabilidade crítica no coração do ataque
A falha identificada como CVE-2026-26980 afeta versões do Ghost entre 3.24.0 e 6.19.0. Essa vulnerabilidade permite que atacantes não autenticados leiam dados do banco de dados, inclusive API keys administrativas. Com essas chaves, os invasores obtêm controle total sobre o conteúdo, usuários e temas do site, podendo até alterar páginas de artigos.
A correção foi disponibilizada em 19 de fevereiro de 2026, com o lançamento do Ghost CMS 6.19.1. Entretanto, muitos administradores de sites não aplicaram a atualização de segurança, deixando seus sistemas vulneráveis. Segundo a SentinelOne, ataques explorando essa falha foram detectados pouco tempo após o anúncio do patch.
Como funciona a cadeia de ataque ClickFix
O ataque começa com a exploração da vulnerabilidade CVE-2026-26980 para roubar as admin API keys. Com o acesso obtido, os criminosos injetam JavaScript malicioso nos artigos hospedados no Ghost CMS. Esse código atua como um carregador inicial, puxando uma segunda fase de código hospedada na infraestrutura dos atacantes. Esse segundo script verifica se o visitante é um alvo válido.
Se o visitante passa na verificação, é exibido um falso aviso do Cloudflare através de um iframe, exigindo que a vítima comprove ser humana. A página, conhecida como ClickFix, instrui o usuário a inserir um comando no Prompt de Comando do Windows, que faz o download e executa um payload malicioso.
Entre os payloads identificados estão carregadores de DLL, JavaScript droppers e um malware baseado em Electron chamado UtilifySetup.exe, projetado para persistir e coletar dados sensíveis.
Impacto global: mais de 700 domínios comprometidos
Segundo a XLab, a campanha afetou universidades renomadas, empresas de SaaS, mídia, fintechs e blogs pessoais. A diversidade dos alvos demonstra que os atacantes exploram a vulnerabilidade de forma automatizada e massiva. Investigadores observaram até clusters distintos de atividades, sugerindo que múltiplos grupos podem estar explorando a mesma falha simultaneamente.
Como se proteger da campanha ClickFix
Administradores do Ghost CMS devem atualizar imediatamente para a versão 6.19.1 ou posterior e revogar todas as chaves API previamente usadas. É fundamental revisar os logs de chamadas da API por pelo menos 30 dias e verificar a presença de scripts injetados.
Manter práticas de gerenciamento de patches e monitoramento de integridade contínuas é essencial para prevenir ataques semelhantes. A XLab também recomenda manter registros de auditoria de APIs e implementar políticas rígidas de validação de entrada.
“Este caso mostra como vulnerabilidades em CMS combinadas com técnicas de engenharia social podem gerar ataques altamente eficazes”, comentou Hastey, pesquisador de segurança no fórum BleepingComputer.
Hastey – Pesquisador de Segurança
Boas práticas recomendadas
- Aplicar as atualizações de segurança do Ghost imediatamente.
- Monitorar logs de API e conexões suspeitas.
- Implementar autenticação multifator para administradores.
- Evitar executar comandos desconhecidos em prompts de terminal.
- Verificar código JavaScript injetado em páginas e artigos.
Perguntas frequentes sobre Falha no Ghost
O que é o CVE-2026-26980?
É uma vulnerabilidade de injeção SQL (SQLi) detectada no Ghost CMS que permite acesso não autorizado a dados sensíveis e chaves administrativas.
O que é o ataque ClickFix?
É uma campanha maliciosa que combina exploração de falhas e engenharia social, pedindo que usuários executem comandos falsos em seus sistemas para baixar malware.
Como proteger meu site Ghost CMS?
Atualize o Ghost CMS para a versão 6.19.1 ou posterior, altere todas as chaves de API e revise logs de atividades para detectar ações suspeitas.
Considerações finais
A exploração da falha CVE-2026-26980 no Ghost CMS destaca a importância de um processo contínuo de atualização e vigilância em segurança cibernética. Com o crescimento de campanhas como a ClickFix, torna-se indispensável que administradores e desenvolvedores enfrentem vulnerabilidades de forma proativa, antes que possam ser exploradas por atacantes. A segurança na web depende não apenas da correção de bugs, mas da educação e da atenção permanente de toda a comunidade digital.
