Przejdź do treści
Luki i patche

Krytyczna luka w Ghost CMS wykorzystana w kampanii ClickFix. Administratorzy muszą działać

Atakujący wykorzystują podatność SQL injection w systemie Ghost CMS do przejmowania stron i instalowania złośliwego oprogramowania. Luka dotknęła m.in. serwisy uniwersyteckie i wyszukiwarkę DuckDuckGo. Administratorzy powinni natychmiast zaktualizować CMS i obrócić klucze API.

3 min read
An abstract digital landscape showing a cracked glass wall with a glowing keyhole, behind which a dark cloud of tangled cables and binary symbols emerges. A single figure in the foreground holds a shield with a padlock icon, while a faint red alert symbol hovers above the crack.

Badacze bezpieczeństwa z chińskiej firmy Qianxin (XLab) ostrzegają przed dużą kampanią, w której atakujący wykorzystują krytyczną podatność SQL injection w systemie zarządzania treścią Ghost CMS. Luka, oznaczona jako CVE-2026-26980, pozwala nieuwierzytelnionym napastnikom na odczyt dowolnych danych z bazy strony, w tym kluczy API administratora. Według raportu opublikowanego przez BleepingComputer, kampania dotknęła już ponad 700 domen, w tym serwisy uniwersyteckie, firmy technologiczne i wyszukiwarkę DuckDuckGo.

Jak działa atak?

Podatność CVE-2026-26980 występuje w wersjach Ghost CMS od 3.24.0 do 6.19.0. Producent opublikował łatkę 19 lutego 2026 roku w wersji 6.19.1, jednak wiele stron wciąż nie zostało zaktualizowanych. Atakujący wykorzystują lukę do kradzieży kluczy API administratora, a następnie za pomocą podniesionych uprawnień wstrzykują złośliwy kod JavaScript do artykułów na stronie.

Google · preferowane źródłaCzytaj nas częściej. Dodaj sekuret.pl do preferowanych źródeł w Google →

Jak opisują badacze, kod JavaScript działa jako lekki loader, który pobiera drugi etap z infrastruktury atakujących. Ten drugi etap to skrypt maskujący, który analizuje odwiedzających i decyduje, czy są oni wartościowymi celami. Osoby, które przejdą weryfikację, otrzymują fałszywy komunikat Cloudflare wyświetlany w iframe na stronie artykułu. Komunikat zawiera tzw. ClickFix – instrukcję nakazującą ofierze wklejenie podanej komendy w wierszu poleceń systemu Windows. Wykonanie tej komendy powoduje pobranie i uruchomienie złośliwego oprogramowania.

Jakie zagrożenie dla użytkowników?

Badacze z XLab zaobserwowali, że w kampanii wykorzystywane są różne rodzaje payloadów, w tym ładowarki DLL, droppery JavaScript oraz plik wykonywalny o nazwie UtilifySetup.exe, oparty na frameworku Electron. Oznacza to, że ofiary mogą stracić kontrolę nad swoim komputerem, a atakujący mogą kraść dane, instalować dodatkowe złośliwe oprogramowanie lub wykorzystywać maszynę do dalszych ataków.

Wśród skompromitowanych stron znalazły się portale uniwersytetów Harvard, Oxford i Auburn, a także wyszukiwarka DuckDuckGo. To pokazuje, że kampania ma szeroki zasięg i dotyka zarówno instytucje edukacyjne, jak i popularne serwisy internetowe. Badacze podkreślają, że atakujący wielokrotnie reinfekowali te same domeny różnymi skryptami, a w niektórych przypadkach jedna grupa usuwała skrypt konkurencji, by wstrzyknąć własny.

Co powinni zrobić administratorzy?

Najważniejszym krokiem jest natychmiastowa aktualizacja Ghost CMS do wersji 6.19.1 lub nowszej. Po aktualizacji należy obrócić wszystkie klucze API, ponieważ mogły zostać przechwycone przez atakujących. Badacze zalecają również dokładne przejrzenie stron pod kątem wstrzykniętych skryptów – lista wskaźników kompromitacji (IoC) została opublikowana przez XLab.

Administratorzy powinni także wdrożyć praktykę przechowywania dzienników wywołań API administratora przez co najmniej 30 dni, co umożliwi retrospektywne dochodzenie w przypadku wykrycia włamania. Warto również rozważyć wdrożenie zapory aplikacyjnej (WAF) oraz regularne skanowanie stron w poszukiwaniu podatności.

Ograniczenia informacji

Należy zaznaczyć, że raport XLab opiera się na obserwacjach kampanii, która wciąż trwa. Nie wiadomo, jaka jest dokładna liczba ofiar ani jakie grupy stoją za atakami. Badacze wskazują na co najmniej dwa odrębne klastry aktywności, co sugeruje, że w kampanię zaangażowanych jest wielu aktorów. Ponadto, choć luka została załatana w lutym, wiele stron wciąż pozostaje podatnych, co oznacza, że skala problemu może być większa niż obecnie szacowana.

Dla zwykłych użytkowników najważniejsze jest zachowanie ostrożności: nie należy klikać w podejrzane komunikaty ani wklejać komend do wiersza poleceń na żądanie stron internetowych. Jeśli strona prosi o wykonanie nietypowych czynności, lepiej ją opuścić i zweryfikować jej autentyczność w inny sposób. Administratorzy powinni działać szybko – każdy dzień zwłoki zwiększa ryzyko przejęcia strony i naruszenia danych odwiedzających.

#bezpieczeństwo stron #ClickFix #CVE-2026-26980 #Ghost CMS #SQL injection #WordPress
Redakcja sekuret.pl

Redakcja sekuret.pl

AUTHOR
All articles

Read next

Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. A photorealistic close-up of a middle-aged woman sitting at a home desk in a Polish apartment, looking worried while staring at a laptop screen. Soft natural daylight from a window, slight film grain, shallow depth of field. The image conveys tension and personal risk, not a generic tech illustration. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Luki i patche

5 milionów haseł w minutę. Czy twoje hasło jest bezpieczne?

28 lipca, 2026 4 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. A photorealistic stock-style photo of a person in a home office, looking concerned at a laptop screen. The laptop screen is deliberately blurred, but the user's hand hovers over the keyboard. The background shows a messy desk with a coffee mug and a plant. Natural daylight, shallow depth of field, slightly grainy, 16:9 crop. No text or visible interface. The mood is tense, as if the person just realized something is wrong. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Luki i patche

Jeden link wystarczył, by przejąć agenta AI w firmie. Nowa luka w ChatGPT

25 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. A photorealistic medium shot of a person in a dimly lit server room, standing in front of a rack of servers, looking at the equipment with a worried expression, dramatic lighting, shallow depth of field, 16:9 aspect ratio, high contrast, no text or logos visible, style of Getty Images reportage photography. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Luki i patche

Redis ma krytyczne luki zero-day. Co to oznacza dla twoich danych?

24 lipca, 2026 3 min read