Przejdź do treści
Luki i patche

Ponad 700 stron Ghost CMS zainfekowanych fałszywą Captchą. Sprawdź, czy Twoja witryna jest bezpieczna

Atakujący wykorzystują niezałataną podatność SQL injection w Ghost CMS do kradzieży kluczy API i masowego wstrzykiwania złośliwego kodu. Kampania ClickFix dotknęła już setki domen, w tym polskie strony. Sprawdź, jak się chronić.

3 min read
An abstract composition of a glowing, transparent shield partially covering a cluster of interconnected server towers, with faint red threads weaving through the gaps in the shield, symbolizing a vulnerability being exploited despite protection.

Badacze z XLab wykryli szeroko zakrojoną kampanię wymierzoną w strony oparte na systemie zarządzania treścią Ghost CMS. Atakujący wykorzystali podatność SQL injection oznaczoną jako CVE-2026-26980 do kradzieży kluczy API administratora, a następnie masowo modyfikowali treści artykułów, wstrzykując złośliwy kod JavaScript. Łącznie zainfekowano ponad 700 domen, w tym strony uniwersytetów, firm SaaS, instytucji fintech i mediów. Osoby zarządzające witrynami opartymi na Ghost powinny niezwłocznie sprawdzić, czy ich instalacja jest aktualna.

Jak działa atak i kogo dotyczy

Podatność CVE-2026-26980 została publicznie ujawniona 19 lutego 2026 roku. Mimo to wiele stron nie doczekało się łatki, co stworzyło okazję dla cyberprzestępców. Atakujący wykorzystują lukę SQL injection do odczytania bazy danych i przechwycenia Admin API Key – klucza o pełnych uprawnieniach administracyjnych. Ghost CMS operuje dwoma typami kluczy: Content API Key (tylko do odczytu, używany przez frontend) oraz Admin API Key (umożliwiający modyfikację artykułów, motywów i użytkowników).

Google · preferowane źródłaCzytaj nas częściej. Dodaj sekuret.pl do preferowanych źródeł w Google →

Po uzyskaniu dostępu atakujący modyfikują treść artykułów poprzez API, wstawiając na dole strony złośliwy kod JavaScript. Jak opisują badacze, jest to dwuetapowy loader: pierwszy etap zapisywany jest w bazie danych Ghost, a właściwy payload pobierany jest z serwera C2. Dzięki temu przestępcy mogą zmieniać scenariusz ataku bez konieczności ponownego przejmowania strony.

ClickFix i fałszywa Captcha – jak wygląda atak na użytkownika

Z perspektywy odwiedzającego zainfekowaną stronę atak przybiera formę znanej metody socjotechnicznej ClickFix. Użytkownik widzi fałszywą stronę weryfikacji podszywającą się pod Cloudflare. Po kliknięciu przycisku „Verify” strona wykonuje trzy kroki:

  • pobiera archiwum ZIP z serwera C2,
  • kopiuje polecenie do schowka użytkownika,
  • nakłania ofiarę do wklejenia go w oknie uruchamiania systemu Windows.

Polecenie przenosi plik do katalogu tymczasowego, rozpakowuje go i uruchamia w tle złośliwy plik update.bat. Całość uzupełniona jest fałszywym kodem weryfikacyjnym reCAPTCHA, który ma uśpić czujność ofiary. W kolejnych etapach ataku malware może uzyskać trwałość w systemie, wykorzystując API Electrona do ustawienia automatycznego uruchamiania, a następnie co 30 sekund wysyłać żądania do serwera C2 w oczekiwaniu na dalsze instrukcje.

Jak sprawdzić, czy Twoja strona została zainfekowana

Administratorzy Ghost CMS powinni niezwłocznie zweryfikować stan swoich instalacji. Oto kluczowe sygnały ostrzegawcze:

  • w treści artykułów pojawiły się fragmenty kodu zawierające sj.ssc/ipa/ lub ghost_once_footer_,
  • w kodzie strony występują jednocześnie funkcje atob( i appendChild,
  • w logach backendu widoczne są nietypowe żądania PUT do /ghost/api/admin/posts/:id/ z nieznanych adresów IP,
  • w plikach motywów lub konfiguracji pojawiły się dodatkowe tagi <script>.

W przypadku potwierdzenia infekcji należy natychmiast zrotować wszystkie poświadczenia: Admin API Key, Content API Key, hasło administratora oraz unieważnić aktywne sesje. Konieczne jest także usunięcie złośliwej zawartości z artykułów.

Jak się zabezpieczyć przed atakiem

Podstawowym działaniem ochronnym jest aktualizacja Ghost CMS do najnowszej dostępnej wersji. Producent udostępnił poprawkę usuwającą podatność CVE-2026-26980. Warto także rozważyć dodatkowe środki ostrożności:

  • regularne przeglądanie logów backendu pod kątem nieautoryzowanych żądań API,
  • ograniczenie dostępu do panelu administracyjnego do zaufanych adresów IP,
  • wdrożenie mechanizmów monitorowania integralności treści,
  • blokowanie okna Windows Run w organizacjach – jak zauważają eksperci, „zazwyczaj nie jest to niezbędne narzędzie, a stanowi łatwą metodę na pobranie i uruchomienie złośliwego oprogramowania”.

Dla zwykłych użytkowników kluczowa jest świadomość zagrożenia. Jak podkreślają badacze z XLab, nie należy wklejać jakichkolwiek treści w oknie uruchamiania, wierszu poleceń ani konsoli przeglądarki, jeśli zostajemy o to poproszeni przez stronę internetową.

Kampania ClickFix to kolejny przykład, jak niezałatane podatności w popularnych systemach CMS mogą prowadzić do masowych infekcji. Warto śledzić komunikaty producentów i regularnie aktualizować oprogramowanie, zanim zrobią to za nas cyberprzestępcy.

#bezpieczeństwo stron WWW #ClickFix #CVE-2026-26980 #Ghost CMS #kampania phishingowa #SQL injection
Redakcja sekuret.pl

Redakcja sekuret.pl

AUTHOR
All articles

Read next

Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. A photorealistic close-up of a middle-aged woman sitting at a home desk in a Polish apartment, looking worried while staring at a laptop screen. Soft natural daylight from a window, slight film grain, shallow depth of field. The image conveys tension and personal risk, not a generic tech illustration. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Luki i patche

5 milionów haseł w minutę. Czy twoje hasło jest bezpieczne?

28 lipca, 2026 4 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. A photorealistic stock-style photo of a person in a home office, looking concerned at a laptop screen. The laptop screen is deliberately blurred, but the user's hand hovers over the keyboard. The background shows a messy desk with a coffee mug and a plant. Natural daylight, shallow depth of field, slightly grainy, 16:9 crop. No text or visible interface. The mood is tense, as if the person just realized something is wrong. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Luki i patche

Jeden link wystarczył, by przejąć agenta AI w firmie. Nowa luka w ChatGPT

25 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. A photorealistic medium shot of a person in a dimly lit server room, standing in front of a rack of servers, looking at the equipment with a worried expression, dramatic lighting, shallow depth of field, 16:9 aspect ratio, high contrast, no text or logos visible, style of Getty Images reportage photography. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Luki i patche

Redis ma krytyczne luki zero-day. Co to oznacza dla twoich danych?

24 lipca, 2026 3 min read