Una campagna su larga scala sta sfruttando la vulnerabilità critica CVE-2026-26980 — una SQL injection nella Content API di Ghost CMS — per compromettere siti web e trasformarli in vettori di attacco ClickFix. La falla, con un punteggio CVSS di 9.4, colpisce tutte le versioni di Ghost dalla 3.24.0 alla 6.19.0 e consente a un attaccante non autenticato di leggere dati arbitrari dal database, inclusa la chiave API amministrativa, ottenendo così il controllo completo del sito.
I ricercatori di QiAnXin XLab hanno rilevato la compromissione di oltre 700 siti web appartenenti a università, aziende AI, media, fintech e blog personali — tra cui i portali di Harvard University, Oxford University, Auburn University e DuckDuckGo. Gli attaccanti iniettano un loader JavaScript malevolo in fondo agli articoli pubblicati: il codice scarica un payload di secondo stadio che mostra ai visitatori un falso CAPTCHA Cloudflare, inducendoli a eseguire un comando nel prompt di Windows che installa malware come DLL loader, JavaScript dropper e un campione denominato UtilifySetup.exe.
La patch è disponibile dalla versione 6.19.1, rilasciata a febbraio 2026, ma la maggior parte dei siti colpiti non era stata aggiornata. Almeno due distinti gruppi criminali sono stati identificati dietro la campagna, in alcuni casi capaci di compromettere un sito intero nell’arco di una sola giornata.
Fonte: BleepingComputer / The Hacker News / SecurityWeek – (https://www.bleepingcomputer.com/news/security/ghost-cms-sql-injection-flaw-exploited-in-large-scale-clickfix-campaign/)
