CẢNH BÁO BẢO MẬT

Lỗ hổng Ghost CMS CVE-2026-26980 bị khai thác để chiếm quyền hơn 700 website

Các chuyên gia bảo mật vừa phát hiện một chiến dịch tấn công quy mô lớn nhắm vào Ghost CMS. Tin tặc đã khai thác lỗ hổng CVE-2026-26980 (SQL Injection) để chiếm quyền điều khiển và thực hiện tấn công ClickFix, lừa đảo người dùng thực thi mã độc thông qua các trang CAPTCHA giả mạo trên hơn 700 trang web.

Chi tiết về lỗ hổng và phương thức tấn công

Lỗ hổng CVE-2026-26980 có điểm CVSS 9.4, nằm trong Content API của Ghost CMS. Lỗ hổng này cho phép kẻ tấn công chưa xác thực có thể đọc dữ liệu nhạy cảm từ cơ sở dữ liệu, bao gồm cả Admin API Key mà không cần quyền hạn. Khi có được khóa này, tin tặc có thể chỉnh sửa hàng loạt bài viết và chèn mã JavaScript độc hại.

Mã CVE:
CVE-2026-26980

Điểm CVSS:
9.4 (Nghiêm trọng)

Mục tiêu:
Hơn 700 website

Loại tấn công:
ClickFix (Fake CAPTCHA)

Kỹ thuật ClickFix nguy hiểm

Kẻ tấn công sử dụng các đoạn mã JavaScript loader để hiển thị một trang xác minh CAPTCHA giả mạo. Người dùng bị đánh lừa để sao chép một lệnh Base64 và dán vào hộp thoại Windows Run. Hành động này sẽ kích hoạt lệnh PowerShell để tải xuống và thực thi các tệp DLL hoặc tập lệnh độc hại, từ đó cài đặt phần mềm gián điệp hoặc chiếm quyền điều khiển máy tính hoàn toàn.

HÀNH ĐỘNG KHẨN CẤP CHO QUẢN TRỊ VIÊN

Nâng cấp ngay lập tức: Cập nhật Ghost CMS lên phiên bản 6.19.1 hoặc mới nhất để vá lỗi.
Thu hồi khóa API: Thay đổi toàn bộ Admin API Key và thông tin đăng nhập của hệ thống.
Rà soát nội dung: Kiểm tra lại toàn bộ các bài viết đã xuất bản để loại bỏ các đoạn mã JavaScript lạ.
Kiểm tra hệ thống: Audit lại access logs để phát hiện các truy cập trái phép từ các địa chỉ IP lạ.

Nguồn tham khảo: The Hacker News

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Lỗ hổng Ghost CMS CVE-2026-26980 bị khai thác để tấn công ClickFix trên 700 website