CẢNH BÁO KHẨN CẤP

Lỗ hổng Ghost CMS CVE-2026-26980 bị khai thác: Hơn 700 website bị tấn công ClickFix

Các chuyên gia bảo mật vừa phát hiện một chiến dịch tấn công quy mô lớn nhắm vào các website sử dụng Ghost CMS. Bằng cách khai thác lỗ hổng SQL Injection CVE-2026-26980, tin tặc đã chiếm quyền điều khiển của hơn 700 trang web thuộc nhiều lĩnh vực từ giáo dục đến tài chính để phát tán mã độc ClickFix.

Cơ chế tấn công nguy hiểm

Lỗ hổng CVE-2026-26980 (điểm CVSS 9.4) cho phép kẻ tấn công chưa xác thực truy cập trái phép vào cơ sở dữ liệu và lấy được Admin API Key. Với chìa khóa này, tin tặc có thể chỉnh sửa hàng loạt bài viết và chèn các đoạn mã JavaScript độc hại (loaders) vào cuối trang nhằm phục vụ chiến dịch ClickFix.

Mục tiêu: Hơn 700 website (Đại học, Fintech, SaaS, AI...)

Kỹ thuật: ClickFix (Giả mạo CAPTCHA để lừa thực thi lệnh độc hại)

Loại lỗ hổng: SQL Injection trong Content API của Ghost

Hậu quả: Chiếm quyền trình duyệt, cài mã độc, đánh cắp thông tin

Cách thức ClickFix vận hành

Người dùng khi truy cập các trang web bị nhiễm sẽ thấy một trang kiểm tra CAPTCHA giả mạo. Để xác minh 'là người', trang web yêu cầu người dùng sao chép và dán một đoạn mã Base64 vào hộp thoại Windows Run. Hành động này sẽ thực thi lệnh PowerShell để tải xuống và cài đặt mã độc vào máy tính nạn nhân.

HÀNH ĐỘNG KHẨN CẤP CHO QUẢN TRỊ VIÊN

Cập nhật Ghost CMS lên phiên bản 6.19.1 hoặc mới nhất ngay lập tức.
Thay đổi (rotate) toàn bộ thông tin đăng nhập và Admin API Keys.
Rà soát lại toàn bộ nội dung bài viết để loại bỏ các đoạn mã JavaScript lạ.
Kiểm tra nhật ký truy cập (access logs) để tìm kiếm các dấu hiệu xâm nhập bất thường.
Thông báo cho người dùng đã truy cập website trong thời gian bị nhiễm mã độc.

Nguồn tham khảo: The Hacker News / QiAnXin XLab

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS