LONDON (IT BOLTWISE) – Eine groß angelegte ClickFix-Kampagne missbraucht eine kritische SQL-Injection im Ghost CMS (CVE-2026-26980), um Admin-API-Keys zu stehlen und danach manipuliertes JavaScript in Artikel-Seiten einzuschleusen. Laut XLab und Qianxin waren mehr als 700 Domains betroffen, darunter Portale von Hochschulen, Medien und Finanz-Umfelder. Besonders heikel ist, dass der Angriff nach bereinigten Spuren teils erneut mit veränderten Skripten auf dieselben Seiten zurückkehrt. Für Betreiber ist jetzt vor allem das schnelle Upgrade auf Ghost 6.19.1 plus Rotation aller früher verwendeten Schlüssel entscheidend.
Ghost CMS gerät erneut unter Druck: Eine großskalige Kampagne nutzt eine kritische SQL-Injection in Ghost (CVE-2026-26980), um kompromittierende Skripte in ansonsten legitime Webseiten einzubetten. Der Angriff folgt dabei einem mehrstufigen Muster, das nicht nur Daten aus der Datenbank abzieht, sondern anschließend gezielt Inhalte über die Ghost-Backend-Schnittstellen verändert. Damit wird aus einer reinen Schwachstellen-Ausnutzung ein Content- und Vertrauensangriff, der Besucher in eine Phishing- bzw. Social-Engineering-Logik führt. Für Unternehmen und Institutionen bedeutet das: Die Sicherheitslage lässt sich hier nicht allein mit „Patch installiert“ abschätzen, weil die Schlüsselabflüsse auch nach dem Update weiterwirken können.
Aus technischer Sicht ist der Kern der Meldung die SQL-Injection, die von Ghost-Versionen zwischen 3.24.0 und 6.19.0 getroffen wird. Laut den Forschern ermöglicht die Schwachstelle ungeauthentifizierten Angreifern das Auslesen beliebiger Daten aus der Website-Datenbank, einschließlich Admin-API-Keys. Genau diese Schlüssel sind im Ghost-Ökosystem ein mächtiger Hebel: Sie gewähren Managementzugriff auf Nutzer, Artikel und Themes und erlauben damit im praktischen Betrieb das Umschreiben der veröffentlichten Inhalte. Das erklärt, warum betroffene Portale auch nach einer ersten Bereinigung erneut kompromittiert erscheinen können, wenn Angreifer noch über verwertbare Credentials verfügen.
Der Zeitplan macht das Risiko zusätzlich plausibel. Der Fix wurde am 19. Februar in Ghost 6.19.1 veröffentlicht. Trotzdem berichten die Sicherheitsforscher, dass viele Betreiber das Sicherheitsupdate nicht oder nicht vollständig nachgezogen haben. In der Praxis sieht man bei CMS- und Publishing-Plattformen häufig ein „Long Tail“-Problem: Updates greifen zwar für neue Deployments, bleiben aber bei gemanagten Installationen, Infrastrukturen mit geringer Wartungsfrequenz oder bei extern gehosteten Instanzen aus. Das ist nicht nur ein Patch-Thema, sondern auch ein Prozessproblem, weil Credential-Rotation und forensische Prüfung oft erst nach einem Incident klar priorisiert werden.
Die in der Analyse beschriebenen Kampagnenabläufe wirken wie ein System aus mehreren Containern: Zuerst wird die Schwachstelle verwendet, um Admin-API-Keys zu stehlen, anschließend wird mit den erhöhten Rechten manipuliertes JavaScript in Artikel injiziert. Dieses JavaScript übernimmt zunächst die Rolle eines leichten Loaders und zieht Code aus der Infrastruktur der Angreifer nach. Der nächste Schritt ist eine Art Verkleidung durch Erkennung: Der Loader „fingerprintet“ Besucher, um Zielkriterien zu prüfen, und schaltet nur dann die eigentliche Falle frei. Wer „qualifiziert“ wird, bekommt eine gefälschte Cloudflare-Eingabeaufforderung, die über ein iframe auf die Artikelseite überlagert wird – eine klassische Mischung aus UI-Authentizitätsgefühl und technischer Umgehung.
Im Kern bewegt sich der Angriff damit an der Schnittstelle zwischen Drive-by-Webattacke und Betriebssystem-Outcome. Das injizierte Prompt verlangt von Opfern, per Windows-Befehl den eigenen Status zu „verifizieren“. Damit wird ein Payload auf dem System abgelegt, wobei XLab mehrere Varianten beobachtete: darunter DLL-Loader, JavaScript-Droppers sowie ein Electron-basiertes Schadprogramm namens UtilifySetup.exe. Für die Security-Praxis ist entscheidend, dass diese Stufe nicht „nur“ Browserdaten entwendet, sondern die Wahrscheinlichkeit erhöht, dass Endpunkte mitgeliefert kompromittiert werden. Der Angriff ist folglich ein Pipeline-Problem: Erst Schwachstelle, dann Credential-Abfluss, dann Content-Manipulation, schließlich Endpoint-Payload.
Für die Einordnung in den Markt lohnt der Blick auf bekannte CMS-Risiken und bekannte Gegenmaßnahmen: In der letzten Dekade haben WordPress-, Drupal- und Joomla-Ökosysteme wiederholt gezeigt, wie selbst einzelne Input-Validierungsfehler in Verbindung mit privilegierten Schnittstellen zu Content-Takeovers führen können. Ghost unterscheidet sich zwar in Architektur und Betrieb, ist aber als Publishing-Plattform ähnlich anfällig für die Kombination aus „Backend-Integration“ und „Frontend-Templates“. Dass der Angriff eine ClickFix-Logik nutzt, erinnert außerdem an Kampagnen, die sich von „Reparierbaren“ auf „Persistente“ wechseln: Wenn ein Angreifer Credential-Zugriff hat, kann er die Ausspielung nach Bereinigungen erneut anstoßen. Genau darauf verweisen die Beobachtungen der Forscher: Manchmal infizieren Angreifer denselben Domainnamen mit anderen Skripten, manchmal entfernt ein Skript Spuren des vorherigen, um dann selbst nachzuladen.
SentinelOne beschreibt die Ausnutzung in diesem Zusammenhang als besonders gefährlich, weil sich der Angriff nicht auf einen einmaligen Deface reduziert, sondern eine Wiederholbarkeit besitzt. In einer zusammenfassenden Einordnung heißt es sinngemäß, dass CVEs dieser Art nicht nur „eingeschleuste Dateien“ hinterlassen, sondern ein Incident-Design schaffen, bei dem Logs, Schlüsselrotation und Blockierung konkreter Pfade gemeinsam gedacht werden müssen. Für Betreiber bedeutet das: Wer nur das Patch-Level anhebt, ohne alle zuvor genutzten Admin-API-Keys zu rotieren, verlängert die Angriffslebensdauer. In der praktischen SOC-Arbeit führt diese Sichtweise auch zu einer anderen Priorisierung von Detection-Rules: Auffällige Ghost-API-Calls und ungewöhnliche Script-Injection-Zeitfenster sollten stärker gewichtet werden als rein statische Dateiintegritätschecks.
Ein zentraler Punkt der Abwehrstrategie lautet deshalb: Upgrade auf Ghost 6.19.1 oder neuer und Rotation sämtlicher Admin-API-Keys, die vor dem Fix im Einsatz waren. Zusätzlich empfehlen die Forscher eine gründliche Website-Überprüfung anhand bereitgestellter Indikatoren für Kompromittierung (IoCs), weil die injizierten Skripte als „Beifracht“ zur ursprünglichen SQL-Injection dienen. Dabei ist die Zeitachse entscheidend: Wenn Keys bereits abgezogen wurden, können Angreifer Inhalte später erneut umstellen, auch wenn die anfällige Ghost-Instanz zwischenzeitlich gepatcht wurde. Ergänzend dazu raten die Analysten, für eine belastbare Retrospektive 30 Tage lang Aufzeichnungen der Admin-API-Call-Logs vorzuhalten, um Muster, Zeitpunkte und betroffene Endpunkte nachvollziehen zu können.
Aus regulatorischer und datenschutzrechtlicher Perspektive ist das ebenfalls nicht trivial. Selbst wenn die eigentliche Schwachstelle primär technische Zugriffe betrifft, können im weiteren Verlauf personenbezogene Daten betroffen sein – etwa wenn über die Ghost-Backend-Schnittstellen Inhalte, Formulare oder Nutzerbezüge verändert werden oder wenn Besucher durch die ClickFix-Prompt-Interaktion weiter in Richtung schädlicher Payloads gelenkt werden. In diesem Szenario sollten Unternehmen insbesondere dokumentieren, wann gepatcht wurde, welche Keys betroffen waren, ob es Anzeichen für unautorisierte Änderungen an Themes und Artikeln gab und welche Forensikschritte erfolgt sind. Je nach Rechtsraum kann das den Prozess rund um Meldungen, Aufsichtsbehörden und interne Risikoabschätzung beeinflussen.
Für die Zukunft ergibt sich ein klarer, auch strategischer Handlungsimpuls: Automatisiertes Pentesting liefert zwar wertvolle Hinweise, adressiert aber häufig nicht die eigentliche Frage „Blocken eure Controls zuverlässig?“ Der praktische Mehrwert liegt darin, die Validierung auf konkrete Angriffsflächen zu verlagern – inklusive Prüfung, ob Logik, Detection und Cloud-/Edge-Konfigurationen wirklich verhindern, dass gestohlene Credentials zu persistenter Content-Manipulation führen. Als Folge dieser Kampagne dürften viele Teams ihre Update- und Credential-Policies verschärfen: Regelmäßige, nachweisbare CMS-Patching-Fenster, definierte Key-Lifecycle-Prozesse und gezielte Telemetrie für Admin-API-Interaktionen werden zu einem Wettbewerbsvorteil. Betreiber sollten außerdem davon ausgehen, dass Angreifer nach Bereinigung zurückkehren; deshalb muss das Monitoring über die reine Patch-Frist hinausreichen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Ghost-CMS-SQL-Injection: ClickFix-Kampagne kompromittiert über 700 Domains" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Ghost-CMS-SQL-Injection: ClickFix-Kampagne kompromittiert über 700 Domains" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Ghost-CMS-SQL-Injection: ClickFix-Kampagne kompromittiert über 700 Domains« bei Google Deutschland suchen, bei Bing oder Google News!