Al menos dos grupos de atacantes han explotado una falla crítica de inyección SQL en Ghost CMS (identificada como CVE-2026-26980) para infectar silenciosamente más de 700 sitios web con el malware ClickFix, poniendo en grave riesgo a los visitantes. A pesar de que la vulnerabilidad fue revelada el 19 de febrero de 2026, muchos administradores no aplicaron las correcciones necesarias.

Un fallo crítico de inyección SQL en Ghost CMS ha sido aprovechado por al menos dos grupos de actores de amenazas para envenenar silenciosamente más de 700 sitios web con el malware ClickFix, poniendo en grave riesgo a los visitantes desprevenidos.

La vulnerabilidad, identificada como CVE-2026-26980, fue revelada públicamente ya el 19 de febrero de 2026. A pesar de esto, muchos administradores de Ghost CMS no aplicaron el parche disponible a tiempo.

Los atacantes no perdieron tiempo: escanearon instalaciones sin parchear, robaron claves de la API de administrador y modificaron masivamente el contenido de los artículos para servir cargadores de JavaScript maliciosos a cualquier persona que visitara esos sitios.

Investigadores de Qianxin XLab detectaron por primera vez la actividad de envenenamiento el 7 de mayo de 2026, mientras investigaban una vulneración en uno de sus clientes críticos.

Qianxin señaló en un informe que lo que inicialmente parecía ser una intrusión dirigida resultó ser una campaña automatizada y amplia que afectaba a instalaciones de Ghost CMS en todo el mundo.

La cadena de ataque se describió como sistemática, abarcando la toma de control del CMS, el envenenamiento de páginas, la carga de payloads en dos etapas, ingeniería social y la entrega final del malware.

El alcance del daño se expandió rápidamente. Para el 10 de mayo, los investigadores habían confirmado 156 dominios envenenados.

Una semana después, esa cifra se había disparado a más de 700, incluyendo sitios web operados por la Universidad de Harvard, la Universidad de Oxford y la Universidad de Auburn. Los sitios afectados abarcan docenas de industrias, incluyendo blockchain, IA, medios, fintech e investigación de seguridad.

Lo que hace que esta campaña sea particularmente peligrosa es el nivel de confianza que los usuarios depositan en sitios web conocidos. Los visitantes de los sitios de Ghost comprometidos no tenían señales de advertencia visibles.

Los artículos envenenados parecían completamente normales, con el código malicioso incrustado silenciosamente al final de cada página, esperando activarse cuando el lector se desplazara hacia abajo.

Explotan Ghost CMS CVE-2026-26980

La vulnerabilidad central de esta campaña es un fallo de inyección SQL de alto riesgo en Ghost CMS que permite a atacantes no autenticados leer directamente de la base de datos, incluyendo la clave de la API de Administrador.

Con esa clave en mano, los atacantes podían llamar a la API de administración de Ghost para reescribir artículos a gran escala de forma silenciosa, sin necesidad de tocar el panel de administración o el servidor directamente.

Una vez plantado el cargador de JavaScript malicioso, el ataque se desarrollaba en cuatro etapas. La etapa uno desplegaba el cargador al final de los artículos. La etapa dos redirigía a los visitantes reales a través de un script de "cloaking" que filtraba a los investigadores de seguridad y a los bots.

La etapa tres presentaba una página de verificación de Cloudflare falsa y convincente, engañando a los usuarios para que presionaran WIN+R, pegaran un comando y pulsaran Enter. La etapa cuatro entregaba y ejecutaba silenciosamente un payload de robo de datos en la máquina de la víctima.

Ingeniería Social de ClickFix y Entrega de Payloads

La página de verificación falsa es lo que hace que esta campaña sea tan efectiva contra los usuarios comunes. Imita la interfaz de CAPTCHA de Cloudflare ampliamente reconocida, hasta en el estilo visual y la redacción.

Cuando los usuarios hacen clic para verificar, copian sin saberlo un comando malicioso en su portapapeles y lo ejecutan ellos mismos, todo mientras creen que simplemente están demostrando que son humanos.

Los payloads evolucionaron a medida que la campaña progresaba. Las primeras versiones descargaban una DLL llamada installer.dll a través de un CDN público y la lanzaban silenciosamente usando rundll32.

Para el 16 de mayo, los atacantes habían actualizado a un troyano de robo de datos con detección cero llamado UtilifySetup.exe, que utilizaba un marco basado en Electron para establecer persistencia y contactar con un servidor de comando y control cada 30 segundos.

También se encontró a un segundo grupo de actores de amenazas ejecutando una campaña paralela a través de un cargador entregado mediante NotepadPlusPlus.zip.

Qianxin XLab recomienda encarecidamente que todos los administradores de Ghost CMS actualicen inmediatamente a la versión parcheada que resuelve el CVE-2026-26980.

Además de actualizar, los propietarios de los sitios deben rotar todas las credenciales, incluidas las claves de la API de administrador y las contraseñas de administrador, auditar los registros de acceso en busca de solicitudes PUT masivas inusuales y escanear el contenido de los artículos en busca de huellas como ghost_once_footer_ o atob( combinado con appendChild.

Los visitantes que hayan podido acceder a cualquier sitio de Ghost afectado durante la ventana de contaminación deben realizar un chequeo de seguridad local completo en sus dispositivos.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios han sido desactivados intencionadamente (ej. [.]) para evitar la resolución accidental o los hipervínculos. Actívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.