- A falha do Ghost CMS permitia acesso administrativo completo aos sites
- O ataque transforma artigos legítimos em armadilhas invisíveis
- O golpe utiliza falso CAPTCHA da Cloudflare para enganar vítimas
- Os payloads distribuídos vão muito além de scripts simples
- O mais preocupante é que o patch já existia há meses
- Ghost CMS entra na crescente lista de plataformas exploradas por campanhas ClickFix
- Administradores precisam agir imediatamente
- O caso mostra como CMS modernos viraram alvo prioritário dos cibercriminosos
Uma vulnerabilidade crítica no Ghost CMS está sendo explorada em larga escala por cibercriminosos para sequestrar sites e espalhar campanhas maliciosas do tipo ClickFix. O problema, identificado como CVE-2026-26980, abriu as portas para uma onda de ataques que já comprometeu mais de 700 domínios ao redor do mundo, incluindo universidades, empresas de tecnologia, fintechs, portais de mídia e até sites ligados ao setor de segurança digital.
Entre os nomes atingidos aparecem instituições gigantescas como Harvard University, Oxford University, Auburn University e até o buscador focado em privacidade DuckDuckGo. O cenário mostra como uma única falha crítica pode rapidamente se transformar em um efeito cascata devastador quando administradores demoram para atualizar seus sistemas.
A falha do Ghost CMS permitia acesso administrativo completo aos sites
A vulnerabilidade afeta versões do Ghost CMS entre a 3.24.0 e a 6.19.0. O problema é uma falha de SQL Injection que permite que invasores não autenticados acessem dados arbitrários diretamente do banco de dados do site.
E aqui está o verdadeiro perigo.
Entre as informações expostas estavam as Admin API Keys, chaves administrativas extremamente sensíveis que garantem acesso praticamente total ao gerenciamento da plataforma. Com essas credenciais em mãos, os invasores conseguem modificar artigos, usuários, temas e praticamente qualquer elemento do CMS.
Na prática, os criminosos não precisavam derrubar os sites. Eles transformavam os próprios portais comprometidos em vetores silenciosos de infecção.
O ataque transforma artigos legítimos em armadilhas invisíveis
Segundo pesquisadores da XLab, divisão de inteligência da empresa chinesa Qianxin, o ataque segue uma cadeia extremamente sofisticada.
Primeiro, os invasores exploram a falha CVE-2026-26980 para roubar as chaves administrativas do Ghost CMS. Em seguida, utilizam esse acesso privilegiado para injetar códigos JavaScript maliciosos diretamente nos artigos publicados.
O mais perigoso é que o script inicial é extremamente leve e discreto.
Ele funciona apenas como um carregador silencioso que busca um segundo estágio hospedado na infraestrutura dos criminosos. Esse segundo estágio realiza fingerprinting dos visitantes, analisando informações do navegador, sistema operacional e comportamento do usuário para decidir se ele é um alvo interessante.
Somente após essa validação o ataque realmente começa.
O golpe utiliza falso CAPTCHA da Cloudflare para enganar vítimas
Quando o visitante é considerado um alvo viável, o site comprometido passa a exibir um falso prompt da Cloudflare carregado via iframe sobre a página legítima.
É aí que entra o chamado ClickFix.
Esse tipo de ataque explora engenharia social avançada para convencer usuários de que precisam executar ações “necessárias” para acessar o conteúdo. No caso observado pelos pesquisadores, as vítimas eram instruídas a “confirmar que são humanas” copiando e colando comandos diretamente no Prompt de Comando do Windows.
Ou seja, os próprios usuários acabavam executando manualmente o malware dentro de suas máquinas.
E isso torna o golpe extremamente perigoso.
Como a ação é iniciada pelo próprio usuário, muitas soluções tradicionais de segurança têm mais dificuldade para identificar o comportamento como claramente malicioso.
Os payloads distribuídos vão muito além de scripts simples
Os pesquisadores identificaram diversos tipos diferentes de cargas maliciosas sendo distribuídas através da campanha.
Entre elas estão:
DLL loaders, responsáveis por carregar componentes maliciosos adicionais diretamente na memória do sistema;
JavaScript droppers, usados para baixar novos malwares silenciosamente;
e um malware baseado em Electron chamado UtilifySetup.exe.
O uso do Electron chama atenção porque ele permite criar aplicações aparentemente legítimas utilizando tecnologias web. Isso dificulta ainda mais a identificação imediata da ameaça por usuários comuns.
Na prática, os criminosos transformaram sites legítimos e confiáveis em plataformas de distribuição de malware.
O mais preocupante é que o patch já existia há meses
A correção para a vulnerabilidade foi liberada oficialmente pela Ghost Foundation em 19 de fevereiro, através da versão 6.19.1.
Mesmo assim, centenas de sites permaneceram vulneráveis.
E isso expõe um dos maiores problemas modernos da segurança digital: a lentidão na aplicação de atualizações críticas.
Segundo pesquisadores da SentinelOne, ataques explorando essa falha já estavam acontecendo poucos dias após a divulgação pública do problema. Inclusive, diferentes grupos criminosos chegaram a disputar os mesmos sites comprometidos, removendo scripts rivais para instalar seus próprios códigos maliciosos.
Isso mostra que o ecossistema de exploração da falha rapidamente virou uma corrida entre operadores maliciosos.
Ghost CMS entra na crescente lista de plataformas exploradas por campanhas ClickFix
O crescimento dos ataques ClickFix tem chamado atenção da indústria de segurança nos últimos meses.
Diferente de campanhas tradicionais focadas apenas em downloads automáticos, esse modelo aposta fortemente em manipulação psicológica do usuário. O objetivo é fazer a vítima acreditar que está resolvendo um problema legítimo de autenticação, CAPTCHA ou segurança.
E infelizmente, funciona.
Especialmente quando o golpe aparece dentro de sites legítimos e altamente confiáveis, como universidades ou portais conhecidos.
Esse detalhe aumenta drasticamente a taxa de sucesso da campanha.
Administradores precisam agir imediatamente
A principal recomendação para administradores de sites utilizando Ghost CMS é extremamente clara: atualizar imediatamente para a versão 6.19.1 ou superior.
Mas apenas atualizar não basta.
Os pesquisadores alertam que todas as chaves administrativas antigas devem ser rotacionadas imediatamente, já que podem ter sido comprometidas silenciosamente.
Além disso, é necessário realizar uma auditoria completa no site para localizar scripts injetados, alterações suspeitas em artigos e possíveis backdoors deixados pelos invasores.
A XLab também recomenda manter pelo menos 30 dias de logs relacionados às chamadas da API administrativa para permitir investigações retroativas caso atividades maliciosas sejam descobertas posteriormente.
O caso mostra como CMS modernos viraram alvo prioritário dos cibercriminosos
O ataque ao Ghost CMS reforça uma realidade cada vez mais evidente: plataformas modernas de gerenciamento de conteúdo se tornaram alvos extremamente valiosos para grupos maliciosos.
Isso acontece porque comprometer um CMS não significa atacar apenas um servidor.
Significa obter acesso direto a milhares de visitantes legítimos, tráfego confiável e ambientes já validados pelos usuários.
E em campanhas de engenharia social, confiança é uma arma poderosa.
O resultado é um cenário onde falhas aparentemente técnicas rapidamente se transformam em operações massivas de distribuição de malware, espionagem e comprometimento de usuários em escala global.
No caso do Ghost CMS, a vulnerabilidade já deixou claro que até plataformas consideradas modernas e minimalistas estão longe de serem invisíveis para o submundo da cibercriminalidade.
