Cve-2026-26980

Recentemente, um grave problema de segurança foi identificado no Ghost CMS, uma plataforma popular de gerenciamento de conteúdo. A vulnerabilidade, classificada como CVE-2026-26980, apresenta uma pontuação de 9.4 no CVSS e permite que atacantes não autenticados realizem injeções SQL, acessando dados arbitrários do banco de dados. Essa falha foi corrigida na versão 6.19.1, lançada em fevereiro de 2026, após ser descoberta pela Anthropic.

Os atacantes estão utilizando essa vulnerabilidade para obter a chave da API de administração do site, o que lhes permite injetar código JavaScript malicioso em artigos, facilitando ataques de ClickFix. Desde sua detecção em 7 de maio de 2026, mais de 700 sites foram comprometidos, incluindo instituições de ensino, empresas de tecnologia e fintechs. O código injetado atua como um carregador de dois estágios, que busca um payload malicioso de um domínio externo, permitindo que os atacantes adaptem suas ações conforme necessário.

Uma campanha em larga escala está explorando uma vulnerabilidade crítica de injeção SQL (CVE-2026-26980) no Ghost CMS, permitindo que atacantes injetem código JavaScript malicioso em mais de 700 domínios, incluindo portais universitários e empresas de tecnologia. A vulnerabilidade afeta as versões do Ghost CMS entre 3.24.0 e 6.19.0, permitindo que invasores não autenticados leiam dados arbitrários do banco de dados do site, incluindo chaves da API de administração. O código malicioso injetado é um carregador leve que busca scripts adicionais da infraestrutura do atacante, levando a um ataque ClickFix que engana os visitantes a executarem comandos prejudiciais em seus sistemas. Embora um patch tenha sido disponibilizado em 19 de fevereiro de 2023, muitos sites ainda não o aplicaram, expondo-se a riscos significativos. Os administradores de sites são aconselhados a atualizar para a versão 6.19.1 ou superior e a revisar minuciosamente seus sistemas em busca de scripts injetados.