Campaña de Envenenamiento Masivo de Ghost CMS: Explotación de CVE-2026-26980 para Ataques ClickFix (2026)
Nombres Alternativos / Aliases
- Ghost CMS Supply Chain Poisoning Campaign (Por el vector de ataque)
- CVE-2026-26980 Mass Exploitation (Por la vulnerabilidad)
- ClickFix Ghost Malvertising Campaign (Por la técnica de ingeniería social)
- FakeCaptcha Ghost Attack Wave (Por el señuelo utilizado)
Fecha de Detección / Actividad
- Fecha de Parche de Ghost (CVE-2026-26980): 16 de febrero de 2026 (anuncio de la solución)
- Fecha de Compilación del Código Malicioso: 16 de febrero de 2026 (mismo día del parche)
- Primeros Indicios de Actividad Detectados: Principios de mayo de 2026
- Fecha del Informe de Qianxin: 25 de mayo de 2026
- Fecha de Publicación de CVE (estimada): 19 de febrero de 2026
- Estado: Activo. La campaña continúa; al menos dos grupos compiten por comprometer sitios sin parchear.
Actor de Amenaza (Atribución)
- Nombre del Actor: Desconocido (múltiples grupos). Qianxin identificó al menos dos grupos diferentes operando en paralelo, a veces compitiendo por el mismo sitio web.
- Vínculo Gubernamental: No se ha atribuido a ningún estado. Es una operación de ciberdelincuencia a gran escala.
- Tipo de Actor: Grupos de ciberdelincuencia enfocados en envenenamiento de CMS (supply chain), distribución de malware mediante ingeniería social (ClickFix), y posiblemente campañas de malvertising.
- Sofisticación: Media-Alta. El proceso está altamente automatizado: escaneo masivo de vulnerabilidades → extracción automática de claves API → inyección masiva de código → distribución dinámica de C2. Los atacantes cambiaron de infraestructura múltiples veces y compiten entre sí.
Resumen Ejecutivo
En mayo de 2026, investigadores de Qianxin detectaron una campaña masiva de envenenamiento (poisoning) que explota la vulnerabilidad CVE-2026-26980, una inyección SQL en la API de contenido de Ghost CMS (parcheada por el proveedor el 16 de febrero de 2026). La vulnerabilidad permite a un atacante no autenticado leer datos de la base de datos y, en el peor de los casos, exponer la clave de la API de administrador, lo que otorga control total sobre el sitio comprometido.
Los atacantes escanearon internet en busca de sitios Ghost sin parchear (más de 700 dominios afectados hasta la fecha del informe) y utilizaron la clave API robada para modificar artículos existentes, insertando código JavaScript malicioso al final de las páginas. El código inyectado convierte los sitios legítimos en puntos de lanzamiento para malware.
El flujo de ataque tiene cinco etapas claramente definidas y altamente automatizadas:
- Toma de control del CMS (explotación de CVE-2026-26980)
- Envenenamiento de página (inyección de JavaScript)
- Carga en dos etapas (script remoto que verifica el navegador)
- Señuelo de ingeniería social (FakeCaptcha / ClickFix)
- Entrega de malware (comando que el usuario mismo ejecuta)
Cuando un visitante accede a un sitio comprometido, el JavaScript inyectado carga un script remoto que decide qué mostrar. Las víctimas son redirigidas a una página falsa de verificación "Soy humano" (estilo captcha falso). La página instruye al usuario a presionar Windows+R, pegar un comando y presionar Enter. Ese comando descarga e instala silenciosamente un programa malicioso en el equipo de la víctima. Esta técnica, conocida como ClickFix, hace que el propio usuario ejecute la parte peligrosa, eludiendo muchas defensas automatizadas.
Los sectores afectados son amplios: aproximadamente la mitad son blogs personales, pero también se incluyen blogs de tecnología, sitios de inteligencia artificial, medios de comunicación, proyectos de criptomonedas e instituciones educativas. Entre las víctimas confirmadas se encuentran sitios vinculados a Harvard, Oxford y DuckDuckGo.
La campaña es particularmente peligrosa porque al menos dos grupos compiten por los mismos sitios. Qianxin observó casos donde un mismo sitio fue atacado múltiples veces en un solo día, con diferentes códigos maliciosos inyectados por grupos distintos, uno sobrescribiendo al otro.
Vectores de Ataque / Métodos de Distribución
- Explotación Inicial: Escaneo masivo de sitios Ghost CMS sin parchear → explotación de CVE-2026-26980 (inyección SQL en la API de contenido) → extracción automática de la clave de API de administrador.
- Envenenamiento de Contenido: Uso de la clave API para modificar artículos publicados → inyección de JavaScript malicioso al final de las páginas (adyacente a contenido legítimo).
- Carga en Dos Etapas: El JavaScript inyectado carga un script remoto que verifica el navegador de la víctima y decide qué payload entregar.
- Ingeniería Social (ClickFix / FakeCaptcha): Redirección a una página falsa de verificación "Soy humano" que instruye al usuario a presionar Windows+R y ejecutar un comando.
- Entrega de Malware: El comando descarga e instala malware (tipo no especificado, pero típicamente stealer, ransomware o botnet).
- Cambio Dinámico de Infraestructura: Los operadores cambiaron de dominio C2 múltiples veces para evadir bloqueos.
Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK
| Táctica (MITRE ATT&CK) | Técnica / Subtécnica | Descripción / Implementación |
|---|---|---|
| Initial Access (TA0001) | Exploit Public-Facing Application (T1190) | Explotación de CVE-2026-26980 (inyección SQL) en Ghost CMS expuesto a Internet. |
| Execution (TA0002) | User Execution: Malicious Link (T1204.001) | Usuario visita sitio web comprometido y ejecuta comando de Windows+R. |
| Execution (TA0002) | Command and Scripting Interpreter: PowerShell (T1059.001) | El comando pegado por el usuario probablemente utiliza PowerShell para descargar malware. |
| Persistence (TA0003) | Create or Modify System Process (T1543) | El malware instalado establece persistencia en el equipo de la víctima (no detallado). |
| Defense Evasion (TA0005) | Masquerading (T1036) | El captcha falso se hace pasar por verificación legítima de "Soy humano". |
| Defense Evasion (TA0005) | Obfuscated Files or Information (T1027) | Scripts remotos con ofuscación para evadir detección. |
| Defense Evasion (TA0005) | Modify Content (T1608.006) | Modificación de artículos legítimos en sitios Ghost para inyectar JavaScript malicioso (envenenamiento de CMS). |
| Discovery (TA0007) | System Information Discovery (T1082) | El script remoto verifica el navegador y el sistema de la víctima antes de entregar el payload. |
| Collection (TA0009) | Data from Local System (T1005) | Potencial robo de datos del sistema de la víctima (dependiendo del malware final). |
| Command and Control (TA0011) | Application Layer Protocol: Web Protocols (T1071.001) | Comunicación C2 a través de HTTPS para cargar scripts remotos. |
| Command and Control (TA0011) | Dynamic Resolution (T1568) | Cambio dinámico de dominios C2 para evadir bloqueos. |
| Command and Control (TA0011) | Ingress Tool Transfer (T1105) | Descarga de scripts remotos y malware desde servidores C2. |
| Impact (TA0040) | Data Manipulation: Transmit Data (T1565.002) | Los sitios comprometidos se convierten en vectores de distribución de malware (water holing). |
Flujo de Ataque (Cyber Kill Chain - Ghost ClickFix)
- Reconocimiento: Escaneo automatizado de internet en busca de sitios que ejecuten Ghost CMS sin el parche para CVE-2026-26980.
- Armamento: Desarrollo de scripts de explotación para la inyección SQL y extracción de claves API. Preparación de payloads JavaScript, scripts remotos y páginas FakeCaptcha/ClickFix.
- Entrega: El escáner identifica un sitio vulnerable → se ejecuta la explotación remota.
- Explotación: Inyección SQL en la API de contenido de Ghost → extracción de la clave de API de administrador.
- Instalación: Uso de la clave API para modificar artículos existentes → inyección de JavaScript malicioso al final de las páginas.
- Comando y Control (C2): El JavaScript inyectado carga un script remoto desde servidores C2 dinámicos. El script decide qué contenido mostrar a cada visitante.
- Acción sobre Objetivos:
- Redirección: Los visitantes son redirigidos a una página FakeCaptcha.
- Ingeniería Social: Se instruye al usuario a presionar Windows+R y ejecutar un comando.
- Infección del Usuario: El comando descarga e instala malware en la máquina de la víctima.
- Propagación: El proceso se repite con nuevos visitantes.
Infraestructura Utilizada
| Tipo | Indicador / Característica | Propósito |
|---|---|---|
| Vulnerabilidad Explotada | CVE-2026-26980 (inyección SQL en API de contenido de Ghost) | Acceso inicial y robo de clave API. |
| CMS Objetivo | Ghost CMS (versiones sin parche posteriores al 16 de febrero de 2026) | Plataforma comprometida para distribuir malware. |
| Código Inyectado | JavaScript malicioso insertado al final de artículos | Carga de script remoto desde C2. |
| Página Señuelo | FakeCaptcha / ClickFix ("Soy humano" falso) | Ingeniería social para que el usuario ejecute el comando. |
| Comando ClickFix | Comando para Windows+R (PowerShell, mshta, etc.) | Descarga e instalación de malware. |
| Dominios C2 | Múltiples, cambiados dinámicamente por los operadores | Alojamiento de scripts remotos y payloads. |
| Infraestructura de Escaneo | Servidores automatizados de escaneo masivo | Identificación de sitios Ghost vulnerables. |
Objetivos y Sectores Afectados
- Objetivo Principal (Supply Chain): Sitios web que utilizan Ghost CMS sin el parche de seguridad.
- Número de Sitios Comprometidos: Más de 700 dominios (al momento del informe de Qianxin).
- Sectores Afectados (Sitios Web):
- Blogs personales (~50%)
- Blogs de tecnología
- Sitios de inteligencia artificial (IA)
- Medios de comunicación
- Proyectos de criptomonedas
- Instituciones educativas (incluyendo sitios vinculados a Harvard, Oxford)
- Otros: incluye sitios vinculados a DuckDuckGo
- Víctimas Finales (Usuarios): Cualquier visitante de estos sitios comprometidos que caiga en el engaño de ClickFix.
- Distribución Geográfica: Global, dado que los sitios Ghost están distribuidos internacionalmente.
Impacto y Riesgo
- Nivel de Riesgo: Alto para los sitios web comprometidos (reputación, blacklisting, pérdida de confianza). Alto para los usuarios finales (infección de malware).
- Impacto en Sitios Web Comprometidos:
- Los sitios legítimos se convierten en vectores activos de distribución de malware.
- Los motores de búsqueda pueden marcar el sitio como peligroso (blacklisting).
- Pérdida de confianza de los visitantes habituales.
- Necesidad de limpieza forense y restauración de contenido.
- Impacto en Usuarios Finales:
- Infección de equipos con malware (tipo no especificado: robo de credenciales, ransomware, botnet, etc.).
- Compromiso de información personal y financiera.
- El usuario ejecuta voluntariamente el comando malicioso, lo que puede evadir muchas soluciones de seguridad automatizadas.
- Competencia entre Grupos: La existencia de al menos dos grupos compitiendo por los mismos sitios significa que un sitio puede ser reinfectado múltiples veces, dificultando la limpieza y aumentando la exposición de los visitantes.
- Automatización y Escala: El proceso altamente automatizado permite a los atacantes comprometer cientos de sitios en poco tiempo.
Recomendaciones de Mitigación
Para Administradores de Sitios Ghost CMS:
- Actualización Inmediata: Aplicar el parche para CVE-2026-26980 actualizando Ghost CMS a la versión más reciente (posterior al 16 de febrero de 2026).
- Rotación de Credenciales: Cambiar todas las claves de API de administrador y credenciales asociadas inmediatamente después de aplicar el parche.
- Auditoría de Contenido:
- Revisar todos los artículos y páginas en busca de JavaScript inyectado (especialmente al final del contenido).
- Eliminar cualquier script malicioso directamente de la base de datos, no solo del editor visual.
- Monitoreo de API: Revisar logs de la API de administración en busca de actividad sospechosa (modificaciones de contenido desde IPs desconocidas, accesos a la API sin autenticación).
- Escaneo de Vulnerabilidades: Implementar escaneos regulares para detectar versiones desactualizadas de Ghost CMS.
- WAF (Web Application Firewall): Implementar reglas para bloquear patrones de inyección SQL conocidos para CVE-2026-26980.
Para Usuarios Finales:
- No ejecutar comandos no verificados: Nunca ejecutar comandos de Windows+R, PowerShell, o cualquier otra instrucción solicitada por una página web, sin verificar su legitimidad.
- Educación en ClickFix: Capacitar a los usuarios sobre esta técnica de ingeniería social (FakeCaptcha que pide ejecutar comandos).
- Seguridad de PowerShell: Restringir la ejecución de scripts PowerShell desde orígenes de internet (políticas de ejecución, logging).
- Endpoint Protection: Mantener soluciones EDR/antivirus actualizadas que puedan detectar descargas maliciosas.
Para Organizaciones:
- Bloqueo de Dominios Maliciosos: Implementar feeds de inteligencia de amenazas para bloquear dominios C2 conocidos.
- Monitoreo de Tráfico: Detectar patrones de conexión a sitios Ghost comprometidos y comportamiento anómalo de usuarios.
Herramientas de Detección
- WAF: Reglas personalizadas para CVE-2026-26980 (inyección SQL en API de Ghost).
- Escáneres de Vulnerabilidades: Nessus, Qualys, OpenVAS (con firmas para Ghost CMS).
- Monitoreo de Integridad de Archivos/CMS: Herramientas que detectan cambios no autorizados en artículos publicados (ej. Wordfence para Ghost, o scripts personalizados que monitorean hashes de contenido).
- SIEM: Correlacionar logs de acceso a la API de Ghost, eventos de modificación de contenido, y alertas de WAF.
- Análisis de Tráfico de Red: Detectar conexiones a dominios C2 conocidos (desde la red corporativa hacia sitios comprometidos).
Referencias y Fuentes
- Paganini, P. (2026, 25 de mayo). Se aprovechó una vulnerabilidad del CMS Ghost para impulsar ataques ClickFix en cientos de sitios web. (Artículo proporcionado por el usuario).
- Qianxin. (2026, mayo). *Ghost CMS CVE-2026-26980 Mass Exploitation Campaign Report*. (Aviso citado en el artículo).
- Ghost CMS Security Advisory. (2026, 16 de febrero). *CVE-2026-26980: SQL Injection in Content API*.
- MITRE ATT&CK Framework. Enterprise Matrix.
Historial de Revisiones
| Fecha | Versión | Autor | Cambios Realizados |
|---|---|---|---|
| 2026-05-27 | 1.0 | Asistente | Creación inicial de la entrada basada en el artículo de Pierluigi Paganini y el aviso de Qianxin. |
Indicadores de Compromiso (IOCs)
Nota: El artículo de Paganini menciona que el informe de Qianxin incluye IoCs, pero no los lista explícitamente en el texto proporcionado. Se incluyen los IoCs basados en la descripción del comportamiento.
| Tipo | Indicador / Característica | Descripción |
|---|---|---|
| CVE | CVE-2026-26980 | Inyección SQL en API de contenido de Ghost CMS (parcheada el 16/02/2026). |
| Versiones Afectadas | Ghost CMS sin parche (anteriores al 16 de febrero de 2026) | Versiones vulnerables a CVE-2026-26980. |
| Patrón de Inyección SQL | TBD (según Qianxin) | Payloads específicos para explotar la vulnerabilidad. |
| Código JavaScript Inyectado | Script que carga remoto C2 (generalmente al final de artículos) | Indicador de compromiso en el contenido del sitio. |
| Patrón de Redirección | Redirección a página FakeCaptcha / ClickFix | Dominios que alojan las páginas de verificación falsa. |
| Comando ClickFix (ejemplo) | powershell -exec bypass -c "..." (típico)
|
Comando que el usuario pega en Windows+R. |
| Dominios C2 (dinámicos) | Múltiples dominios cambiados por los operadores | Revisar el informe completo de Qianxin para lista actualizada. |
| Fecha de Compilación del Código Malicioso | 2026-02-16 (mismo día del parche) | Indica rápida reversión del parche por parte de los atacantes. |
| Número de Sitios Comprometidos | 700+ dominios | Según Qianxin. |
| IPs de Escaneo Masivo | TBD (según Qianxin) | Infraestructura utilizada para escanear sitios Ghost. |
Comportamiento Anómalo (Indicadores de Nivel Superior)
| Categoría | Comportamiento |
|---|---|
| Logs de Ghost CMS | Accesos anómalos a la API de contenido sin autenticación seguidos de modificaciones de artículos desde IPs desconocidas. |
| Contenido del Sitio | Presencia de etiquetas <script> al final de artículos legítimos, especialmente con src apuntando a dominios no relacionados con el sitio.
|
| Experiencia del Usuario | Los visitantes son redirigidos repentinamente a páginas con captchas falsos o verificaciones "Soy humano". |
| Registros del Navegador | Solicitudes a dominios C2 desconocidos al cargar páginas del sitio comprometido. |
Etiquetas / Categorías
ghost-cms cve-2026-26980 sql-injection clickfix fakecaptcha mass-exploitation website-poisoning supply-chain-attack water-holing social-engineering qianxin pierluigi-paganini cms-vulnerability malvertising powershell-malware drive-by-compromise unpatched-systems harvard oxford duckduckgo cybercrime-campaign automated-attacks