事件概况：Ghost CMS 沦为攻击温床
近期，安全界披露了一起针对 Ghost CMS 的大规模挂马活动。攻击者利用 CVE-2026-26980 这一高危 SQL 注入漏洞，在未经授权的情况下获取了站点管理员 API 密钥，进而批量篡改文章内容，植入恶意 JavaScript 加载器。
从我们的应急响应经验来看，内容管理系统（CMS）因其广泛的普及度和插件依赖性，一直是攻击者眼中的“高价值目标”。本次攻击已波及全球超过 700 个网站，涵盖高校、区块链、SaaS 服务及金融科技等多个关键行业。
攻击链深度解析：从 SQL 注入到 ClickFix 欺诈
本次攻击的核心在于 CVE-2026-26980（CVSS 评分 9.4），该漏洞允许攻击者绕过身份验证读取数据库，从而窃取 Admin API Key。获得密钥后，攻击者便能通过合法接口直接控制站点发布权限。
在实际操作中，攻击链呈现出高度的隐蔽性与自动化特征：
第一阶段：注入与加载。攻击者在文章底部植入恶意脚本，该脚本作为“两段式加载器”，负责从外部域名获取核心指令。
第二阶段：流量调度与隐蔽。攻击者使用了商业伪装服务（如 Adspect）来过滤安全扫描器，确保只有真实访客才会看到伪造的 CAPTCHA（验证码）页面。
第三阶段：ClickFix 攻击。这是本次攻击的关键点。受害者会被诱导进行“人机验证”，实则是触发了 ClickFix 手法——用户被引导复制一段 Base64 编码的命令并在 Windows 运行窗口执行，从而启动恶意 PowerShell 脚本。
技术手段演进：从 DLL 加载到恶意客户端
在我们的监测中，攻击载荷呈现出动态演进的趋势。最初，攻击者通过 PowerShell 下载并利用 rundll32.exe 运行 DLL 文件，并伪造虚假页面分散用户注意力。近期，攻击者迭代了战术，转而使用修改过的 Grape 桌面客户端作为后门，通过轮询远程服务器实现持久化控制。
这一环节是很多企业容易忽视的：攻击者不仅追求单次感染，更通过伪造合法证书（如带有有效签名的 PuTTY 客户端）来降低安全软件的告警阈值。
Solar 专家视角的安全建议
面对此类针对 CMS 的大规模自动化攻击，企业与站长应采取“防御前置”策略：
- 及时更新与加固：受影响的 Ghost CMS 用户必须立即升级至 6.19.1 及以上版本。这是阻断此类利用的最直接手段。
- 凭据轮转：一旦发现站点被入侵，必须视 API 密钥已泄露，立即重置所有 Admin API Key 及管理员账号密码。
- 日志审计与溯源：排查访问日志中是否存在异常的数据库查询请求，并重点监控文章内容的自动化更新记录。
- 增强端点防护：对于此类引导用户手动运行命令的 ClickFix 攻击，企业内部应通过策略限制 PowerShell 的非必要网络访问，并加强对终端异常行为的监控。
类似攻击近年来明显增加，攻击者正利用 CMS 漏洞构建“信任链”，欺骗用户执行高危操作。如果您正在使用相关系统，请务必进行全面的排查与加固。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816
官网：www.solarsecurity.cn / www.sierting.com
