{"id":973,"date":"2026-05-25T12:46:21","date_gmt":"2026-05-25T12:46:21","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/25\/ghost-cms-cve-2026-26980-explotado-para-secuestrar-mas-de-700-sitios-para-ataques-clickfix-cyberdefensa-mx\/"},"modified":"2026-05-25T12:46:21","modified_gmt":"2026-05-25T12:46:21","slug":"ghost-cms-cve-2026-26980-explotado-para-secuestrar-mas-de-700-sitios-para-ataques-clickfix-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/25\/ghost-cms-cve-2026-26980-explotado-para-secuestrar-mas-de-700-sitios-para-ataques-clickfix-cyberdefensa-mx\/","title":{"rendered":"Ghost CMS CVE-2026-26980 explotado para secuestrar m\u00e1s de 700 sitios para ataques ClickFix \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Los actores de amenazas est\u00e1n explotando una falla de seguridad cr\u00edtica recientemente revelada en Ghost CMS para inyectar c\u00f3digo JavaScript malicioso con el objetivo de impulsar los ataques ClickFix.<\/p>\n

Seg\u00fan QiAnXin XLab, la actividad implica la explotaci\u00f3n de CVE-2026-26980<\/a> (Puntuaci\u00f3n CVSS: 9,4), un Vulnerabilidad de inyecci\u00f3n SQL<\/a> en la API de contenido de Ghost que podr\u00eda permitir que un atacante no autenticado lea datos arbitrarios de la base de datos. La falla de seguridad se solucion\u00f3 en febrero de 2026 en la versi\u00f3n 6.19.1. La vulnerabilidad fue descubierta por Anthropic usando Claude.<\/p>\n

Lo que hace que la vulnerabilidad sea grave es que permite a un atacante obtener acceso a la informaci\u00f3n de un sitio. clave API de administrador<\/a> sin permiso, lo que les otorga la capacidad de envenenar el sitio inyectando c\u00f3digo malicioso. La clave API de administraci\u00f3n se puede utilizar para invocar la API de administraci\u00f3n y puede modificar directamente los art\u00edculos publicados en el sistema de gesti\u00f3n de contenidos.<\/p>\n

El actor de amenazas aprovech\u00f3 la falla de seguridad para \u00abobtener la clave API de administraci\u00f3n del sitio objetivo sin autorizaci\u00f3n, y luego us\u00f3 la API de administraci\u00f3n Ghost para manipular art\u00edculos en masa, inyectando cargadores de JavaScript maliciosos en la parte inferior de las p\u00e1ginas para ayudar a ataques CAPTCHA falsos\u00bb, XLab dicho<\/a>.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

La actividad ha sido descrita por el proveedor de seguridad chino como una campa\u00f1a de \u00abintoxicaci\u00f3n a gran escala\u00bb que utiliza como arma la falla de Ghost CMS. Se considera que al menos dos grupos de amenazas diferentes est\u00e1n detr\u00e1s de la campa\u00f1a, y en algunos casos implantan c\u00f3digos maliciosos en ciertos sitios en un solo d\u00eda. Fue detectado por primera vez el 7 de mayo de 2026.<\/p>\n

En total, la campa\u00f1a ha comprometido m\u00e1s de 700 sitios web, que abarcan universidades<\/a>blockchain, inteligencia artificial, software como servicio (SaaS), investigaci\u00f3n de seguridad, medios y tecnolog\u00eda financiera. El hecho de que se hayan violado sitios web leg\u00edtimos podr\u00eda aumentar a\u00fan m\u00e1s la tasa de \u00e9xito de los ataques ClickFix, dijo XLab.<\/p>\n

El c\u00f3digo JavaScript inyectado al final de un art\u00edculo funciona como un cargador de dos etapas que es responsable de recuperar la carga \u00fatil principal en tiempo de ejecuci\u00f3n desde un dominio externo (\u00abclo4shara[.]xyz\/11z77u3.php\u00bb). Esta arquitectura ofrece flexibilidad adicional, ya que permite al actor de amenazas intercambiar las cargas \u00fatiles seg\u00fan diferentes criterios, manteniendo intacta la funcionalidad del cargador en varios sitios comprometidos.<\/p>\n

\"\"<\/a><\/div>\n

\u00abAccediendo directamente a clo4shara[.]xyz\/11z77u3.php revela un fragmento de c\u00f3digo, que en realidad es un script de distribuci\u00f3n de tr\u00e1fico t\u00edpico\u00bb, explic\u00f3 XLab. \u00abSu funci\u00f3n principal es recopilar diversa informaci\u00f3n de huellas dactilares del navegador del usuario y cargarla en el servidor, luego realizar acciones como redirecci\u00f3n, ventanas emergentes y descargas basadas en las instrucciones devueltas\u00bb. El script PHP funciona con Adspect, un servicio de encubrimiento comercial.<\/p>\n

La idea detr\u00e1s del uso del script de encubrimiento es garantizar que solo las v\u00edctimas reales reciban la carga \u00fatil real, mientras que los esc\u00e1neres y rastreadores de seguridad solo ver\u00e1n una p\u00e1gina web benigna. El script tambi\u00e9n admite 19 comandos diferentes para ejecutar c\u00f3digo JavaScript arbitrario y facilitar el control remoto del navegador de la v\u00edctima.<\/p>\n

Los visitantes del sitio considerados objetivos previstos finalmente reciben una p\u00e1gina de verificaci\u00f3n CAPTCHA falsa dentro de un elemento HTML iframe para demostrar que son humanos. Esto, a su vez, desencadena un ataque ClickFix, como parte del cual se les indica que copie y pegue un comando codificado en Base64 en el cuadro de di\u00e1logo Ejecutar de Windows.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

El comando sirve como cuentagotas para entregar un archivo ZIP, extrae de \u00e9l un script por lotes de Windows y lo ejecuta. El script, por su parte, ejecuta un comando de PowerShell para descargar un archivo DLL desde un dominio remoto, ejecutarlo usando \u00abrundll32.exe\u00bb y abrir una p\u00e1gina web falsa para el usuario como distracci\u00f3n.<\/p>\n

Se ha descubierto que las iteraciones posteriores del malware reemplazan la DLL con una carga \u00fatil de JavaScript. Independientemente del tipo de carga \u00fatil, el objetivo final del ataque es eliminar un ejecutable de Windows. En el caso de la DLL, el ejecutable es un cliente PuTTY con un certificado de firma de c\u00f3digo v\u00e1lido. El binario distribuido a trav\u00e9s de JavaScript es un instalador de Inno Setup para una aplicaci\u00f3n de Electron.<\/p>\n

La aplicaci\u00f3n es una versi\u00f3n modificada del c\u00f3digo abierto. Cliente de escritorio de uva<\/a> que est\u00e1 dise\u00f1ado para lograr persistencia y sondear un servidor remoto (\u00abweb-telegram[.]ug\u00bb) cada 30 segundos para procesar las instrucciones emitidas por el atacante, incluida la ejecuci\u00f3n de c\u00f3digo JavaScript o archivos ejecutables.<\/p>\n

Se recomienda a los usuarios de Ghost CMS que actualicen sus instancias a la \u00faltima versi\u00f3n, roten todas las credenciales, limpien los sitios, auditen los registros de acceso en busca de signos de actividad sospechosa y notifiquen a los usuarios que puedan haber visitado los sitios durante el per\u00edodo de contaminaci\u00f3n para detectar posibles compromisos.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

Los actores de amenazas est\u00e1n explotando una falla de seguridad cr\u00edtica recientemente revelada en Ghost CMS para inyectar c\u00f3digo JavaScript malicioso con el objetivo de impulsar los ataques ClickFix. Seg\u00fan QiAnXin XLab, la actividad implica la explotaci\u00f3n de CVE-2026-26980 (Puntuaci\u00f3n CVSS: 9,4), un Vulnerabilidad de inyecci\u00f3n SQL en la API de contenido de Ghost que […]<\/p>\n","protected":false},"author":1,"featured_media":731,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[233,528,1141,2706,24,66,2705,98,36,268,266],"class_list":["post-973","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-ataques","tag-clickfix","tag-cms","tag-cve202626980","tag-cyberdefensa-mx","tag-explotado","tag-ghost","tag-mas","tag-para","tag-secuestrar","tag-sitios"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/973","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=973"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/973\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/731"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=973"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=973"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=973"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}