Packet Pilot X (Twitter)
2026-05-25

Ghost CMSのCVE-2026-26980が700以上のサイトをハイジャック

Ghost CMSにおけるCVE-2026-26980という重大なセキュリティ脆弱性が悪用され、700以上のウェブサイトがClickFix攻撃のためにハイジャックされました。この脆弱性は、GhostのContent APIにおけるSQLインジェクションの問題であり、認証なしにデータベースから任意のデータを読み取ることが可能です。攻撃者はこの脆弱性を利用して、サイトの管理APIキーに不正にアクセスし、悪意のあるJavaScriptコードを注入しました。これにより、正当なウェブサイトが攻撃の成功率を高める要因となっています。

メトリクス

このニュースのスケール度合い

5.5 /10

インパクト

7.5 /10

予想外またはユニーク度

6.0 /10

脅威に備える準備が必要な期間が時間的にどれだけ近いか

9.0 /10

このニュースで行動が起きる／起こすべき度合い

9.0 /10

主なポイント

  • ✓ Ghost CMSのCVE-2026-26980が悪用され、700以上のサイトがハイジャックされました。
  • ✓ 攻撃者は管理APIキーを不正に取得し、悪意のあるコードを注入しました。

社会的影響

  • ! この攻撃により、多くの正当なウェブサイトがハイジャックされ、ユーザーの信頼が損なわれる可能性があります。
  • ! 特に教育機関や金融技術分野のサイトが影響を受けており、社会全体に対するセキュリティ意識の向上が求められています。

編集長の意見

Ghost CMSのCVE-2026-26980の悪用は、ウェブセキュリティの脆弱性がどのように大規模な攻撃につながるかを示す重要な事例です。この脆弱性は、攻撃者が管理APIキーに不正にアクセスし、サイトのコンテンツを改ざんすることを可能にしました。特に、700以上のサイトが影響を受けたことは、攻撃の規模と深刻さを物語っています。攻撃者は、悪意のあるJavaScriptコードを注入することで、ユーザーに偽のCAPTCHAを表示させ、さらなる攻撃を誘発しました。このような手法は、ユーザーの信頼を損なうだけでなく、企業や組織にとっても深刻な損失をもたらす可能性があります。今後、ウェブサイトの管理者は、脆弱性を早期に発見し、適切な対策を講じることが求められます。また、ユーザーもセキュリティ意識を高め、訪問するサイトの安全性を確認することが重要です。攻撃の影響を最小限に抑えるためには、定期的なセキュリティ監査や脆弱性スキャンが不可欠です。さらに、ユーザーに対しても、サイト訪問時の注意喚起や、フィッシング攻撃に対する教育が必要です。

解説

認証不要のSQLiでAdminキー流出→JS注入。Ghost CMSのCVE-2026-26980が700超の正規サイトを踏み台化します

今日の深掘りポイント

  • “読取専用だから安全”という思い込みの破綻です。Content APIのSQLiからDBを覗かれ、Admin APIキーを奪取→設定のコードインジェクションでJSを恒常配信、という最短距離の攻撃連鎖が成立しています。
  • パッチは早期公開されていたにもかかわらず、数カ月遅れで大規模悪用に発展しています。更新遅延は依存関係やテーマ互換性、検証リソース不足の合わせ技で起きるため、運用体制の設計問題として捉えるべきです。
  • 二次被害は「正規ドメインからの偽CAPTCHA（ClickFix型）」という信頼乗っ取りです。広告詐欺やユーザーの端末側マルバタイゼーション誘発に波及し、ブランド毀損や収益影響が長期化しやすいです。
  • 防御は4層で積みます。修正版適用＋鍵のローテーション（根絶措置）、WAFでのSQLi緩和（入口対策）、CSPでのスクリプト許可リスト化（出口遮断）、改ざん検知と詳細ログ整備（可視化・復旧短縮）です。
  • 監査の勘所は3つです。1) /ghost/api/content/への異常なfilterクエリ、2) /ghost/api/admin/への設定更新リクエスト急増、3) 設定「codeinjection_head/foot」やテーマの不審差分です。

はじめに

Ghost CMSのContent APIに生じたSQLインジェクション（CVE-2026-26980）が野放しで悪用され、700超のサイトが「ClickFix」型の不正JS配信に使われています。報道では、この欠陥は認証不要でDBの任意読取を許し、攻撃者はそこから管理用のAdmin APIキーを引き抜き、設定にコードを注入して恒常的な悪性スクリプト配信を成立させています。初期の悪用観測は5月7日、CVSSは9.4、修正は2月時点で提供済みとされています。媒体やNGOでも採用が広いCMSだけに、「正規ドメインからの不正挙動」という厄介な図式が生まれています。インシデント対応の現実解は、技術パッチだけでなく、鍵管理・公開面の最小化・検知/可視化の体制を含めた“CMS運用の再設計”に踏み込むことです。

参考となる一次情報は限られますが、以下の記事が攻撃チェーンの概況を最も網羅的に伝えています。ソースベースで状況を丁寧に読み解き、現場がすぐ動ける優先順位を提示します。

深掘り詳細

事実関係（報道ベースでの整理）

  • 脆弱性の正体は、Ghost CMSのContent APIにおけるSQLインジェクション（CVE-2026-26980）で、認証なしにDBから任意データを読み取り可能と報じられています。これにより管理APIキー（Admin API key）を窃取されます。
  • 窃取したAdmin APIキーで正規のAdmin APIを叩き、サイト設定の「コードインジェクション」相当の項目に悪性JSを挿入、訪問者に偽のCAPTCHAを提示するClickFix型の不正挙動を実行させています。
  • 悪用の初期観測は2026年5月7日。影響サイトは700超と報告され、CVSSは9.4、修正は2026年2月に提供済みと伝えられています。
  • いずれも下記記事の報道内容に基づく整理です。一次ソース（ベンダー通達、CVEエントリ詳細、修正版のリリースノート等）は本稿執筆時点で直接参照できていないため、技術的細部は今後の公式資料での裏取りが前提です。

出典: The Hacker News: Ghost CMS CVE-2026-26980 Exploited to Hijack 700+ Sites

Packet Pilotの視点・インサイト

  • 「読取専用APIでも“鍵”につながる」の教訓です。ヘッドレス/コンテンツAPIは低リスクと見なされがちですが、DB読取に到達すれば管理面のシークレット流出に直結します。API境界の“権限モデル”評価を、アプリ内部の秘密情報にまで拡張して行うべきです。
  • Admin APIキーは“単一障害点の特権”です。キー1本で設定更新やコンテンツ改変が可能であれば、奪取＝即座に全来訪者へのペイロード配信というインパクトにつながります。キーは物理的な管理面（保存先、アクセス経路、ネットワーク制限）と、論理的な管理面（ローテーション、最小権限、監査）の両輪で守る必要があります。
  • 攻撃の経済合理性は高いです。RCEや lateral movement を伴わずとも、正規ドメインからのJS配信で“高品質トラフィック”に乗ることができ、クリック収益やマルバ配布の成功率を押し上げます。低コストで規模化できるため、同種CMSへの横展開も十分想定されます。
  • パッチ提供から大規模悪用までの「数カ月の谷」をどう埋めるかが勝負です。テーマ互換・回帰試験・メンテナ窓口の不在など、中小組織の“更新の壁”は現実問題です。だからこそ、WAF/Rate Limit/CSP/監査ログといった「更新できない期間の緩衝材」を標準装備にしておくことが、損害の天井を下げます。

脅威シナリオと影響

以下は、報道内容を踏まえた仮説ベースのシナリオとMITRE ATT&CKの当てはめです（公式調査結果で更新される可能性がある前提です）。

  • 観測的現実（サーバ側）
    • 公開面のContent APIでSQLiを突かれDB情報を抽出（Initial Access: Exploit Public-Facing Application［T1190］）。
    • DBからAdmin APIキーを取得（Credential Access: Unsecured Credentials［T1552］の便宜的該当）。
    • Admin APIを用いて設定の「コードインジェクション」等を更新し、JSを恒常配信（Impact: Defacement/Website Content Alteration［T1491.001, または Data Manipulation［T1565.003］相当）。
  • 二次被害（訪問者側）
    • 改ざん済み正規サイトを介したドライブバイで偽CAPTCHAを提示（Initial Access: Drive-by Compromise［T1189］）。
    • ブラウザ上で悪性スクリプトが動作（Execution: Command and Scripting Interpreter: JavaScript［T1059.007］）。
    • クリック誘導や偽更新・不要ソフトのダウンロード、通知許可の強要など、マルバタイゼーションに展開（Social Engineering系テクニックの複合、詐欺/配布は複数TTPが該当し得ます）。

影響評価の勘所は次のとおりです。

  • スケール性が高いです。スキャン→自動化されたSQLi→鍵抽出→一括注入という連鎖は、人的コストをほぼ必要とせず、水平方向に広がります。
  • 組織内の“真正な改ざん”としてログに残るため、検知が遅れます。Admin APIを経由する更新は正規操作にしか見えないため、アラート基準を「誰が・いつ・どこから・何を変更したか」の振る舞い分析に寄せる必要があります。
  • 信頼の毀損は長尾化します。メディア/NGO等のサイトは“信頼の母艦”であり、一度のJS注入でも寄付・会員登録・広告在庫の価値に影響が波及します。技術的復旧の後に、広報・法務・広告/パートナー通知まで含めた対応が必要になります。

セキュリティ担当者のアクション

“いま動くべきこと（48時間）”と“次に整えること（2週間）”の二段で整理します。

  • いま（48時間）

    • 修正版へ更新する（Ghostの最新安定版）。テーマ/プラグイン互換の事前確認と、ステージングでの最低限の回帰試験を省かないでください。
    • Admin APIキーと関連する統合（Integrations）を総ローテーションする。未知の統合やWebhooksがあれば即時削除します。
    • 設定のコードインジェクション欄を確認・初期化する。テーマ（特にdefault.hbs, partials）の差分を点検し、不審な