Ghost CMS est exploité via CVE-2026-26980 pour compromettre plus de 700 sites et injecter de fausses vérifications Cloudflare.
Ghost CMS exploité à son tour : plus de 700 sites piégés
Après Drupal, c’est au tour de Ghost CMS de rappeler qu’un correctif publié ne sert pas à grand-chose s’il n’est jamais installé.
Il y a quelques jours, je parlais de Drupal et de sa mise à jour critique annoncée à l’avance :
Drupal annonce une mise à jour critique pour le 20 mai
Cette fois, le sujet concerne Ghost CMS.
D’après Numerama, une vulnérabilité critique déjà corrigée depuis février 2026 est maintenant exploitée à grande échelle. Plus de 700 sites sous Ghost auraient été compromis pour injecter du JavaScript malveillant et afficher de fausses vérifications Cloudflare aux visiteurs.
La faille est suivie sous l’identifiant :
CVE-2026-26980
Elle touche Ghost CMS de la version 3.24.0 jusqu’à la version 6.19.0 incluse. Le correctif est disponible depuis Ghost 6.19.1.
Versions vulnérables : Ghost 3.24.0 à 6.19.0
Version corrigée : Ghost 6.19.1
Le problème vient d’une injection SQL dans la Content API de Ghost. Selon l’advisory GitHub, un attaquant non authentifié peut lire des données arbitraires dans la base de données. Le point vraiment sensible, c’est que cette lecture peut exposer les clés API d’administration du site.
Une fois ces clés récupérées, les attaquants peuvent utiliser l’API officielle de Ghost pour modifier des articles en masse et y ajouter un script malveillant.
Ce n’est pas une faille théorique ou un vieux CVE oublié dans une base. Le correctif existe depuis plusieurs mois, mais des sites non mis à jour sont maintenant utilisés comme relais pour piéger leurs visiteurs.
La campagne observée utilise une technique de type ClickFix. Le visiteur arrive sur un site légitime, voit une fausse vérification Cloudflare, puis est poussé à exécuter une commande Windows. L’objectif est de faire installer un malware sur la machine de la victime.
Point important : le simple fait de visiter le site ne veut pas forcément dire que la machine est compromise. Le vrai danger arrive si l’utilisateur suit les instructions de la fausse page et exécute la commande demandée.
Côté administrateur Ghost, les actions recommandées sont claires :
- mettre à jour Ghost en 6.19.1 ou plus récent
- vérifier les articles publiés pour détecter du JavaScript injecté
- régénérer les clés API
- revoir les comptes staff
- contrôler les accès récents
- surveiller les logs web et applicatifs
Ghost précise qu’il n’y a pas de vrai contournement applicatif propre. Le Content API key est public par conception, donc le masquer ne corrige pas la vulnérabilité. La bonne réponse reste la mise à jour.
Une règle WAF ou reverse proxy peut servir de mitigation temporaire en bloquant certains filtres suspects dans la Content API, mais ce n’est pas une solution durable et ça peut casser des usages légitimes.
Pour les visiteurs qui auraient exécuté une commande depuis une fausse page Cloudflare, il faut traiter la machine comme potentiellement compromise : scan complet, vérification des programmes au démarrage, mots de passe sensibles à changer depuis une machine propre, et prudence sur les sessions ouvertes.
Ce cas est un bon rappel pour les CMS exposés sur Internet. Que ce soit Drupal, Ghost, WordPress ou autre, une mise à jour de sécurité critique laissée de côté pendant trois mois finit rarement bien.
Source : Numerama
Fiche NVD CVE-2026-26980
Advisory Ghost GHSA-w52v-v783-gw97
Site officiel Ghost