Una nuova campagna malevola sta sfruttando una vulnerabilità di Ghost CMS per compromettere siti web e distribuire malware agli utenti ignari. Secondo i ricercatori di XLab, gli attaccanti hanno inserito codice JavaScript nelle pagine infette, usando poi questa tecnica come trampolino per portare avanti attacchi ClickFix.
Il meccanismo è particolarmente insidioso perché non colpisce solo il sito, ma anche chi lo visita. Le vittime, convinte di trovarsi davanti a un normale controllo di sicurezza, vengono spinte a seguire istruzioni che in realtà avviano l’esecuzione di comandi dannosi sul proprio computer.
Ghost CMS e la vulnerabilità sfruttata nei nuovi attacchi
La falla al centro della campagna è la CVE-2026-26980, una vulnerabilità descritta nei mesi scorsi dai ricercatori di SentinelOne e presente nelle versioni di Ghost CMS dalla 3.24.0 alla 6.19.0. La correzione è stata resa disponibile con Ghost 6.19.1, ma molti siti non risultano ancora aggiornati.
Gli esperti hanno individuato exploit attivi su oltre 700 siti web, compresi alcuni domini di grande visibilità come Harvard University, Oxford University, Auburn University e DuckDuckGo. Il problema nasce da una SQL injection che permette a un aggressore di accedere al database senza autenticazione, ottenere chiavi API e, di conseguenza, arrivare a privilegi amministrativi.
Una volta ottenuto il controllo, i cybercriminali modificano le pagine e inseriscono un piccolo loader JavaScript. Questo script scarica a sua volta ulteriore codice da un server gestito dagli attaccanti, avviando una catena di compromissione pensata per colpire in modo selettivo i visitatori.
Come funziona l’attacco ClickFix
Se il sistema rileva che il visitatore rientra tra i target scelti, ad esempio in base alla nazionalità stimata dall’indirizzo IP, compare un falso CAPTCHA di Cloudflare. L’utente viene così indotto a credere che debba completare una verifica legittima per accedere al contenuto del sito.
In realtà si tratta del noto schema ClickFix: la vittima viene invitata ad aprire la finestra Esegui di Windows con la combinazione Win + R, quindi a incollare e confermare un comando con Ctrl + V e Invio. In questo modo parte lo script malevolo che scarica sul dispositivo diversi malware, con ogni probabilità progettati per sottrarre dati e credenziali.
Come difendersi e cosa devono fare gli amministratori
Per ridurre il rischio, gli amministratori dei siti che usano Ghost CMS dovrebbero aggiornare subito alla versione 6.19.1 o successiva e verificare che nessuna chiave API sia stata esposta. È inoltre importante controllare l’integrità delle pagine e la presenza di script inseriti senza autorizzazione.
Anche gli utenti possono proteggersi prestando attenzione a qualsiasi richiesta insolita che inviti a usare Esegui, incollare comandi o superare presunti controlli di sicurezza. Un CAPTCHA autentico non chiede mai di eseguire comandi nel sistema operativo: se compare una richiesta del genere, è molto probabile che si tratti di un tentativo di truffa o infezione.
