Ghost CMS CVE-2026-26980: 700+ Seiten gehackt via ClickFix

Sicherheitslücke CVE-2026-26980 in Ghost CMS: Angreifer hacken über 700 Websites und injizieren JavaScript für ClickFix-Angriffe. So schützen Sie sich.

Was ist passiert? Ein kritischer SQL-Injection-Fehler in Ghost CMS

Eine kürzlich offengelegte Sicherheitslücke in Ghost CMS mit der Kennung CVE-2026-26980 wird derzeit aktiv ausgenutzt. Laut einem Bericht von QiAnXin XLab haben Angreifer über 700 Ghost-basierte Websites kompromittiert. Der Fehler hat einen CVSS-Score von 9,4 – das ist kritisch. Er ermöglicht es einem nicht authentifizierten Angreifer, über die Content API beliebige Daten aus der Datenbank zu lesen. Konkret handelt es sich um eine SQL-Injection.

Die Angreifer nutzen diese Lücke, um bösartigen JavaScript-Code in die betroffenen Websites einzuschleusen. Das Ziel: sogenannte ClickFix-Angriffe. Dabei werden Besucher dazu gebracht, scheinbar harmlose Klicks auszuführen, die in Wahrheit Malware installieren oder sensible Daten stehlen.

Wie funktioniert der ClickFix-Angriff?

ClickFix ist eine Social-Engineering-Technik. Sie lockt Nutzer mit gefälschten Fehlermeldungen oder Sicherheitswarnungen. „Ihr Browser ist veraltet – klicken Sie hier, um zu aktualisieren.“ Klingt vertraut? Genau das passiert. Ein Klick auf den vermeintlichen Update-Button führt jedoch zur Installation von Schadsoftware. Im Fall der Ghost-CMS-Attacke wird das schädliche JavaScript in bestehende Webseiten eingebettet. Sie sehen dann Pop-ups oder manipulierte Buttons, die auf betrügerische Domains verweisen.

Die Masche ist nicht neu, aber die Infrastruktur dahinter wird immer professioneller. Die Angreifer verwenden legitime Dienste wie Cloudflare oder GitHub, um ihre Phishing-Seiten zu hosten. Das macht die Erkennung schwieriger.

Wer ist betroffen? Und was sollten Sie tun?

Wenn Sie Ghost CMS betreiben, sind Sie potenziell betroffen. Die Versionen vor 5.96.0 und 4.48.9 gelten als anfällig. Prüfen Sie sofort Ihre Version. Ein Update auf die aktuelle Version schließt die Lücke. Keine Ausrede – das ist Ihre erste Verteidigungslinie.

Darüber hinaus sollten Sie Ihre Website auf verdächtige Skripte oder ungewöhnliche Datenbankabfragen überwachen. Ein Web Application Firewall (WAF) kann helfen, SQL-Injection-Angriffe zu blockieren. Und ja, regelmäßige Backups sind ein Muss – aber das wissen Sie längst.

Die Angreifer zielen übrigens nicht nur auf große Websites ab. Auch kleine Blogs und Unternehmensseiten sind betroffen. Warum? Weil Ghost gerade bei kleineren Publishern beliebt ist. Genau diese Websites haben oft weniger Sicherheitspersonal – ein gefundenes Fressen für Kriminelle.

Die Lücke im Detail: CVE-2026-26980

Die Schwachstelle liegt in der Content API von Ghost. Ein unauthentifizierter Angreifer kann durch präparierte Anfragen SQL-Befehle einschleusen. Das klingt technisch, ist aber erstaunlich einfach auszunutzen. QiAnXin XLab hat in ihrem Bericht gezeigt, dass bereits einfache Manipulationen der API-Parameter ausreichen, um an sensible Daten zu gelangen – darunter Benutzerpasswörter und Session-Tokens.

Ghost hat den Patch am 14. März 2025 veröffentlicht. Trotzdem sind Monate später noch Tausende von Websites ungepatcht. Das ist fahrlässig. Ein Update dauert Minuten – die Folgen eines Hacks können Monate oder Jahre an Schaden nach sich ziehen.

Warum Ghost CMS? Ein beliebtes Ziel

Ghost ist ein modernes, schlankes Content-Management-System, das speziell für Publisher entwickelt wurde. Es läuft auf Node.js und setzt auf eine API-first-Architektur. Genau das macht es attraktiv – aber auch angreifbar. Denn eine starke API bedeutet auch eine große Angriffsfläche. Die Entwickler von Ghost reagieren normalerweise schnell auf Sicherheitslücken. Dieser Fall zeigt jedoch, dass selbst bei schnellen Patches die Verantwortung bei den Betreibern liegt.

Sie fragen sich, ob Ihr Ghost-Blog betroffen ist? Ein einfacher Test: Rufen Sie Ihre Website auf und öffnen Sie die Entwicklertools (F12). Suchen Sie nach ungewöhnlichen Skripten oder iframes, die nicht von Ghost selbst stammen. Wenn Sie fündig werden, handeln Sie sofort.

Schutzmaßnahmen für Ghost-Betreiber

1. Update durchführen: Stellen Sie sicher, dass Sie Ghost 5.96.0 oder höher (bzw. 4.48.9+) verwenden. Der Befehl ghost update erledigt das automatisch.
2. Datenbank prüfen: Sehen Sie in Ihrer Datenbank nach ungewöhnlichen Einträgen – insbesondere in der posts- oder settings-Tabelle.
3. Content Security Policy (CSP) einrichten: Eine strenge CSP kann die Ausführung von eingeschleustem JavaScript verhindern.
4. Logs überwachen: Achten Sie auf auffällige API-Anfragen, die viele Parameter oder SQL-ähnliche Muster enthalten.

Vergessen Sie nicht: Sicherheit ist kein einmaliges Projekt, sondern ein fortlaufender Prozess. Patchen Sie regelmäßig, verwenden Sie starke Passwörter und halten Sie Ihre Software aktuell. Klingt banal? Ist es auch. Aber genau diese Banalitäten werden oft vernachlässigt – und genau das nutzen Angreifer aus.

Mehr zu diesem Thema finden Sie in unserem Sicherheits-Bereich oder im Ghost-CMS-Archiv. Externe Informationen gibt es bei Ghost selbst oder bei QiAnXin XLab.