Serangan Ghost CMS CVE-2026-26980 Sebar ClickFix via JavaScript
ORBITINDONESIA.COM – Serangan Ghost CMS melalui celah SQL injection CVE-2026-26980 sedang dieksploitasi besar-besaran untuk menyuntikkan JavaScript berbahaya dan memicu alur ClickFix. Peneliti XLab dari perusahaan keamanan siber China, Qianxin, menyebut dampaknya sudah menyentuh lebih dari 700 domain lintas sektor.
Kampanye ini memanfaatkan kelemahan kritis pada Ghost CMS versi 3.24.0 hingga 6.19.0 yang memungkinkan penyerang tanpa autentikasi membaca data database secara sewenang-wenang. Data yang paling berbahaya adalah kunci Admin API, karena kunci ini membuka akses pengelolaan pengguna, artikel, dan tema.
XLab menyatakan kode berbahaya ditemukan tertanam di situs yang mereka sebut mencakup portal universitas, perusahaan AI/SaaS, media, fintech, situs keamanan, hingga blog pribadi. Peneliti juga mengklaim aktor ancaman menanamkan kode di situs Harvard University, Oxford University, Auburn University, dan DuckDuckGo.
Tambalan resmi sebenarnya sudah tersedia pada 19 Februari melalui Ghost CMS versi 6.19.1. Namun, banyak pengelola situs terlambat memasang pembaruan, sehingga jendela serangan tetap terbuka lebar.
Dalam laporan XLab, rantai serangan dimulai dari eksploitasi CVE-2026-26980 untuk mencuri Admin API key. Setelah itu, penyerang memakai hak istimewa tersebut untuk menyisipkan JavaScript berbahaya ke dalam halaman artikel.
JavaScript itu bukan malware “berat”, melainkan loader ringan yang memanggil tahap kedua dari infrastruktur penyerang. Tahap kedua berfungsi sebagai skrip cloaking yang memindai atau mem-fingerprint pengunjung untuk menilai apakah mereka layak dijadikan target.
Jika lolos verifikasi, korban akan melihat prompt Cloudflare palsu yang dimuat lewat iframe di atas halaman artikel. Di sinilah umpan ClickFix bekerja, karena korban diarahkan melakukan tindakan manual yang terlihat “normal” bagi pengguna awam.
Instruksi ClickFix meminta korban membuktikan bahwa mereka manusia dengan menempelkan perintah tertentu ke Windows Command Prompt. Perintah itu kemudian menjatuhkan payload ke sistem korban, sehingga infeksi berpindah dari situs web ke perangkat pengguna.
XLab mencatat beberapa jenis payload yang dipakai, termasuk DLL loader, JavaScript dropper, dan sampel malware berbasis Electron bernama UtilifySetup.exe. Ragam muatan ini menunjukkan operasi yang adaptif, karena penyerang dapat mengganti alat sesuai hambatan dan peluang.
SentinelOne pada 27 Februari juga merilis rincian eksploitasi CVE-2026-26980 dan cara mendeteksi insiden. Mereka mengamati setidaknya dua klaster aktivitas yang sama-sama memburu situs Ghost rentan, bahkan saling “berebut lahan” dengan menginfeksi ulang domain yang sudah dibersihkan.
Pola saling tindih itu penting, karena menandakan ekosistem kriminal yang kompetitif, bukan satu kelompok tunggal. Dalam konteks pertahanan, ini berarti pembersihan sekali tidak cukup bila akar masalah—versi Ghost yang rentan dan kunci API yang bocor—tidak dibereskan.
Skala “lebih dari 700 domain” memberi petunjuk lain yang tak kalah serius: otomatisasi. Ketika eksploit bisa diproduksi massal, situs kecil dan blog pribadi menjadi sama rentannya dengan institusi besar, karena yang dicari penyerang adalah permukaan serangan, bukan reputasi.
Kasus ini memperlihatkan paradoks keamanan web modern: celah ada tambalannya, tetapi risiko tetap membesar karena disiplin pembaruan lemah. Dalam banyak organisasi, patching masih diperlakukan sebagai pekerjaan “nanti saja”, padahal penyerang bekerja “sekarang juga”.
ClickFix menambah lapisan psikologis yang licin, karena ia memindahkan tindakan berbahaya ke tangan korban dengan dalih verifikasi manusia. Ini bukan sekadar eksploit teknis, melainkan rekayasa sosial yang menyamar sebagai prosedur keamanan populer seperti Cloudflare.
Yang lebih mengkhawatirkan, kunci Admin API yang bocor membuat kompromi bersifat persisten dan sulit dideteksi oleh pembaca biasa. Artikel terlihat normal, tetapi di baliknya bisa ada iframe, loader, dan skrip yang hanya muncul untuk target tertentu melalui cloaking.
Di titik ini, keamanan bukan hanya urusan tim IT, melainkan tata kelola. Jika situs berita, kampus, atau layanan SaaS menjadi kendaraan infeksi, maka yang runtuh bukan hanya sistem, tetapi juga kepercayaan publik terhadap informasi dan layanan digital.
Langkah paling penting bagi administrator Ghost CMS adalah memperbarui ke versi 6.19.1 atau lebih baru, lalu merotasi seluruh kunci yang pernah dipakai karena berpotensi sudah terekspos. XLab juga membagikan indikator kompromi seperti skrip injeksi, sehingga audit menyeluruh diperlukan untuk menemukan dan menghapus jejaknya.
Peneliti merekomendasikan penyimpanan log panggilan Admin API selama 30 hari agar investigasi retrospektif bisa dilakukan dengan andal. Pertanyaannya sederhana tetapi menentukan: jika kita tahu pembaruan adalah benteng pertama, mengapa begitu banyak situs tetap membiarkan pintu terbuka?
(Orbit dari berbagai sumber, 26 Mei 2026)
