大規模なキャンペーンがGhost CMSの重大なSQLインジェクション脆弱性（CVE-2026-26980）を悪用して、ClickFix攻撃フローをトリガーする悪意のあるJavaScriptコードを注入しています。
このキャンペーンは中国のサイバーセキュリティ企業Qianxinの脅威インテリジェンス研究グループXLabによって発見され、大学のポータル、AI/SaaS企業、メディアアウトレット、フィンテック企業、セキュリティサイト、個人ブログを含む700以上のドメインへの影響が確認されました。
研究者によれば、脅威アクターはハーバード大学、オックスフォード大学、オーバーン大学、およびDuckDuckGoのウェブサイトに悪意のあるコードを植え付けました。
検証ギャップ：自動ペネトレーションテストが答える質問は1つ。あなたが必要とするのは6つ。
自動ペネトレーションテストツールは実際の価値を提供しますが、1つの質問に答えるために構築されました：攻撃者はネットワークを通じて移動できるか？これらは、あなたのコントロールが脅威をブロックするか、検出ルールが発火するか、クラウド設定が保持されるかをテストするために構築されていません。
このガイドは、実際に検証する必要のある6つの表面をカバーしています。
ソース: bleepingcomputer.com
