APIの幽霊：攻撃者がAIで発見されたSQL脆弱性を利用して700以上のGhost CMSサイトを乗っ取り

オープンソースコンテンツ管理システムであるGhost CMSは、プロフェッショナルなブログプラットフォームおよびエンタープライズ規模のウェブアセットを構築するために頻繁に展開されていますが、現在2月に当初解決されたセキュリティ欠陥を対象とした広範な積極的な悪用を受けています。脆弱性はバージョン6.19.1の配布を通じて体系的に排除されましたが、本番環境の多くがアップデート済みバイナリの実装を怠っています。その結果、これらの対応されていない環境は敵対的な操作に対して極めて脆弱なままであり、リモート脅威アクターがターゲットドメインに対する絶対的な管理権限を奪取し、インフラストラクチャをマルウェア配布媒体に変えることを許しています。

継承されたSQL欠陥の悪用によるコンテンツ権限の乗っ取り

2026年2月、AnthropicのClaudeの高度なモデルを利用する研究者は、Ghost CMS Content API内に存在する重大なSQLインジェクション脆弱性を特定しました。この構造上の欠陥により、認証されていないリモート攻撃者が任意のデータベースクエリを実行し、極度に機密性の高いデータスキーマを抽出することが可能になります。コアとなるリスク要因はバージョン6.19.1を通じたパッチ管理で直ちに対処されましたが、企業のメンテナンスサイクルの遅れにより、膨大な脆弱性が生じています。

この脆弱性の重大な危険性は、攻撃者が基盤データベースから高権限の管理者APIキーを容易に抽出できることに起因しています。これらの管理トークンを保有することにより、攻撃者は管理APIエンドポイントを呼び出すための完全な暗号化認可を得られ、すべての過去および現在の公開記事の無断修正が可能になります。実質的に、脅威アクターは既存の記事のテキストおよびスクリプト要素を密かに改ざんし、不正なプロモーション資料または悪意のあるペイロードを埋め込んで、後続のウォーターホール攻撃を実行できます。

QiAnXin脅威インテリジェンスセンターが捕捉したテレメトリによると、700を超える異なるドメインが完全なセキュリティ侵害を被っており、公開ライブラリの自動化された大規模な改ざんが行われています。攻撃者は侵害された各ウェブページの末尾に悪意のあるJavaScriptローダルーチンを体系的に注入しました。ユーザーが通常アクセスする際、このスクリプトは正当なCloudflare CAPTCHA検証ポータルになりすました欺瞞的なオーバーレイを表示し、訪問者に自分のローカルシステムプロンプト内で悪意のあるコマンドを直接実行するよう強要します。

敵対的ペイロードマトリックスの法医学的分析

QiAnXin事象対応チームが実施した深刻なパケット法医学分析は、侵害されたドメイン全体に埋め込まれたJavaScriptローダーが流動的な外部セカンドステージペイロードを取得する機能のみを果たしていることを示しています。この分散型オペレーション構造により、オーケストレーターは高い柔軟性を得られ、クライアントテレメトリに基づいて機能ペイロードを動的に置き換えながら、乗っ取られたウェブサイト全体での強固な永続性を維持できます。

スクリプト実行が成功すると、プラットフォームは非常に真正性の高い偽造検証ラッパーを表示し、ユーザーが人間であることを確認させるよう設計されています。このインターフェイスはターゲットに対し、高度に難読化されたBase64エンコード文字列をコピーしてWindowsの実行ダイアログ（Win + R）でネイティブ実行するよう指示します。オペレーティングシステムで解析されると、このスクリプトはコマンドラインインターフェイス経由で圧縮ZIPアーカイブをダウンロードするよう設計された特殊なペイロードにデコードされます。このアーカイブは侵入チェーンの最終的な武器化されたコンポーネントです。

抽出されたアーカイブには、直接実行用に設計されたネストされたバッチ設定スクリプト（.bat）の配列が含まれています。これらのスクリプトは、リモート敵対的インフラストラクチャから特殊なダイナミックリンクライブラリ（DLL）をダウンロードするよう設計された複雑なPowerShellコマンドを実行し、その後ネイティブシステムユーティリティrundll32.exeを使用してそれらを初期化します。ローカルカーネルメモリ空間で初期化されると、悪意のあるモジュールは30秒ごとに継続的なポーリングルーチンを実行し、ドメインweb.telegram.ugにマッピングされたコマンドアンドコントロール（C2）インフラストラクチャに通信して、脅威アクターが発行したセカンダリ管理コマンドを取得して実行します。