Ghost CMS CVE-2026-26980 Kritik SQL Injection Açığı: 700+ Site Etkilendi, Acil Yama Rehberi (2026)

CVE-2026-26980 Nedir? (What is CVE-2026-26980?)

CVE-2026-26980, Ghost CMS'in herkese açık Content API'sinde bulunan kritik bir SQL injection (SQL enjeksiyonu) açığıdır. Açığın en tehlikeli yanı şu: saldırganın siteye giriş yapmasına, bir hesaba ya da API anahtarına sahip olmasına gerek yok. Yani internete açık ve güncellenmemiş her Ghost sitesi doğrudan risk altında (unauthenticated remote attack).

Bu tür açıklar, blind SQL injection olarak adlandırılır; çünkü saldırgan veritabanından gelen yanıtları doğrudan görmese bile, sorguların davranışını manipüle ederek veriyi parça parça dışarı sızdırabilir. Alesta Web olarak yıllardır web güvenliği konusunda yüzlerce siteyi denetledik ve şunu rahatlıkla söyleyebiliriz: kimlik doğrulamasız bir SQL injection, bir web uygulaması için bulunabilecek en ciddi açık türlerinden biridir.

Etkilenen Sürümler (Affected Versions)

Açık, Ghost'un oldukça geniş bir sürüm aralığını etkiliyor. Sitenizin Ghost sürümünü hemen kontrol etmeniz kritik önem taşıyor.

# Ghost-CLI ile:
ghost version

# Veya API uzerinden public surum bilgisi:
curl https://siteniz.com/ghost/api/admin/site/

Eğer sürümünüz 3.24.0 ile 6.19.0 arasında bir yerdeyse, sitenizi savunmasız kabul edin ve hemen yama adımlarına geçin. Alesta Web uzmanları olarak "nasıl olsa kimse fark etmez" yaklaşımının bu açıkta işe yaramayacağını vurgulamak isteriz; otomatik tarayıcılar internetteki tüm Ghost kurulumlarını saniyeler içinde tarıyor.

Açık Nasıl Çalışıyor? (Technical Root Cause)

Şimdi işin teknik tarafına bakalım — ama merak etmeyin, mümkün olduğunca sade tutacağız. Açığın kök nedeni, Content API'nin sıralama (ORDER BY) mantığında yatıyor. Saldırgan, filter=slug:[...] veya order=slug:[...] gibi sorgu parametrelerinin içine özel hazırlanmış bir yük (payload) yerleştirerek SQL sorgusunun ORDER BY bölümüne kendi komutlarını enjekte edebiliyor.

Sorunun teknik kaynağı, Content API girdi katmanındaki slug-filter-order.js dosyası. Burada saldırganın kontrol ettiği slug değerleri, herhangi bir temizleme (sanitization) ya da parametre bağlama (query binding) yapılmadan, doğrudan JavaScript string birleştirmesiyle SQL parçasına ekleniyordu. İşte tam da burada açık doğuyor: kullanıcı girdisi ile SQL kodu arasındaki sınır kayboluyor.

ClickFix Saldırı Kampanyası (The ClickFix Campaign)

Bu açık sadece teorik bir risk değil; gerçek dünyada aktif olarak kullanıldı. Güvenlik araştırmacıları, 7 Mayıs 2026'da başlayan ve 700'den fazla web sitesini ele geçiren büyük bir kampanya tespit etti. Saldırganlar açığı kullanarak sitelere zararlı içerik enjekte etti ve ziyaretçileri "ClickFix" tarzı sosyal mühendislik tuzaklarına yönlendirdi.

Etkilenen siteler arasında üniversiteler, blockchain ve yapay zeka şirketleri, SaaS sağlayıcıları, medya kuruluşları ve fintech firmaları vardı. Yani bu, küçük blogları değil, ciddi kurumları da vuran geniş kapsamlı bir saldırıydı. Alesta Web olarak deneyimimize göre bu tür kampanyalarda en büyük tehlike, sitenizin kötü amaçlı yazılım dağıtım noktası haline gelip arama motorları tarafından kara listeye alınmasıdır.

Çözüm: Ghost 6.19.1 Yaması (The Fix)

İyi haber şu: Ghost ekibi açığı hızlıca kapattı. Ghost 6.19.1 sürümü, sorunlu string birleştirmeyi (interpolated CASE...END ASC) Knex uyumlu, ? yer tutucuları (placeholders) ve ayrı bir bindings dizisi kullanan güvenli bir yapıyla değiştirdi. Yani artık kullanıcı girdisi SQL koduna karışmıyor, parametre olarak güvenle aktarılıyor.

# Self-hosted Ghost kurulumlarinda:
cd /var/www/ghost
ghost update

# Belirli bir surume yukseltme:
ghost update v6.19.1

# Guncelleme sonrasi durumu dogrula:
ghost status
ghost version

Korunma ve Tespit (Mitigation & Detection)

Alesta Web güvenlik ekibi olarak, yama dışında uygulamanızı öneren ek savunma adımları:

• ✅ Hemen güncelleyin: En etkili çözüm 6.19.1'e geçmektir. Erteleme, açığın en büyük dostudur.
• ✅ Log incelemesi yapın: Web sunucusu loglarında filter=slug: veya order=slug: içeren olağandışı istekleri arayın (anomaly detection).
• ✅ WAF kuralı ekleyin: Content API uç noktalarına gelen şüpheli sorgu parametrelerini bir web uygulama güvenlik duvarıyla filtreleyin.
• ✅ İçerik bütünlüğü kontrolü: Sitenizde beklenmeyen yönlendirme veya enjekte edilmiş script olup olmadığını kontrol edin.
• ✅ Veritabanı yedeği: Güncellemeden önce mutlaka tam bir veritabanı yedeği alın (always back up first).

Bu açık, sunucu ve uygulama güvenliğinin neden sürekli takip gerektirdiğinin güzel bir örneği. Benzer kritik açıkları daha önce de ele aldık: cPanel CVE-2026-41940 kimlik doğrulama bypass ve sunucu sertleştirme için SSH key güvenliği ve hardening rehberimiz mutlaka okunmalı.

📚 Kaynaklar ve Referanslar / References

Bu makaledeki bilgiler aşağıdaki güvenilir kaynaklardan derlenmiştir (information from the following reliable sources):

• The Hacker News - CVE-2026-26980 ClickFix kampanyası analizi
• BleepingComputer - Açığın istismarı ve teknik detaylar
• SecurityWeek - 700+ site etkilenme raporu