Ghost CMS CVE-2026-26980: 700+ Websteder Kompromitteret [2026]

En kritisk SQL-injektionssårbarhed i Ghost CMS, sporet som CVE-2026-26980, har resulteret i kompromittering af over 700 websteder verden over, herunder digitale platforme tilhørende Harvard University, Oxford University og DuckDuckGo. Angrebet udnytter en autentificeringsfri fejl i Ghost CMS’s Content API og har gjort det muligt for mindst to separate trusselsgrupper at stjæle administratornøgler og injicere ondsindet JavaScript-kode i tusindvis af publicerede artikler. Sårbarhedens CVSS-score er 9.4, og kampagnen blev første gang opdaget den 7. maj 2026, tre måneder efter at Ghost udgav en patch.

Hvad er Ghost CMS, og hvad er CVE-2026-26980?

Ghost er et populært open source-indholdsstyringssystem (CMS) bygget på Node.js og brugt af mediehuse, blogs, nyhedsportaler og teknologivirksomheder globalt. Platformen er særlig udbredt i det akademiske og tekniske miljø, hvor engelsksprogede institutioner anvender den til at publicere forskning, nyheder og ressourcer. Med millioner af aktive installationer udgør Ghost et attraktivt mål, da en enkelt sårbarhed kan give adgang til mange højtprofilerede websteder på én gang.

CVE-2026-26980 er en uautoriseret blind SQL-injektionssårbarhed i Ghost CMS’s Content API. Fejlen påvirker alle versioner fra 3.24.0 til og med 6.19.0 og giver en ubegrænset ekstern angriber mulighed for at læse vilkårlige data fra bagveddatabasen. Det er ikke nødvendigt at have en konto eller aktiv session for at udnytte fejlen. Sårbarheden er klassificeret under CWE-89 (SQL Injection) og er registreret i NVD med en CVSS-score på 9.4 Critical. Ghost udgav en patch i version 6.19.1 den 19. februar 2026.

Bemærkelsesværdigt er, at Anthropic, selskabet bag AI-modellen Claude, er krediteret som opdager af sårbarheden ifølge The Hacker News’s rapportering fra maj 2026. Det er et af de første større offentliggjorte tilfælde, hvor en stor sprogmodel formelt krediteres for at have fundet en kritisk sikkerhedssårbarhed i produktionskode. Claude identificerede fejlen i Ghost’s kildekode og rapporterede den ansvarligt til Ghost-teamet, som efterfølgende udgav patchen.

Teknisk analyse: Sådan fungerer SQL-injektionen

Kernen i CVE-2026-26980 ligger i Ghost CMS’s Content API-indgangsvalidering, nærmere bestemt i slug-filter-sorteringsfunktionaliteten. Den originale kode konkatenerer brugerstyrede slug-værdier direkte ind i SQL CASE-sætninger via strenginterpolation, i stedet for at bruge parameteriserede forespørgsler. Det er en klassisk SQL-injektions-rodårsag. SonicWalls Capture Labs threat research-team beskriver det som “en lærebogs SQL-injektionsfejl, der ikke burde eksistere i et modent produktionssystem i 2026” og peger på, at fejlen burde opdages af standardiserede SAST-scannere eller code review-processer.

Det sårbare endepunkt

Det angribbare endepunkt er offentligt tilgængeligt uden autentificering. Angriberen sender en enkelt HTTP GET-forespørgsel til Ghost’s Content API med en manipuleret filter=slug:[...] eller order=slug:[...] parameter, som ændrer strukturen på den underliggende SQL-forespørgsel. Endepunktet /ghost/api/content/posts/ accepterer angriber-kontrollerede værdier, som indsættes direkte i SQL CASE-udtryk. Nedenfor vises den grundlæggende angrebsstruktur:

# Angriber henter Content API-nøgle fra Ghost-webstedets HTML (ingen login krævet)
GET / HTTP/1.1
# Nøglen fremgår af data-key="" attributten i ghost_head

# Blind SQL-injektion via slug-filter
GET /ghost/api/content/posts/?key=<API_KEY>&filter=slug:[slug1,slug2,'<PAYLOAD>']
# TRUE-betingelse: svar i ~400 ms
# FALSE-betingelse: svar i ~10 ms
# Angriber ekstrahere data tegn for tegn via tidsforskellen

Angrebssekvens i 4 trin

SonicWall beskriver en firetrins-angrebssekvens. I trin 1 henter angriberen den offentlige Content API-nøgle fra webstedets HTML-kildekode via data-key=""-attributten i Ghost’s {{ghost_head}}-komponent, helt uden login. I trin 2 foretager angriberen enumeration af publicerede post-slugs via GET-forespørgsel til Content API, som returnerer navnene på publicerede indlæg. I trin 3 udnytter angriberen den blinde SQL-injektionssårbarhed som et tidsbaseret orakel og ekstrahere data tegn for tegn ved at måle responstiden: TRUE-betingelser returnerer svar på ca. 400 millisekunder, FALSE-betingelser returnerer på ca. 10 millisekunder. I den fjerde fase ekstrahere angriberen Admin API-nøgle, admin-e-mailadresse, bcrypt password-hashes og session secrets direkte fra databasen.

Når Admin API-nøglen er hentet, kan angriberen autentificere sig over for Ghost’s administrationsgrænseflade og manipulere alle publicerede artikler og sider. I den igangværende kampagne blev denne adgang brugt til at injicere ondsindede JavaScript-loaders direkte i artikelteksten, synlige for alle besøgende.

Kampagnens omfang: 700+ websteder kompromitteret

Ifølge QiAnXin XLabs analyse fra maj 2026 er kampagnen, der udnytter CVE-2026-26980, den største koordinerede CMS-kapringskampagne registreret i første halvdel af 2026. Over 700 websteder er bekræftet kompromitteret, og angrebet ramte på tværs af akademiske institutioner, blockchain-projekter, AI/SaaS-virksomheder, sikkerhedsforskningsplatforme, medier, fintech og non-profit-organisationer. QiAnXin XLab karakteriserede aktiviteten som en “large-scale poisoning campaign” og vurderede, at mindst to uafhængige trusselsgrupper opererede parallelt, og at visse websteder blev inficeret inden for et enkelt døgn.

Kampagnens succes skyldes delvist timing: Ghost udgav patchen den 19. februar 2026, men det tog tre måneder, inden angriberne begyndte masseudnyttelsen. I den mellemliggende periode opdaterede mange Ghost-operatører ikke deres installationer, og antallet af sårbare eksponerede instanser forblev højt. AmpcusCybers rapport påpeger dette som et tilbagevendende mønster ved kritiske CMS-sårbarheder: patching-vinduet spænder typisk tre til seks måneder, og angribere venter bevidst med at lancere massekampagner, til sårbarhedsdetaljer er vidt tilgængelige.

Navngivne ofre: Harvard, Oxford og DuckDuckGo

Blandt de bekræftede ofre er profiler, der understreger rækkevidden af angrebet. Harvard Universitys websted hir.harvard.edu, Oxfords digitale platforme, Auburn University, DuckDuckGos blog Spread Privacy, EuroPython Society og Hanlon Financial Systems Center er alle nævnt i AmpcusCybers detaljerede analyse. Derudover er organisationer inden for fintech, Web3 og AI/SaaS identificeret som mål, om end ikke alle er navngivet i offentlige rapporter.

I DuckDuckGos tilfælde er ironien tydelig: en privathedsfokuseret søgemaskine, der aktivt markedsfører beskyttelse mod tracking, fik sin blog kompromitteret og brugt til at distribuere malware til besøgende. For universiteter indebærer kompromitteringen en risiko for, at studerende og forskere, der besøger institutionens websteder, er blevet eksponeret for drive-by malware via det injicerede JavaScript.

Offer	Sektor	Websted	Konsekvens
Harvard University	Akademisk	hir.harvard.edu	Malware-injektion i publicerede artikler
Oxford University	Akademisk	Oxfords platforme	ClickFix-distribution til besøgende
Auburn University	Akademisk	Auburn.edu blogs	JavaScript-loader injektion
DuckDuckGo	Tech / Privacy	Spread Privacy blog	Besøgende udsat for falsk CAPTCHA
EuroPython Society	Non-profit / Tech	EuroPython.eu	Admin API-nøgle stjålet
Hanlon Financial Systems Center	Fintech	Finansplatform	Artikelindhold manipuleret
700+ øvrige domæner	Diverse sektorer	Globalt	JavaScript stealer/RAT distribueret

ClickFix: Malwarens leveringsmekanisme

Angriberne brugte den stjålne Admin API-adgang til at injicere ondsindede JavaScript-loaders i brødteksten på publicerede artikler. Disse loaders drev besøgende igennem en social engineering-kæde benævnt ClickFix. Fremgangsmåden er velkendt i trusselslandskabet, men kampagnens skala og målretning mod prestigefyldte platforme giver den usædvanlig gennemslagskraft.

Angrebet forløber som følger: Besøgende på et kompromitteret Ghost-websted præsenteres for en falsk Cloudflare-verifikationsside, som beder dem bekræfte, at de er mennesker. Siden er designet til at ligne det ægte Cloudflare Turnstile-interface. I stedet for en simpel klikhendelse instrueres brugeren om at trykke Win+R, indsætte indhold fra udklipsholderen via Ctrl+V og trykke Enter. Denne interaktion kopierer ondsindet PowerShell-kode direkte ind i Windows kørsdialog og udfører den med brugerens tilladelser.

Ifølge AmpcusCybers tekniske analyse leverer ClickFix-kampagnen i dette tilfælde en Rust-baseret DLL-loader som første fase, efterfulgt af UtilifySetup.exe, et Electron-baseret stealer- og Remote Access Trojan-program (RAT). AmpcusCybers sikkerhedsteam konstaterer, at UtilifySetup.exe ved offentliggørelsen af rapporten havde nul detektioner på VirusTotal: “Electron-baserede RAT’er er vanskeligt at opdage, fordi de udnytter legitime Node.js-komponenter og kan ligne lovlig software.” Det giver angrebene et kritisk tidsvindue, hvori signaturbaserede antivirusløsninger er blinde.

Trusselsaktørerne bag angrebene

QiAnXin XLab vurderede i sin analyse, at mindst to separate og indbyrdes uafhængige trusselsgrupper stod bag kampagnen, og AmpcusCyber bekræftede den samme konklusion. Ingen af de tilgængelige rapporter har med sikkerhed attribueret angrebene til specifikke navngivne trusselsaktører, statslige grupper eller kendte ransomware-netværk. Det tyder på, at CVE-2026-26980 er blevet udnyttet opportunistisk af finansielt motiverede kriminelle, der identificerede det store antal upatchede Ghost-installationer som et profitabelt mål.

ClickFix-kampagner er generelt kendetegnet ved finansielt motiverede trusselsgrupper, der prioriterer stealer-malware og initial access brokering. UtilifySetup.exe’s RAT-funktionalitet peger på, at de kompromitterede systemer sandsynligvis indgår i et infrastrukturnetværk til videresalg af adgange eller direkte datatyveri fra slutbrugernes maskiner. Det faktum, at to uafhængige grupper udnyttede den samme sårbarhed parallelt, er et tegn på, at exploit-koden hurtigt er blevet delt i lukkede trusselsaktørmiljøer.

Tidslinje: Fra patching til masseudnyttelse

Tidslinjen for CVE-2026-26980 illustrerer et velkendt mønster i sårbarhedsforvaltning: en fejl patchet i februar 2026 udnyttes massivt tre måneder senere, fordi mange organisationer ikke opdaterer rettidigt. Mønsteret er identisk med det, der ses ved cPanel CVE-2026-41940, Ivanti EPMM og Oracle WebLogic i 2026.

Dato	Hændelse	Kilde
19. februar 2026	Ghost udgiver version 6.19.1 med patch til CVE-2026-26980	Ghost / NVD
20. februar 2026	CVE-2026-26980 publiceres i NVD med CVSS 9.4	NVD
27. februar 2026	SentinelOne offentliggør teknisk CVE-analyse	SentinelOne
7. maj 2026	Kampagnen opdages første gang af QiAnXin XLab	The Hacker News
25. maj 2026	The Hacker News rapporterer 700+ kompromitterede websteder	The Hacker News
26. maj 2026	CybelAngel publicerer dybdegående analyse med patching-vejledning	CybelAngel
27. maj 2026	AmpcusCyber bekræfter to trusselsgrupper og navngivne ofre inkl. Harvard og Oxford	AmpcusCyber
Juni 2026	SonicWall Capture Labs udgiver teknisk analyse med SQL-payload-detaljer	SonicWall

Berørte sektorer og global spredning

AmpcusCybers og QiAnXin XLabs analyser afslører en bredt fordelt sektorspredning. Ud over de akademiske institutioner er websteder inden for blockchain og Web3, AI og SaaS, sikkerhedsforskning, medier, NGO, kunst, rejser, sundhed, gaming, agritech, e-handel, podcasts, bilindustrien og juridisk rådgivning alle bekræftet ramt. Den brede fordeling skyldes, at Ghost CMS er platformsagnostisk og bruges af aktører med vidt forskellig virksomhedsprofil, der alle deler én fælles sårbarhed.

For danske og nordiske organisationer er risikoen direkte relevant. Ghost CMS har en stærk position i den engelsksprogede teknologipresse og akademia, og mange nordiske institutioner og virksomheder anvender platformen til international kommunikation. Universiteter, tech-startups og medier, der driver Ghost-installationer, bør omgående verificere, om de kører en version ældre end 6.19.1, og gennemgå serverlogfiler for tegn på forudgående kompromittering.

Sammenligning med andre kritiske CMS-sårbarheder i 2026

CVE-2026-26980 er ikke den eneste kritiske CMS-sårbarhed udnyttet massivt i 2026. Maj og juni viste en usædvanlig koncentration af alvorlige fejl i platform- og serverteknologier, som alle hurtigt nåede CISA’s Known Exploited Vulnerabilities-katalog. Nedenstående sammenligning illustrerer mønsteret:

CVE	Platform	CVSS	Angrebstype	Skala
CVE-2026-26980	Ghost CMS 3.24.0–6.19.0	9.4	Uauth. blind SQL-injektion	700+ websteder
CVE-2026-9082	Drupal Core database-API	Kritisk	SQL-injektion	CISA KEV 27. maj 2026
CVE-2026-41940	cPanel / WHM	9.8	Auth bypass, RCE	40.000+ servere
CVE-2026-10520	Ivanti Sentry op til 10.7.0	10.0	Uauth. OS command injection	19+ instanser, alle sandsynligvis kompromitteret
CVE-2026-1281	Ivanti EPMM	9.8	Kode-injektion, RCE	92+ instanser, EU-Kommissionen ramt

Mønsteret er klart: 2026 præges af en markant stigning i udnyttelse af uautoriserede fjernangreb mod neteksponerede systemer. Fælles for de fleste af disse fejl er, at de ikke kræver forudgående autentificering, at patches udgives lang tid inden masseudnyttelse begynder, og at CISA hurtigt tilføjer dem til KEV-kataloget som en indikator for aktiv, bredt udbredt udnyttelse.

Ekspertanalyse: Tre centrale vurderinger

SonicWalls Capture Labs threat research-team fremhæver i sin tekniske gennemgang, at CVE-2026-26980 er en fejl, der aldrig burde have nået produktion. “Den originale kode brugte string-interpolation i SQL i stedet for parameteriserede forespørgsler. Det er en grundlæggende kodningsfejl, der burde fanges i code review og automatiserede statiske analyseværktøjer,” konstaterer SonicWall-teamet. Teamet peger på, at den kritiske faktor er, at angriberen kan gennemføre et fuldstændigt kompromis med blot én enkelt HTTP GET-forespørgsel og ekstrahere Admin API-nøglen uden nogen forudgående information om systemet.

QiAnXin XLab karakteriserer kampagnen som særlig alvorlig på grund af dens bredde og hastighed. “At mindst to separate trusselsgrupper opererer parallelt mod den samme sårbarhed viser, at CVE-2026-26980 hurtigt fik status som en premium exploit i angribermiljøer,” konkluderer XLab-rapporten. Det faktum, at visse websteder blev inficeret inden for et enkelt døgn, vidner om en høj grad af automatisering i kompromitteringsprocessen og en allerede veludviklet angrebsinfrastruktur.

AmpcusCybers sikkerhedsteam fremhæver UtilifySetup.exe som den mest bekymrende komponent: “Electron-baserede RAT’er er vanskeligt at opdage, fordi de udnytter legitime Node.js-runtime-komponenter og kan ligne lovlig software i form-faktor og signaturer.” Med nul VirusTotal-detektioner ved første rapportering havde malwaren fuldstændig unddraget sig kendte signaturbaserede systemer. AmpcusCyber understreger, at dette er et argument for adfærdsbaseret detektion og EDR-løsninger frem for traditionel antivirus.

Anthropics rolle: Claude opdagede sårbarheden

Et af de mest bemærkelsesværdige aspekter ved CVE-2026-26980 er, at Anthropic, selskabet bag AI-assistenten Claude, er krediteret som opdager af fejlen. Ifølge The Hacker News brugte Anthropic Claude til at gennemgå Ghost CMS’s kildekode og identificerede den sårbare string-interpolation i Content API’s slug-filter-logik. Funnet blev rapporteret til Ghost-teamet via responsible disclosure, og Ghost udgav patch’en i februar 2026.

Opdagelsen markerer en mulig ny fase i sikkerhedsforskning. Statisk kodeanalyse via store sprogmodeller kan potentielt skalere til at dække millioner af kodelinjer på tværs af open source-projekter med en hastighed og konsistens, som menneskelige reviewers ikke kan matche. Parallelt med CVE-2026-26980 er der i 2026 publiceret flere eksempler på AI-assisteret sårbarhedsopdagelse, og den voksende track record styrker argumentet for, at AI-assisterede sikkerhedsscannere vil blive en standardkomponent i open source CMS-projekters udviklingsproces.

Konsekvenser for danske og nordiske organisationer

Nordiske universiteter, tech-virksomheder og medier, der bruger Ghost CMS, er direkte berørt, hvis de ikke har opgraderet til version 6.19.1. Mange nordiske institutioner driver engelsksproget kommunikation på Ghost-platforme. Under NIS2-direktivet, som Danmark implementerede i 2024, har operatører af essentielle og vigtige tjenester rapporteringspligt ved personoplysningsbrud inden for 72 timer. En kompromittering via CVE-2026-26980, der indebærer injektion af malware på besøgende, udgør et rapporteringspligtigt hændelse under NIS2’s artikel 23 samt et potentielt brud på GDPR’s artikel 32 om passende tekniske sikkerhedsforanstaltninger.

Center for Cybersikkerhed (CFCS) i Danmark har i 2026 gentagne gange advaret mod risikoen fra kompromitterede websteder som distributionspunkter for malware. ClickFix-angrebet, der kræver brugerinteraktion via Windows kørsdialog, er præcis den type social engineering, som CFCS’s vejledninger advarer imod. For virksomheder under NIS2’s scope er det ikke tilstrækkeligt at opdatere Ghost-installationen: de er også forpligtet til at vurdere, om et tidligere kompromis har medført et rapporteringspligtigt hændelse.

Afhjælpning: 6 trin til at beskytte din Ghost-installation

Den primære afhjælpning er enkel: opgrader Ghost CMS til version 6.19.1 eller nyere. Patchen erstatter den sårbare SQL-strenginterpolation med korrekt parameteriserede forespørgsler og eliminerer angrebsvektoren. CybelAngel understreger, at dette er “den enkelt vigtigste handling, du kan foretage lige nu.” Derudover anbefaler SentinelOne følgende supplerende tiltag:

Opgrader omgående til Ghost version 6.19.1 eller nyere.
Gennemgå databaseadgangslogfiler for mistænkelig aktivitet fra marts 2026 og frem, særligt usædvanlige forespørgsler til Content API-endepunktet med lange slug-parametre.
Roter alle Admin API-nøgler og andre autentificeringsoplysninger i Ghost-administrationspanelet, hvis du har kørt en sårbar version.
Scan alle publicerede artikler for uautoriserede script-tags, iframe-elementer eller eksterne JavaScript-inkluderinger.
Begræns netværksadgang til Ghost Content API-endepunkter til betroede IP-adresseintervaller, hvor det er muligt.
Indfør rate-limiting på API-forespørgsler for at reducere risikoen for tidsbaserede SQL-injektionsangreb i fremtiden.

5 forudsigelser for de kommende måneder

Baseret på de aktuelle data og historiske mønstre fra lignende CMS-kompromitteringskampagner fremsætter vi fem forudsigelser for den videre udvikling af CVE-2026-26980-kampagnen og dens konsekvenser.

1. Antallet af bekræftede ofre vil overstige 1.000 inden udgangen af juli 2026. Med to aktive trusselsgrupper og en kampagne, der begyndte den 7. maj, har angriberne nu haft over seks uger til at fortsætte kompromitteringen. Mange websteder opdager ikke infektionen, før en tredjepart rapporterer det, og en betydelig andel af Ghost-installationer er stadig upatchede.

2. UtilifySetup.exe-familien dukker op igen i nye kampagner med modificerede signaturer. Electron-baserede RAT’er er ressourcekrævende at opbygge, men lette at rekonfigurere. Nu da kerneinfrastrukturen er testet i stor skala mod 700+ virkelige mål, vil trusselsaktørerne sandsynligvis genbruge den mod andre sårbare platforme med nye signaturer, der igen undgår VirusTotal-detektioner.

3. Europæiske datatilsynsmyndigheder vil indlede undersøgelser mod organisationer, der ikke patchede rettidigt. Europæiske universiteter og virksomheder med Ghost CMS-installationer er underlagt GDPR. Hvis brugerdata er eksfiltreret via SQL-injektionen, er der tale om et personoplysningsbrud med 72-timers rapporteringspligt. Forsinkede patches udgør potentielt en dokumenteret undladelse af passende tekniske sikkerhedsforanstaltninger under GDPR artikel 32.

4. Ghost CMS vil implementere AI-assisterede sikkerhedsscannere i sin udviklingsproces. Præcedensen fra Anthropics opdagelse af CVE-2026-26980 giver Ghost-projektet et stærkt argument for at formalisere AI-assisteret kodegennemgang som en del af sikkerhedsprocessen. Vi forventer en offentlig annoncering herom i løbet af 2026.

5. ClickFix-kampagner vil intensiveres mod kompromitterede CMS-platforme i Europa i H2 2026. ClickFix er en beviseligt effektiv angrebsvektor mod Windows-brugere, og kompromitterede high-trust websteder fra universiteter og medier er ideelle distributionsplatforme. Med den infrastruktur, der nu er etableret via Ghost CMS-angrebet, forventer vi, at samme trusselsgrupper ekspanderer til andre CMS-platforme med kendte upatchede installationer.

Relateret dækning

For uddybende baggrund om de sikkerhedskoncepter og hændelser, der er relevante for dette angreb:

Autoritative kilder

Ofte stillede spørgsmål

Hvad er Ghost CMS CVE-2026-26980?

CVE-2026-26980 er en uautoriseret blind SQL-injektionssårbarhed i Ghost CMS’s Content API. Den påvirker versioner 3.24.0 til og med 6.19.0 og giver en angriber mulighed for at læse vilkårlige data fra databasen, herunder Admin API-nøglen, uden nogen konto på platformen. Fejlen har en CVSS-score på 9.4 Critical og er patchet i version 6.19.1.

Hvilke versioner af Ghost CMS er berørt?

Alle versioner af Ghost CMS fra 3.24.0 til og med 6.19.0 er sårbare over for CVE-2026-26980. Version 6.19.1 og nyere er patchet og ikke berørt af denne sårbarhed.

Hvordan ved jeg, om mit websted er kompromitteret?

Tegn på kompromittering inkluderer uautoriserede script-tags i publicerede artikler, mistænkelig aktivitet i Ghost Admin-logfiler, ukendte API-nøgler i administrationspanelet og rapporter fra brugere om omdirigeringer til falske CAPTCHA-sider. Gennemgå serverlogfiler fra marts 2026 og frem for usædvanlige forespørgsler til Content API-endepunktet med lange slug-parametre.

Hvad er ClickFix, og hvorfor er det farligt?

ClickFix er en social engineering-teknik, der præsenterer en falsk verifikationsside og instruerer brugeren i at kopiere og udføre kode via Windows kørsdialog (Win+R, Ctrl+V, Enter). Metoden er farlig, fordi den omgår browserens sikkerhedsmekanismer ved at flytte kodeudførelse til operativsystemsniveauet. Malwaren UtilifySetup.exe, der leveres i denne kampagne, er et Electron-baseret RAT med nul antivirusdetektioner ved offentliggørelse.

Hvem opdagede CVE-2026-26980?

Anthropic, selskabet bag AI-modellen Claude, er krediteret som opdager af CVE-2026-26980. Det er et af de første store offentliggjorte tilfælde, hvor en stor sprogmodel formelt krediteres for at have opdaget en kritisk sikkerhedssårbarhed via statisk kodeanalyse af open source-kode.

Er nordiske organisationer i fare?

Ja. Nordiske universiteter, mediehuse og tech-virksomheder, der bruger Ghost CMS og endnu ikke har opgraderet til version 6.19.1, er direkte berørt. Under NIS2-direktivet har operatører af essentielle og vigtige tjenester rapporteringspligt ved personoplysningsbrud. Kontakt CFCS (Center for Cybersikkerhed) eller din databeskyttelsesrådgiver (DPO), hvis du mistænker kompromittering.

Hvad gør Ghost CMS for at forhindre lignende fejl fremover?

Ghost patchede CVE-2026-26980 ved at erstatte SQL-strenginterpolation med parameteriserede forespørgsler i version 6.19.1. Projektet har ikke offentliggjort detaljer om yderligere procesændringer, men brancheobservatører forventer, at opdagelsen via Anthropics Claude vil accelerere adoptionen af AI-assisterede sikkerhedsscannere i Ghost’s udviklingsworkflow.

Ghost CMS CVE-2026-26980: 700+ Websteder Ramt, Harvard og Oxford Kompromitteret [2026]