Ghost CVE-2026-53943、更新先をv6.54.1へ訂正

ブログやニュースレターを作って配信できる人気の「Ghost（ゴースト）」に、サイトの表示を外部から汚染して運営者のアカウントを乗っ取られかねない脆弱性（プログラムの欠陥）が見つかりました。CVE-2026-53943、深刻度は10点満点中9.6（緊急）です。

対象はバージョン4.0.0から6.36.0まで。GitHub上のセキュリティアドバイザリが2026年5月28日に公開され、NVDへの掲載は6月24日でした。修正は6.37.0に含まれています。攻撃者が認証なしで特定のヘッダー（通信に付ける情報）を送ると、汚染された表示が他の閲覧者にも配られる恐れがあり、とくに公開サイトと管理画面が同じドメインで動いている場合は、編集者・スタッフのアカウント乗っ取りにつながり得ます。

ただし7月末の時点で、更新先は6.37.0ではありません。6.37.0の後に入った2件の修正と、Ghostの別の脆弱性が実際に700サイト以上で悪用されている状況まで含めて整理します。

Ghostとはどんなサービスか

Ghostは、記事の作成・公開・会員管理・有料購読・メールマガジン配信までをまとめて行える、オープンソースの出版／ブログ作成ツール（CMS）です。WordPressと同じく自分のサーバーで運用でき、プロの書き手や報道メディアに好まれています。公式サイトによると、Ghostで運営する媒体の年間売上は合計1億ドルを超え、404 Media、Platformer、Y Combinatorなども利用しています。

アクセスが多いサイトでは、表示を速くするためにキャッシュ（一度作った表示を一時的に保存して使い回すしくみ）を前段に置くのが一般的です。今回の欠陥は、このキャッシュと組み合わさったときに危険性が跳ね上がる、いわゆる「キャッシュ汚染（キャッシュポイズニング）」と呼ばれる種類のものでした。

誰が狙い、何をされ、どうなるのか

狙われるのはGhostでサイトを運営していて、表示を速くするための共有キャッシュを前段に置き、なおかつ公開サイトと管理画面を同じドメインで動かしている運営者です。これは特別な構成ではなく、よくある運用形態の組み合わせで成立してしまいます。攻撃に運営者側のログインは不要で、外部の第三者が仕掛けられます。

攻撃者がすることは、「x-ghost-preview」という特定のヘッダーを付けたリクエストを送り、本来とは違う中身の表示を作らせて、それを共有キャッシュに覚え込ませることです。いったんキャッシュが汚染されると、その後にアクセスしてきた他の閲覧者へ、汚染された表示がそのまま配られてしまいます。

最も危ないのは、公開サイトと管理画面が同じドメインの場合です。汚染された応答を通じて、サイトを編集できる編集者・スタッフのアカウントが乗っ取られる恐れがあります。乗っ取られれば、記事の改ざんや偽情報の掲載、会員情報へのアクセス、不正なアカウントの追加など、サイト全体の信用を揺るがす被害につながります。読者にとっては、信頼して見ているサイトが知らぬ間に書き換えられているという事態になりかねません。

なお、公開サイトと管理画面を別々のドメインで運用していれば、この乗っ取りのリスクは解消されるとされています。CVE-2026-53943そのものについては、7月29日時点で実際の悪用報告も攻撃コードの公開も見つかっていません。実際に攻撃へ使われ始めた脆弱性が載る米政府機関CISAの「実際に攻撃されている脆弱性リスト」にも、Ghostのエントリは1件も入っていません。このリストを日本語で追える一覧はCISA KEV ダッシュボード（日本語版）にまとめています。

脆弱性の中身

キャッシュは「同じURLには同じ中身を返す」前提で動きます。その前提を、外部から付けられるヘッダーで崩せてしまうのが今回の問題です。

CVE-2026-53943：プレビュー用ヘッダーでキャッシュを汚染、乗っ取りへ（CVSS 9.6）

公開情報によると、Ghostは認証なしで送られた「x-ghost-preview」ヘッダーによって、公開サイト側の応答内容を変えてしまいました。Ghostの前に共有キャッシュがあると、この書き換えられた応答がキャッシュに保存され、他の訪問者へも配られてしまいます。公開サイトと管理画面が同じドメインを共有している環境では、この汚染を通じてスタッフのアカウント乗っ取りにつながり得る、と説明されています。

修正版の6.37.0では、このヘッダーの扱いが見直されました。CMSは外部から取り込むテーマやプラグインも多く、サイトを構成する部品全体の点検はOSS サプライチェーン スキャナーの考え方とあわせて見直す価値があります。

6.37.0の後に入った2件の修正

初版の公開後、Ghostには6.37.0では手当てされていない修正が2件入りました。どちらもCVE-2026-53943とは別物ですが、6.37.0で止まっている環境には両方とも当たっていません。

CVE-2026-59817：寄付機能から有料ギフト会員を極小額で取得（CVSS 5.3）

GHSA-xm43-3m56-w3wfとして2026年6月23日に公開された欠陥です。Ghostの寄付（ドネーション）機能を経由すると、本来は有料であるギフト会員資格を極端に小さい金額で取得できてしまいます。深刻度はCVSS 5.3（警告）と中程度ですが、認証は不要で、サイト利用者側の操作も要りません。有料購読で収益を得ている媒体にとっては、金額そのものより「支払いの前提が崩れる」点が問題になります。

影響範囲は6.27.0から6.43.1までで、修正はv6.44.0（2026年6月3日公開）に含まれています。つまりCVE-2026-53943対応として6.37.0〜6.43.1へ上げた環境は、そのままこの欠陥の影響下に入ります。すぐに更新できない場合の暫定回避策として、アドバイザリでは管理画面から寄付機能を一時的に無効化する方法が案内されています。

v6.50.0：番号の付いていない格納型XSS修正

もう1件はさらに見つけにくいものです。v6.50.0（2026年7月2日公開）のリリースノートに、「Fixed stored XSS and mangled structured data in JSON-LD output (#29013)」という一行があります。検索エンジン向けの構造化データ（JSON-LD）の出力に、格納型XSS——サイトに保存された悪性のスクリプトが閲覧者のブラウザーで動いてしまう欠陥——があり、それを直したという記載です。

問題は、この修正にCVE番号もGHSA番号も振られていないことです。脆弱性データベースやスキャナーだけを見ている運用では、この修正の存在に気づけません。アドバイザリが出ていないから安全、とは限らないということです。CMSのように更新頻度が高いソフトでは、脆弱性番号を追うだけでなく、リリースノートの「Fixed」行に目を通す習慣まで含めて運用に組み込んでおくと、こうした取りこぼしが減ります。

自分が対象かどうかの早見表

CVE-2026-53943の影響を受けるのは4.0.0〜6.36.0で、6.37.0で修正済みです。とくに「共有キャッシュあり」かつ「公開サイトと管理画面が同一ドメイン」の組み合わせが最も危険です。ただし2026年7月29日時点で対応不要と言えるのはv6.54.1以降だけです。バージョンは管理画面の表示で確認できます。

公開サイトと管理画面を別ドメインで分けていれば乗っ取りのリスクは下がりますが、汚染表示が他の閲覧者へ配られる問題自体は残ります。また6.37.0で止めていると別の欠陥が残るため、いずれにせよv6.54.1以降への更新をおすすめします。

いま取るべき対策

最優先は、Ghostをv6.54.1以降へ更新することです。Ghost(Pro)のホスティングを使っている場合は提供側で更新されますが、自分のサーバーで運用しているなら早急にバージョンを上げてください。6.37.0で止まっている環境も更新対象です。

すぐに更新できない場合の緩和策として、次の点が有効です。前段のキャッシュ（CDNやリバースプロキシ）で「x-ghost-preview」ヘッダーを取り除く、またはこのヘッダーで応答が変わるページをキャッシュしない設定にすること。可能であれば公開サイトと管理画面を別ドメインに分けること。6.37.0〜6.43.1を使っていて更新できない場合は、管理画面から寄付機能を一時的に無効化すること。あわせて、身に覚えのない管理者・スタッフアカウントの追加や、不審な記事の変更がないかを点検してください。

侵害が疑われる場合の復旧手順

すでに乗っ取られた形跡がある場合、更新するだけでは足りません。攻撃者が手にしたスタッフのセッションや認証情報は、更新後もそのまま使えてしまうためです。CVE-2026-53943のアドバイザリには、侵害が疑われる場合は Ghost v6.41.0 以降が備える「アカウント認証リセット」機能を使うよう記されています。v6.54.1へ上げればこの機能も使えるので、更新のあとに実行してください。

実行すると、既存のログインセッションと認証情報が無効になり、スタッフ全員があらためてログインし直すことになります。手間はかかりますが、汚染された応答を経由して奪われた可能性のあるアクセス権を確実に切り離せる手段です。あわせて、APIキーの再発行と、管理者権限を持つアカウント一覧の確認も行ってください。

別のGhost脆弱性 CVE-2026-26980 が700サイト以上で悪用中

ここからは本記事の主題であるCVE-2026-53943とは別の脆弱性の話です。混同しないよう先に線を引いておきます。53943はプレビュー用ヘッダーによるキャッシュ汚染で、実際に悪用されたという報告はまだありません。これから述べるCVE-2026-26980は入り口も影響範囲もまったく別で、すでに実環境で大規模に悪用されています。

CVE-2026-26980は、GhostのContent APIに対するブラインドSQLインジェクション（データベースへの命令を外部から紛れ込ませる欠陥）です。深刻度はCVSS 9.4（緊急）で、2026年2月にパッチが出ており、修正版は6.19.1です。v6.54.1へ更新すればこちらも当然ふさがっています。

中国のセキュリティ企業Qianxinの観測によると、700サイト以上がこの欠陥を通じて侵害されており、DuckDuckGoやハーバード大学、オックスフォード大学のブログも含まれます。攻撃の流れは、認証なしでAdmin APIキーを盗み出し、そのキーでGhost Admin API経由で既存の記事へ悪性のJavaScriptを一括で注入するというものです。注入されたスクリプトは、閲覧者に偽の手順を実行させて自らマルウェアを導入させる「ClickFix」型の攻撃へ誘導します。報道時点で少なくとも2つのグループが現在も活発に汚染活動を続けているとされています。

読者を信頼して記事を読ませる媒体にとって、記事本文そのものに攻撃コードを仕込まれるのは最悪の形です。6.19.0以前で運用しているGhostがあるなら、CVE-2026-53943より先にこちらへ対処してください。すでに侵害されている可能性があるため、更新に加えて、記事に見覚えのないスクリプトが混ざっていないかの確認と、APIキーの再発行、前述のアカウント認証リセットまで実施する必要があります。詳細はSecurityWeekとThe Hacker Newsの報道にまとまっています。

なお一部の解説記事に「CVE-2026-26980はCISAの実際に攻撃されている脆弱性リスト（KEV）に収録済み」という記述が見られますが、KEVカタログを直接確認したところ収録されていません。7月29日時点で、KEVにGhost CMSのエントリは1件も存在しません。悪用が広範に確認されている事実と、KEVへの収録は別の話です。

まとめ

GhostのCVE-2026-53943は、認証なしで送れるプレビュー用ヘッダーによって表示を汚染し、共有キャッシュ経由で他の閲覧者へ配ってしまう脆弱性です。公開サイトと管理画面が同一ドメインの場合はスタッフのアカウント乗っ取りにつながり得ます。深刻度はCVSS 9.6、対象は4.0.0〜6.36.0で、6.37.0で修正済みという評価は変わっていません。

変わったのは更新先です。6.37.0の後に、寄付機能まわりのCVE-2026-59817（6.44.0で修正）と、v6.50.0で入った番号の付いていない格納型XSSの修正が加わりました。2026年7月29日時点で上げるべきはv6.54.1以降です。加えて、別の脆弱性CVE-2026-26980が700サイト以上で悪用されており、6.19.0以前のGhostは緊急対応が必要です。侵害が疑われる環境では、更新後にv6.41.0以降のアカウント認証リセットまで実施してください。Ghostに関する新たな脆弱性が出た場合は、本記事に追記して追っていきます。

参照元

• ▸NVD - CVE-2026-53943（Ghost キャッシュ汚染によるスタッフ乗っ取り）
• ▸GitHub Security Advisory - GHSA-62q6-4hv4-vjrw（復旧手順の記載あり）
• ▸GitHub Security Advisory - GHSA-xm43-3m56-w3wf（CVE-2026-59817、寄付機能）
• ▸Ghost v6.50.0 リリースノート（番号なしの格納型XSS修正）
• ▸Ghost v6.54.1 リリースノート（現在の最新版）
• ▸NVD - CVE-2026-26980（Content API のSQLインジェクション、CVSS 9.4）
• ▸SecurityWeek - Ghost CMS の脆弱性で700サイト以上が侵害
• ▸The Hacker News - CVE-2026-26980 の悪用と ClickFix 型攻撃
• ▸Ghost 公式サイト（用途・導入媒体）
• ▸Ghost 公式ドキュメント（運用・設定）