CVE-2026-73532: Bagdør i Fluent Forms Pro 6.2.7

Fluent Forms Pro er et populært WordPress-plugin til at oprette kontaktformularer og andre formularer på hjemmesider. Version 6.2.7 af dette plugin blev udleveret via en kompromitteret opdateringsserver — det vil sige, at den fil du installerede, ikke var den originale, men en forfalsket version med skjult ondsindet kode indlejret.

Den ondsindede kode opretter en hemmelig bagdør (en skjult adgang til dit system), installerer en administratorkonto uden adgangskode og placerer skadelige filer på din server — filer der overlever selv hvis du sletter pluginnet. Det er med andre ord en forsyningskædeangreb (supply chain attack), hvor du tror du installerer noget sikkert, men i virkeligheden åbner døren for angribere.

Sårbarheden rammer alle WordPress-hjemmesider der har installeret eller opdateret til Fluent Forms Pro version 6.2.7. Det gælder:

• Virksomheder med en WordPress-hjemmeside der bruger Fluent Forms Pro til formularer, nyhedsbreve eller leadgenerering
• Webshops, foreninger og organisationer der bruger pluginnet til at indsamle kundeoplysninger
• Hjemmesider der opdaterede automatisk til version 6.2.7 via den kompromitterede server — uden at ejeren nødvendigvis var klar over det

Hvis du ikke bruger Fluent Forms Pro, er du ikke ramt af netop denne sårbarhed.

Hvis en angriber udnytter denne bagdør, kan konsekvenserne være alvorlige:

• Fuld overtagelse af hjemmesiden — angriberen får administratoradgang og kan ændre, slette eller erstatte alt indhold
• Datatyveri — formulardata, kundeoplysninger og eventuelt betalingsdata kan stjæles
• Spredning af malware — din hjemmeside kan bruges til at inficere dine besøgende med virus eller til phishing-angreb
• Vedvarende adgang — selv hvis du opdager og sletter pluginnet, overlever de ondsindede filer og den falske administratorkonto, så angriberen stadig har adgang
• SEO-skade — Google kan sortlistere din hjemmeside, hvis den bruges til spam eller malware

Denne sårbarhed er vurderet til 9,8 ud af 10 (Kritisk) af det internationale sikkerhedsorgan NVD. Det er næsten det højest mulige risikoniveau.

Årsagen til den høje score er:

• Angrebet kræver ingen teknisk viden fra angriberen
• Det kræver ingen adgangskode eller login for at udnytte bagdøren
• Det kan udføres over internettet fra hvor som helst i verden
• Angriberen får fuld kontrol over fortrolighed, integritet og tilgængelighed af din hjemmeside

Kombineret med at infektionen overlever plugin-sletning, gør dette sårbarheden til en af de mest alvorlige typer angreb mod WordPress-hjemmesider.

Handler du hurtigt, kan du begrænse skaden markant. Følg disse trin i rækkefølge:

1. Tag din hjemmeside offline midlertidigt — hvis det er muligt, sæt siden i vedligeholdelsestilstand mens du undersøger problemet. Det forhindrer yderligere skade.
2. Tjek om du har version 6.2.7 installeret — gå til WordPress-dashboardet under Plugins og kig efter Fluent Forms Pro. Notér versionsnummeret.
3. Søg efter mistænkelige filer — lad din webudvikler eller IT-support kigge efter filen libs/class-license-sync.php samt ukendte filer i mapperne mu-plugins og uploads.
4. Tjek for ukendte administratorkonti — gå til Brugere i WordPress og slet alle konti du ikke genkender, særligt dem med administratorrettigheder.
5. Gendan fra en ren sikkerhedskopi — er du i tvivl om omfanget, er den sikreste løsning at gendanne hjemmesiden fra en backup fra før den 13. august 2026.
6. Opdater eller afinstaller pluginnet — skift til en verificeret ren version af Fluent Forms Pro fra den officielle kilde, eller fjern pluginnet hvis en opdatering ikke er tilgængelig.
7. Skift alle adgangskoder — skift adgangskoder til WordPress, din hostingudbyder, FTP og eventuelle tilknyttede e-mailkonti.
8. Kontakt din IT-partner eller Auroa — hvis du er i tvivl om noget af ovenstående, så kontakt os. Vi hjælper dig med at gennemgå og rense din hjemmeside.