CVE-2026-11551: Kritisk fejl i Branda til WordPress
Branda-pluginet til WordPress har en kritisk fejl, der lader angribere overtage administratorkonti uden at logge ind. Opdatér pluginet nu.
Hvad er det?
CVE-2026-11551 er en fejl i WordPress-pluginet Branda, der bruges til at tilpasse udseendet af WordPress-administration og medlemssider. Fejlen ligger i den funktion, der nulstiller brugeres adgangskoder. Pluginet kontrollerer ikke tilstrækkeligt, om den person, der beder om en ny adgangskode, faktisk er ejeren af kontoen. Det klassificeres som CWE-640, en svaghed i mekanismen til gendannelse af adgangskoder. I praksis kan en angriber uden nogen konto på sitet sætte en ny adgangskode på en vilkårlig brugerkonto, inklusive administratorkonti, og derefter logge ind som den bruger.
Hvem rammer det?
Alle WordPress-installationer, der kører Branda i version 3.4.29 eller ældre, er ramt. Det gælder både danske virksomheder og kommuner, der bruger Branda til at hvidmærke eller tilpasse WordPress-administration for kunder, medlemmer eller ansatte. Sårbarheden kræver ingen login og ingen handling fra en bruger, så alle sider med pluginet installeret og aktiveret er eksponerede, uanset om Branda bruges aktivt eller bare ligger installeret.
Hvad kan ske?
En angriber kan overtage administratorkontoen på et WordPress-site fuldstændigt uden at kende adgangskoden i forvejen. Med adgang som administrator kan angriberen læse og ændre alt indhold, installere skadelig kode, oprette nye administratorkonti, stjæle kundedata fra medlemsområder eller webshops, og bruge sitet som platform til yderligere angreb. For en dansk virksomhed betyder det typisk driftsstop, tab af kundedata og et betydeligt oprydningsarbejde, hvis sitet skal renses og genopbygges fra bunden.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er den højeste alvorlighedsgrad. Angrebet kræver ingen adgang til systemet i forvejen, ingen brugerinteraktion og kan udføres over internettet. Konsekvensen er fuld kompromittering af fortrolighed, integritet og tilgængelighed på det ramte site. Der er ikke offentligt kendt aktiv udnyttelse på offentliggørelsesdatoen, men fordi angrebet er simpelt at automatisere, må det forventes, at forsøg på udnyttelse kommer hurtigt, når sårbarheden er offentligt beskrevet.
Hvad gør jeg nu?
Følgende skridt lukker hullet og begrænser skaden, hvis I allerede er ramt.
- Opdatér Branda til den nyeste version, der er nyere end 3.4.29. Det lukker selve fejlen i adgangskodegendannelsen.
- Kan pluginet ikke opdateres med det samme, så deaktivér Branda, indtil opdateringen kan gennemføres.
- Gennemgå listen af administratorbrugere på jeres WordPress-site og fjern konti, I ikke kan genkende.
- Nulstil adgangskoder for alle administratorer og tving to-faktor-login op, hvis det er muligt.
- Gennemgå logfiler for uventede adgangskode-nulstillinger eller login fra ukendte IP-adresser i perioden op til opdateringen.
- Er sitet allerede kompromitteret, eller er I i tvivl om omfanget, bør I hente ekstern hjælp til en sikkerhedsgennemgang, før sitet sættes tilbage i drift.
Opdatér Branda inden for 48 timer
Vi anbefaler, at I opdaterer Branda til nyeste version så hurtigt som muligt, da sårbarheden kræver hverken login eller brugerhandling og derfor er let at udnytte automatisk. Det er ikke forsvarligt at vente til en planlagt opdateringsrunde eller til weekenden. Hvis pluginet ikke er kritisk for jeres drift, kan I med fordel deaktivere det, til opdateringen er testet og på plads.
Tidslinje
Konkrete eksempler
Overtagelse af medlemssite for en dansk brancheforening
En dansk brancheforening bruger Branda til at give hvert medlemsfirma sin egen tilpassede administrationsside. En angriber udnytter fejlen til at nulstille adgangskoden på foreningens administratorkonto uden at logge ind først. Herefter får angriberen fuld adgang til medlemsdata, kan ændre indhold på alle medlemssider og installere skadelig kode, der spreder sig til besøgende.
Ofte stillede spørgsmål
Bruger vi overhovedet Branda?
Gå ind under Plugins i jeres WordPress-administration og se, om Branda står på listen og er aktiveret. Er I i tvivl, kan jeres webbureau eller it-leverandør bekræfte det for jer.
Er vi allerede ramt?
Se efter administratorkonti, I ikke genkender, og tjek logfilerne for adgangskode-nulstillinger, I ikke selv har foretaget. Er der usikkerhed, bør I få en sikkerhedsgennemgang foretaget, før I konkluderer noget.
Kan vi vente til den næste planlagte opdatering?
Nej. Sårbarheden kræver ingen login og kan udnyttes automatisk over internettet, så vi anbefaler at opdatere uden for den normale opdateringscyklus.
Er det nok at nulstille adgangskoder uden at opdatere pluginet?
Nej. Fejlen ligger i selve funktionen til adgangskodegendannelse, så en angriber kan blot sætte en ny adgangskode igen, indtil pluginet er opdateret eller deaktiveret.
Skal vi anmelde forholdet, hvis vi finder tegn på misbrug?
Hvis I finder tegn på, at kunde- eller persondata er blevet tilgået uretmæssigt, skal I vurdere, om der er tale om et sikkerhedsbrud efter databeskyttelsesreglerne, og i givet fald anmelde det til Datatilsynet inden for 72 timer.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The Branda plugin for WordPress is vulnerable to privilege escalation via account takeover in all versions up to, and including, 3.4.29. This is due to the plugin not properly validating a user’s identity prior to updating their password. This makes it possible for unauthenticated attackers to change arbitrary user’s passwords, including administrators, and leverage that to gain access to their account.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.