CVE-2026-11911: Filsletning i WordPress-plugin Simple File List
Sårbarhed i WordPress-plugin’et Simple File List (CVE-2026-11911) lader udefrakommende slette filer på serveren uden login. Opdatér til nyeste version straks.
Hvad er det?
CVE-2026-11911 er en sårbarhed i WordPress-plugin’et Simple File List, som mange bruger til at dele filer på deres hjemmeside. Fejlen ligger i funktionen eeSFL_DeleteFile, som ikke tjekker filstier korrekt. Det kaldes path traversal, altså at man kan snyde systemet til at pege på filer uden for den mappe, funktionen skulle arbejde i. Fejlen udløses gennem en AJAX-handling, som er en baggrundsforespørgsel til serveren, der her fejlagtigt er tilgængelig uden login, fordi WordPress’ egen adgangskontrol is_admin() altid returnerer sandt på dette endpoint. Alle versioner til og med 6.3.7 er ramt.
Hvem rammer det?
Alle danske virksomheder og organisationer, der kører WordPress med plugin’et Simple File List i version 6.3.7 eller ældre. Det gælder både virksomheder, der bruger pluginet til kundeportaler, filudveksling med samarbejdspartnere, eller til at dele dokumenter internt på hjemmesiden. Sårbarheden kræver hverken login eller brugerinteraktion, så den kan udnyttes af hvem som helst, der kan nå hjemmesiden på internettet.
Hvad kan ske?
En angriber kan slette vilkårlige filer på serveren, herunder wp-config.php, som indeholder WordPress’ database-oplysninger. Slettes den fil, starter WordPress’ installationsguide forfra, og angriberen kan i mange tilfælde overtage sitet fuldstændigt og opnå fjernudførelse af kode, det vil sige køre egne kommandoer på serveren. Selv uden fuld overtagelse kan sletning af centrale filer lukke hjemmesiden ned og kræve genoprettelse fra backup.
Hvor alvorligt er det?
CVSS-score er 7,5 ud af 10, alvorlig. Sårbarheden kræver ikke login og ingen brugerhandling, og den kan udnyttes over internettet med lav kompleksitet. Der er ikke oplysninger om, at sårbarheden aktivt udnyttes i angreb på offentliggørelsestidspunktet, men det tekniske indgreb er simpelt at udføre, og lignende WordPress-plugin sårbarheder bliver typisk masseudnyttet kort efter offentliggørelse.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser skaden:
- Opdatér Simple File List til nyeste version, hvor path traversal-fejlen i eeSFL_DeleteFile er rettet.
- Kan I ikke opdatere med det samme, så deaktivér pluginet midlertidigt, indtil opdateringen er installeret.
- Tjek om wp-config.php og andre kritiske filer stadig findes og ikke er ændret eller slettet.
- Gennemgå jeres seneste backup, og bekræft at den er intakt og kan gendannes, hvis noget allerede er sket.
- Kig i serverloggen efter mistænkelige kald til admin-ajax.php med parameteren simplefilelist_edit_job.
- Er I i tvivl om, hvorvidt jeres site allerede er ramt, eller mangler I ressourcer til at gennemgå logs og backup, så få hjælp fra en it-sikkerhedspartner.
Opdatér inden for 24 timer
Vi anbefaler, at I opdaterer Simple File List med det samme, da sårbarheden kan udnyttes uden login og potentielt føre til fuld overtagelse af hjemmesiden. Er opdatering ikke mulig i dag, bør pluginet deaktiveres, indtil det kan gøres. Det er kun forsvarligt at vente, hvis pluginet allerede er afinstalleret eller hjemmesiden ikke er tilgængelig fra internettet.
Tidslinje
Konkrete eksempler
Kundeportal hos dansk håndværksvirksomhed
En mindre håndværksvirksomhed bruger Simple File List på sin hjemmeside, så kunder kan uploade billeder af skader til forsikringssager. En ukendt part sender en forespørgsel, der sletter wp-config.php, hvorefter sitet går ned og viser WordPress’ installationsguide. Virksomheden opdager først problemet, da kunder klager over, at hjemmesiden er utilgængelig, og må bruge tid og penge på at gendanne fra backup.
Ofte stillede spørgsmål
Bruger vi overhovedet Simple File List?
Tjek jeres liste over installerede plugins under Plugins i WordPress-administrationen. Står Simple File List der med version 6.3.7 eller lavere, er I ramt.
Kan vi vente til weekenden med at opdatere?
Vi fraråder det. Sårbarheden kræver ikke login og kan udnyttes automatisk af scanningsværktøjer, så jo længere I venter, jo større er risikoen for at blive ramt.
Hvordan ved vi, om vi allerede er blevet angrebet?
Se efter manglende eller ændrede filer, især wp-config.php, og gennemgå serverloggen for kald til admin-ajax.php med handlingen simplefilelist_edit_job fra ukendte IP-adresser.
Er det nok bare at opdatere pluginet?
Ja, opdatering til den version, hvor fejlen er rettet, lukker sårbarheden. Har I mistanke om, at filer allerede er slettet, skal I også gendanne fra backup og gennemgå sitet for yderligere spor efter angreb.
Skal vi anmelde hændelsen, hvis vi bliver ramt?
Er personoplysninger blevet tilgængelige eller slettet som følge af et angreb, kan det udløse anmeldepligt efter databeskyttelsesforordningen. Vi anbefaler at vurdere det konkret sammen med jeres databeskyttelsesrådgiver.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The Simple File List plugin for WordPress is vulnerable to arbitrary file deletion due to insufficient file path validation in the eeSFL_DeleteFile function in all versions up to, and including, 6.3.7. This makes it possible for unauthenticated attackers to delete arbitrary files on the server, which can easily lead to remote code execution when the right file is deleted (such as wp-config.php). The simplefilelist_edit_job AJAX action is registered via wp_ajax_nopriv_, making it accessible without authentication, and the is_admin() guard that would otherwise restrict access is bypassed because is_admin() always returns true for requests to the admin-ajax.php endpoint.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.