CVE-2026-12115: PHP Object Injection i Counter Box WordPress
Fejl i WordPress-plugin’et Counter Box kan lade en administrator indsætte skadelige PHP-objekter. Opdatér eller fjern plugin’et.
Hvad er det?
CVE-2026-12115 er en sårbarhed i WordPress-plugin’et Counter Box – Add Countdowns, Timers & Dynamic Counters, i alle versioner til og med 2.0.13. Fejlen skyldes usikker deserialisering, det vil sige at plugin’et omdanner gemte data tilbage til programobjekter uden at tjekke, om dataen kommer fra en pålidelig kilde. Det giver mulighed for såkaldt PHP Object Injection, hvor en angriber kan snyde systemet til at oprette et objekt, det ikke burde. Fejlen udløses automatisk, når man importerer data i pluginnet og bagefter ser listen eller åbner et element til redigering.
Hvem rammer det?
Det rammer alle WordPress-websites, der bruger Counter Box – Add Countdowns, Timers & Dynamic Counters i version 2.0.13 eller ældre. Det gælder typisk mindre og mellemstore virksomheder og kommuner, der bruger plugin’et til nedtællinger og tællere på kampagnesider eller informationssider.
Hvad kan ske?
Angrebet kræver, at man allerede har administratoradgang til WordPress-siden. I sig selv gør fejlen ikke noget skadeligt, medmindre der også er installeret et andet plugin eller tema med en såkaldt POP-kæde, en sekvens af kode, der kan misbruges, når objektet er indsat. Er det tilfældet, kan en ondsindet administrator, eller en angriber der har fået fat i en administratorkonto, slette vilkårlige filer, hente følsomme data eller i værste fald køre egen kode på serveren.
Hvor alvorligt er det?
CVSS-scoren er 6,6 ud af 10, moderat risiko. Angrebet kræver administratorrettigheder (PR:HIGH) og høj angrebskompleksitet (AC:HIGH), men ingen brugerinteraktion fra andre. Der er ikke fundet en kendt POP-kæde i selve plugin’et, så sårbarheden er ikke farlig alene. Der er ingen tegn på aktiv udnyttelse i praksis pr. offentliggørelsesdatoen.
Hvad gør jeg nu?
Følg disse trin for at lukke risikoen:
- Tjek om der findes en nyere version af Counter Box end 2.0.13, og opdatér straks. Findes der ingen opdatering, deaktivér plugin’et indtil videre.
- Gennemgå, hvem der har administratoradgang til jeres WordPress-site, og fjern konti, der ikke er nødvendige.
- Kortlæg øvrige installerede plugins og temaer, og fjern dem, I ikke bruger, da de kan indeholde en POP-kæde, der gør fejlen farlig.
- Skift adgangskoder på alle administratorkonti, og aktivér to-faktor-login, hvis det ikke allerede er sat op.
- Overvåg loginlog og filændringer for uventet aktivitet i perioden efter offentliggørelsen.
- Kontakt Auroa eller en anden sikkerhedsrådgiver, hvis I ikke selv kan vurdere, om jeres øvrige plugins udgør en risiko sammen med denne fejl.
Luk hullet ved næste opdatering
Vi anbefaler, at I opdaterer eller deaktiverer Counter Box, samt gennemgår hvem der har administratoradgang til jeres WordPress-site. Da fejlen kræver administratorrettigheder og der ikke er en kendt kæde til at udnytte den direkte, er det forsvarligt at vente til næste planlagte vedligeholdelsesvindue, så længe I stramper op på adgangsstyring i mellemtiden. Har I mange plugins installeret, bør I dog prioritere en gennemgang af disse hurtigere, da kombinationen kan gøre fejlen alvorlig.
Tidslinje
Konkrete eksempler
Kompromitteret administratorkonto i en kommunal webafdeling
En kommune bruger Counter Box til en nedtælling på en kampagneside for et borgerforløb. En medarbejders administratorkonto bliver kompromitteret via genbrugt adgangskode fra et andet lækket system. Fordi kommunens site også har et ældre tema installeret med en kendt POP-kæde, kan angriberen udnytte objektindsprøjtningen til at hente følsomme borgerdata fra databasen.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er kun ramt, hvis jeres WordPress-site bruger plugin’et Counter Box – Add Countdowns, Timers & Dynamic Counters i version 2.0.13 eller ældre. Tjek pluginversionen under Plugins i jeres WordPress-administration.
Kan vi vente til weekenden med at opdatere?
Ja, som udgangspunkt. Fejlen kræver, at nogen allerede har administratoradgang til sitet, og der er ikke kendt en direkte metode til at udnytte den alene. Vi anbefaler dog at gennemgå administratorkonti med det samme, uanset hvornår selve opdateringen sker.
Hvordan tjekker vi, om vi har en sårbar kombination af plugins?
Der findes ingen automatisk måde at se det på. Gennemgå listen over installerede plugins og temaer, og overvej om I kan undvære nogle af dem. Har I mange tredjepartsplugins, kan det være relevant at få en sikkerhedsgennemgang lavet.
Skal vi anmelde dette som et sikkerhedshændelse?
Nej, ikke medmindre I har konkrete tegn på, at nogen faktisk har udnyttet fejlen, for eksempel uventede filændringer eller ukendte administratorkonti. Er det tilfældet, bør I følge jeres normale procedure for sikkerhedshændelser og eventuelt underrette Datatilsynet, hvis persondata er berørt.
Hvorfor er sårbarheden kun moderat, når konsekvensen kan være alvorlig?
Fordi angrebet forudsætter, at man allerede har administratoradgang, og at der findes en anden kæde i systemet til at gøre fejlen skadelig. Uden begge dele har fejlen ingen praktisk effekt, hvilket trækker CVSS-scoren ned til moderat.
CVSS-detaljer
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The Counter Box – Add Countdowns, Timers & Dynamic Counters to WordPress plugin for WordPress is vulnerable to PHP Object Injection in all versions up to, and including, 2.0.13 via deserialization of untrusted input . This makes it possible for authenticated attackers, with administrator-level access and above, to inject a PHP Object. No known POP chain is present in the vulnerable software, which means this vulnerability has no impact unless another plugin or theme containing a POP chain is installed on the site. If a POP chain is present via an additional plugin or theme installed on the target system, it may allow the attacker to perform actions like delete arbitrary files, retrieve sensitive data, or execute code depending on the POP chain present. Deserialization is triggered automatically upon the post-import redirect that renders the list table, and again when any item is opened for editing, requiring no additional navigation beyond the import action itself.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.