CVE-2026-14494: Kritisk RCE-fejl i Sigma Forms Pro

Sigma Forms Pro er et plugin til WordPress, der bruges til at bygge kontaktformularer, ansøgningsskemaer og supportformularer med filupload. Sårbarheden CVE-2026-14494 skyldes en fejl kaldet ukontrolleret filupload (CWE-434): når en formular indsendes, giver pluginet automatisk alle brugere, også ikke-loggede, rettigheden til at uploade filer uden filter. Hvis feltet ’tilladte filtyper’ ikke er sat op, springer pluginet også kontrollen af filens indhold over. Resultatet er, at en angriber kan uploade en fil med programkode, typisk en PHP-fil, og få webserveren til at køre den. Flere af pluginets indbyggede standardskabeloner, blandt andet Jobansøgning, Supportsag og Grossistansøgning, har filuploadfelter uden begrænsninger som standard.

Alle WordPress-websteder, der kører Sigma Forms Pro i version 1.4.5 eller tidligere, er berørt. Det gælder især websteder, der bruger de indbyggede skabeloner Jobansøgning, Supportsag eller Grossistansøgning, da disse har filuploadfelter uden filtype-begrænsning fra fabrikken. Det kan være danske virksomheders karrieresider, supportformularer eller B2B-portaler bygget på WordPress.

En angriber kan uden brugernavn eller adgangskode uploade en fil med skadelig kode gennem en almindelig formular, for eksempel et jobansøgningsskema, og derefter få serveren til at køre koden. Det giver fuld kontrol over webstedet: angriberen kan installere en webshell, stjæle kundedata og kontaktoplysninger, omdirigere besøgende til skadelige sider eller bruge serveren som springbræt til resten af netværket.

CVSS-scoren er 9,8 ud af 10, kritisk. Angrebet kræver ingen login, ingen brugerinteraktion og kan udføres over internettet med lav kompleksitet. Konsekvensen er fuld skade på fortrolighed, integritet og tilgængelighed, altså både datatab, manipulation og nedbrud. Det er ikke bekræftet, om sårbarheden er udnyttet i praksis endnu, men den tekniske beskrivelse er så detaljeret, at et angreb kan bygges direkte fra den offentlige information.

Følgende trin lukker hullet og begrænser skaden, hvis I allerede er ramt.

1. Deaktiver Sigma Forms Pro med det samme, indtil en rettet version er bekræftet installeret. Er det ikke muligt, fjern midlertidigt alle formularer med filupload.
2. Sæt feltet ’tilladte filtyper’ op på alle formularer, der bruger skabelonerne Jobansøgning, Supportsag og Grossistansøgning, så kun forventede filtyper som PDF og DOCX accepteres.
3. Gennemgå webserverens uploads-mappe og logfiler for uventede eller nyligt oprettede filer, især filer med endelser som .php, .phtml eller .phar.
4. Skift adgangskoder for administratorbrugere og API-nøgler, hvis webstedet har haft aktive formularer med filupload.
5. Tag en sikkerhedskopi af webstedet, før I foretager ændringer, så I kan gendanne, hvis noget går i stykker undervejs.
6. Får I brug for hjælp til at afklare, om jeres websted allerede er kompromitteret, eller til at rydde op efter et angreb, bør I kontakte en sikkerhedsrådgiver som Auroa.