CVE-2026-16610: Kritisk RCE-fejl i WordPress-plugin ASE Pro
ASE Pro-pluginnet til WordPress har et kritisk hul (CVE-2026-16610), der lader angribere uden login køre kode på serveren. Opdatér nu.
Hvad er det?
Sårbarheden findes i WordPress-pluginnet Admin and Site Enhancements (ASE) Pro, i funktionen recursive_html. Funktionen bruger eval(), en kommando der udfører tekst som programkode. Data fra et repeater-felt i formularer bliver gemt uden kontrol og sendt direkte ind i denne eval()-kommando. Samtidig er den sikkerhedstoken (nonce), der skulle beskytte funktionen, tilgængelig for alle besøgende, og CAPTCHA-kontrollen kan omgås. Resultatet er, at en angriber uden brugerkonto kan sende sin egen kode til serveren og få den udført. Fejlen kræver, at siden bruger kortkoden [post_cf_form] på en offentligt tilgængelig side, fordi det er den kortkode, der lækker den nødvendige nonce og sessions-id til uautoriserede besøgende.
Hvem rammer det?
Alle WordPress-websteder, der bruger pluginnet Admin and Site Enhancements (ASE) Pro i version 8.9.0 eller tidligere, og hvor kortkoden [post_cf_form] er indsat på mindst én offentlig side, for eksempel en kontaktformular. Det gælder både danske virksomheders egne hjemmesider og sider driftet af eksterne bureauer, hvis pluginnet er installeret.
Hvad kan ske?
En angriber kan overtage webserveren fuldstændigt uden at logge ind. I praksis betyder det, at angriberen kan installere skadelig kode, stjæle kundedata og adgangskoder fra databasen, bruge serveren til at sende spam eller angribe andre, eller lægge et løsesumsprogram ind. Fordi hjemmesiden ofte deler server eller database med andre systemer, kan skaden brede sig ud over selve websitet.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ingen adgangskode og ingen handling fra en bruger, og det kan udføres over internettet. Både fortrolighed, integritet og tilgængelighed af systemet er i høj risiko, fordi angriberen kan læse, ændre og lukke systemet ned. Der er ikke oplyst om aktiv udnyttelse i skadelig trafik, men den offentliggjorte beskrivelse er så detaljeret, at den i praksis fungerer som en vejledning til at bygge et angreb.
Hvad gør jeg nu?
Følg disse skridt for at lukke hullet og begrænse skaden:
- Opdatér Admin and Site Enhancements (ASE) Pro til den nyeste version, hvor eval()-kaldet i recursive_html er fjernet eller sikret.
- Kan pluginnet ikke opdateres med det samme, så fjern eller deaktivér kortkoden [post_cf_form] på alle offentlige sider, så nonce og sessions-id ikke lækkes til besøgende.
- Gennemgå serverlogs for usædvanlige POST-forespørgsler til formularhandleren og tjek for nye eller uidentificerede filer på webserveren, som kan være webshells.
- Skift adgangskoder til WordPress-administratorer og databasebrugere, hvis I finder tegn på indbrud.
- Tag en frisk backup, når pluginnet er opdateret og systemet er kontrolleret rent.
- Har I ikke ressourcer eller erfaring til at gennemgå logs og rense systemet selv, bør I hente ekstern hjælp til undersøgelse og oprydning.
Opdatér inden for 24 timer
Vi anbefaler, at I opdaterer Admin and Site Enhancements (ASE) Pro med det samme, hvis pluginnet er installeret og kortkoden [post_cf_form] bruges på jeres hjemmeside. Det er ikke forsvarligt at vente til en planlagt opdateringsrunde, da angrebet kræver hverken login eller brugerinteraktion. Bruger I ikke kortkoden på en offentlig side, kan I vente kort tid med opdateringen, men vi anbefaler stadig at opdatere så hurtigt som muligt, da konfigurationen let kan ændre sig.
Tidslinje
Konkrete eksempler
Kontaktformular bliver indgangen til serveren
En dansk håndværksvirksomhed bruger ASE Pro til at bygge en kontaktformular på forsiden med kortkoden [post_cf_form]. En angriber henter den offentligt tilgængelige nonce fra siden, omgår CAPTCHA’en og sender et specialbygget repeater-felt, der udføres som kode på serveren. Angriberen lægger en webshell ind og får fuld kontrol over hjemmesiden og den tilknyttede database med kundeoplysninger.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger det sårbare plugin?
Log ind i WordPress-administrationen, gå til Plugins, og se om Admin and Site Enhancements (ASE) Pro er installeret, og hvilken version der kører. Er versionen 8.9.0 eller lavere, er I sårbare, hvis kortkoden [post_cf_form] bruges på en offentlig side.
Kan vi vente til den næste driftsopdatering i weekenden?
Nej. Sårbarheden kræver ingen adgangskode og kan udnyttes af hvem som helst på internettet med det samme. Vi anbefaler at opdatere eller fjerne den udsatte kortkode nu, ikke ved den næste planlagte opdatering.
Er vi allerede blevet angrebet?
Det kan I ikke afgøre uden at gennemgå jeres serverlogs. Kig efter usædvanlige POST-forespørgsler mod formularen med kortkoden [post_cf_form], og tjek for nye filer i uploads-mappen eller andre steder på serveren, som I ikke selv har lagt der.
Skal vi anmelde sagen, hvis vi finder tegn på indbrud?
Hvis I finder bevis for, at data er kompromitteret, herunder persondata, skal I vurdere anmeldelsespligten efter databeskyttelsesloven og eventuelt underrette Datatilsynet inden for 72 timer. Kontakt jeres databeskyttelsesrådgiver eller en ekstern rådgiver ved tvivl.
Er det nok at fjerne kortkoden, eller skal vi også opdatere pluginnet?
At fjerne kortkoden [post_cf_form] lukker den umiddelbare adgangsvej, men det er en midlertidig løsning. I bør opdatere pluginnet til en rettet version så hurtigt som muligt, da fejlen i selve koden fortsat findes, indtil den er rettet.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The Admin and Site Enhancements (ASE) Pro plugin for WordPress is vulnerable to Remote Code Execution in all versions up to, and including, 8.9.0 via the recursive_html function. This is due to the frontend save handler enforces only a publicly emitted nonce with no authentication check, CAPTCHA validation is bypassable by omitting an attacker-supplied key, and repeater row keys from cfgroup[input] are stored verbatim and later spliced into an eval() call in recursive_html without any sanitization or identifier validation. This makes it possible for unauthenticated attackers to execute code on the server. This requires the [post_cf_form] shortcode to be present on at least one publicly accessible page, as the nonce and session ID needed to reach the vulnerable save handler are emitted to unauthenticated visitors by that shortcode.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.