CVE-2026-18072: Bagdør i WordPress-plugin ARVE
Indbygget bagdør i WordPress-plugin’et Advanced Responsive Video Embedder giver ukendte fuld administratoradgang. Fjern plugin’et i dag.
Hvad er det?
CVE-2026-18072 er en indbygget bagdør i WordPress-plugin’et Advanced Responsive Video Embedder til Rumble, Odysee, YouTube, Vimeo og Kick, i version 10.8.7. Plugin’et indeholder en funktion, der kører allerede ved hvert sideopkald, før WordPress tjekker login. Funktionen læser en kode fra webadressen og sammenligner den med en fast, hemmelig værdi gemt i plugin’ets kildekode. Kender man den værdi, kan man logge ind som en hvilken som helst eksisterende administrator uden brugernavn eller adgangskode. Sikkerhedsforskere vurderer, at bagdøren er indsat af en person, der har fået adgang til udviklerens konto, og altså ikke er en tilsigtet funktion fra plugin-udvikleren selv.
Hvem rammer det?
Det rammer alle WordPress-hjemmesider, der har installeret og aktiveret Advanced Responsive Video Embedder i version 10.8.7. Plugin’et bruges typisk til at indlejre video fra Rumble, Odysee, YouTube, Vimeo og Kick på sider og blogindlæg. Både virksomheder, foreninger og kommunale hjemmesider, der har brugt dette plugin til videovisning, kan være berørt, uanset om siden i øvrigt bruger andre sikkerhedsforanstaltninger.
Hvad kan ske?
En angriber, der kender koden, kan logge ind som administrator uden at have et brugernavn eller en adgangskode. Herfra kan angriberen installere skadelig kode, oprette nye administratorer, ændre indhold, stjæle kundedata eller bruge hjemmesiden til at sprede malware til besøgende. For en dansk virksomhed med webshop kan det betyde, at kundeoplysninger og betalingsdata kompromitteres, og at hjemmesiden må lukkes midlertidigt, mens den undersøges og genopbygges.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ingen login, ingen adgangskode og ingen handling fra en bruger på siden. Det kan udføres over internettet af hvem som helst, der kender den skjulte kode. Der er ikke rapporteret om aktiv udnyttelse i praksis, men da koden ligger tilgængelig i plugin’ets offentlige kildekode, kan den findes og bruges uden videre af enhver, der undersøger plugin’et.
Hvad gør jeg nu?
Der findes ingen opdateret version, der fjerner bagdøren, så plugin’et skal væk fra jeres hjemmeside.
- Deaktiver og afinstaller Advanced Responsive Video Embedder på alle WordPress-installationer med det samme, og erstat det med et andet videoplugin eller manuel indlejring.
- Gennemgå listen over administratorer på siden, og fjern konti I ikke genkender eller ikke selv har oprettet.
- Skift adgangskoder for alle eksisterende administratorer og andre brugere med redigeringsrettigheder.
- Gennemgå loginlogs og filændringer for at se, om siden allerede har været tilgået via bagdøren.
- Tag en frisk sikkerhedskopi af hjemmesiden, når den er renset, og overvåg for uventede ændringer de kommende uger.
- Hvis I finder tegn på uautoriseret adgang, eller I er i tvivl om, hvor omfattende problemet er, bør I få en sikkerhedsspecialist til at gennemgå siden, før den sættes i drift igen.
Fjern plugin’et i dag
Vi anbefaler, at I afinstallerer plugin’et med det samme, da der ikke findes en rettet version. Brug samtidig lejligheden til at tjekke jeres administratorkonti og adgangskoder, da bagdøren kan have været tilgængelig, siden version 10.8.7 blev udgivet. Det er ikke forsvarligt at vente til en planlagt opdatering, da angrebet ikke kræver login og kan udføres af enhver med adgang til internettet.
Tidslinje
Konkrete eksempler
Webshop mister kundedata via videoplugin
En dansk webshop bruger Advanced Responsive Video Embedder til at vise produktvideoer på hjemmesiden. En ukendt person finder den offentligt tilgængelige kode i plugin’ets kildetekst og logger ind som butikkens administrator uden at kende adgangskoden. Herfra installeres skadelig kode, der stjæler kundernes betalingsoplysninger ved kassen, indtil butikken opdager uregelmæssigheder i ordrerne og må lukke siden midlertidigt for at rydde op.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger dette plugin?
Log ind i WordPress-administrationen, gå til Plugins, og kig efter Advanced Responsive Video Embedder for Rumble, Odysee, YouTube, Vimeo, Kick. Tjek versionsnummeret under plugin-navnet, det er kun version 10.8.7, der er berørt af denne konkrete bagdør.
Er vi allerede ramt?
Gennemgå listen over administratorer og loginhistorikken for uventede logins eller nye brugere, I ikke selv har oprettet. Er der administratorer eller ændringer, I ikke kan forklare, bør I antage, at siden er kompromitteret, og få den undersøgt nærmere.
Kan vi vente til efter weekenden med at fjerne plugin'et?
Nej. Angrebet kræver hverken login eller brugerhandling, og koden ligger offentligt i plugin’ets kildekode. Vi anbefaler at fjerne plugin’et samme dag, det opdages.
Er der en opdateret version, vi kan installere i stedet for at fjerne plugin'et?
Der er ikke oplyst en rettet version på tidspunktet for denne artikel. Indtil en sikker version foreligger, bør plugin’et afinstalleres og erstattes af et alternativ.
Skal vi anmelde hændelsen, hvis vi finder tegn på indbrud?
Har angriberen fået fat i persondata, som navne, e-mails eller betalingsoplysninger, skal I vurdere anmeldelsespligt efter databeskyttelsesreglerne og eventuelt underrette Datatilsynet inden for 72 timer efter opdagelsen.
Kan vi bare skifte administratoradgangskode uden at fjerne plugin'et?
Nej, det løser ikke problemet. Bagdøren omgår login helt og kræver ingen adgangskode, så angriberen kan logge ind igen, uanset hvor mange gange adgangskoden skiftes, så længe plugin’et er aktivt.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The Advanced Responsive Video Embedder for Rumble, Odysee, YouTube, Vimeo, Kick … plugin for WordPress is vulnerable to Authentication Bypass via a Hardcoded Backdoor in version 10.8.7. The vulnerability exists because the `_arve_uc_init()` function — registered on WordPress’s `init` hook at priority 1 so that it runs before any authentication checks on every request — reads an attacker-supplied token from the `_wplogin` (or `_wpm`) parameter and compares it against a hardcoded SHA-256 hash embedded directly in the plugin source, with no nonce verification, no capability check, and no password validation anywhere in the flow. Because this static hash constitutes a set of universal credentials that are publicly accessible in the plugin’s source code, unauthenticated attackers can supply the known token to be authenticated as an arbitrarily selected existing administrator account, gaining full administrative control over the affected WordPress site. This was likely introduced by an attacker who gained commit access to the developers account.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.