CVE-2026-18316: Kritisk fejl i Solace Extra WordPress-plugin

Sikkerhedsforskere har fundet en kritisk fejl i WordPress-pluginet Solace Extra (version 1.6.0 og ældre). Fejlen betyder, at en funktion til at importere indhold (import_zip()) ikke tjekker, om den bruger der kalder den, har rettigheder til det. Normalt kræver sådanne handlinger administrator-adgang, men her er det nok at være logget ind som helt almindelig abonnent (Subscriber). En angriber, der blot har oprettet eller fået adgang til én simpel brugerkonto på din hjemmeside, kan misbruge funktionen til at ødelægge store dele af sidens opsætning eller overskrive indholdet med falske demo-data.

Alle virksomheder og organisationer der driver en WordPress-hjemmeside med Solace Extra-pluginet installeret og aktiveret i version 1.6.0 eller ældre. Risikoen er særligt stor hvis din hjemmeside tillader brugerregistrering — for eksempel webshops, medlemsportaler, nyhedsbrevs-tilmelding eller andre løsninger, hvor besøgende kan oprette en konto. Problemet rammer uanset om du bruger managed WordPress-hosting eller selv drifter serveren.

En angriber med selv den laveste form for brugeradgang kan:

• Slette alle navigationsmenuer — din hjemmeside mister sin struktur og bliver svær at bruge.
• Nulstille alle sidebar-widgets — kontaktinfo, søgefelt, populære produkter osv. forsvinder.
• Fjerne alle temaindstillinger — farver, skrifttyper, logoer og branding nulstilles.
• Slette Elementor-skabeloner — hvis du bruger Elementor-sidebyggeren, kan angriberen fjerne dine gemte designs.
• Importere vilkårligt demo-indhold — overskrive din sides indhold med falsk eller ondsindet materiale.

Resultatet kan være, at din hjemmeside ser ødelagt ud, sender forkerte budskaber til kunder, eller at du mister timevis af arbejde med opsætning og indhold.

Sårbarheden er vurderet til 9.1 ud af 10 (Kritisk) af det internationale sikkerhedssystem CVSS. Den høje score skyldes, at angrebet kan udføres over internettet uden særlige tekniske forudsætninger, og at det ikke kræver administratorrettigheder. Angrebet kan ikke bruges til at stjæle adgangskoder eller persondata (fortrolighed er ikke påvirket), men det kan ødelægge din hjemmeside (integritet og tilgængelighed er i høj risiko). For en virksomhed med en aktiv hjemmeside kan konsekvensen være tabte kunder, skadet omdømme og tidkrævende genoprettelse.

Følg disse trin hurtigst muligt — helst inden for 24-48 timer:

1. Tjek om du bruger Solace Extra: Log ind i dit WordPress-dashboard, gå til ‘Plugins’ og søg efter ‘Solace Extra’. Notér versionsnummeret.
2. Opdatér pluginet straks: Hvis der er en opdatering tilgængelig, installér den med det samme via ‘Plugins → Tilgængelige opdateringer’.
3. Deaktivér pluginet midlertidigt, hvis ingen opdatering findes: Er der endnu ingen sikker version, så deaktivér Solace Extra under ‘Plugins’ og kontakt din webudvikler.
4. Gennemgå brugerkonti: Tjek under ‘Brugere’ i WordPress om der er konti du ikke genkender — slet eller deaktivér mistænkelige konti.
5. Slå brugerregistrering fra, hvis det ikke er nødvendigt: Gå til ‘Indstillinger → Generelt’ og fjern fluebenet ved ‘Alle kan registrere sig’.
6. Tag en fuld backup af hjemmesiden nu: Sikr dig, at du har en nylig backup af database og filer, så du kan gendanne siden hurtigt hvis noget går galt.