CVE-2026-18431: Kritisk fejl i Avada-tema og Fusion Builder
Sårbarhed i Avada-tema og Fusion Builder til WordPress lader angribere uploade og køre PHP-filer uden login. Deaktivér pluginet, til der findes en rettelse.
Hvad er det?
CVE-2026-18431 er en sårbarhed i WordPress-temaet Avada, der optræder, når pluginet Fusion Builder også er installeret og aktivt. Fejlen skyldes en kæde af mangler i adgangskontrol og inputvalidering, kaldet CWE-862, hvor systemet ikke tjekker tilstrækkeligt, om en bruger har ret til at udføre en given handling. Uautoriserede angribere, altså personer uden login, kan derfor skrive filer med selvvalgt indhold til serveren. Filerne kan indeholde PHP-kode, som serveren efterfølgende kører, hvilket giver angriberen fuld kontrol over webstedet. Sårbarheden kræver, at Avada i version 7.16 eller tidligere og Fusion Builder i version 3.16 eller tidligere begge er aktive samtidig, samt at der findes bestemt administrator-oprettet indhold på siden.
Hvem rammer det?
Sårbarheden rammer danske virksomheder og organisationer med WordPress-websteder, hvor Avada-temaet kører i version 7.16 eller tidligere, og hvor pluginet Fusion Builder i version 3.16 eller tidligere også er installeret og aktivt. Avada er et af de mest udbredte betalte WordPress-temaer og bruges ofte af mindre virksomheder og webbureauer, der har fået bygget deres hjemmeside af en ekstern leverandør. Kun websteder, hvor begge komponenter kører samtidig, og hvor der findes bestemt administrator-oprettet indhold, er sårbare.
Hvad kan ske?
En angriber kan uden at logge ind skrive en PHP-fil til serveren og derefter køre den. I praksis betyder det, at angriberen kan overtage hele webstedet, installere skadelig kode, stjæle kundedata fra en webshop eller kontaktformular, sende spam via serveren eller bruge webstedet som platform til yderligere angreb mod andre systemer. Fordi angrebet ikke kræver login eller brugerhandling, kan det udføres automatisk og i stor skala mod alle sårbare websteder på internettet.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kan udføres over internettet, kræver ingen login og ingen handling fra en bruger på webstedet. Kombinationen af høj påvirkning på fortrolighed, integritet og tilgængelighed betyder, at en succesfuld udnyttelse giver angriberen fuld kontrol over webstedet. Der er ved offentliggørelsen ikke rapporteret om aktiv udnyttelse i praksis, men den lave angrebskompleksitet og den brede udbredelse af Avada gør det sandsynligt, at angreb kommer hurtigt.
Hvad gør jeg nu?
Følg disse trin i den nævnte rækkefølge:
- Deaktivér Fusion Builder-pluginet, indtil ThemeFusion udgiver en sikker version. Det fjerner den sårbare kombination og lukker hullet med det samme.
- Tjek jeres versioner: Avada i version 7.16 eller tidligere og Fusion Builder i version 3.16 eller tidligere er sårbare.
- Hold øje med ThemeFusions changelog og opdatér til den rettede version, så snart den udkommer.
- Gennemgå administratorindhold og filsystemet for uautoriserede ændringer eller nye, ukendte PHP-filer.
- Begræns adgang til wp-admin og webstedets filsystem via webserverregler eller en firewall til webapplikationer, der filtrerer skadelig trafik.
- Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan vurdere, om webstedet er kompromitteret, eller hvis I finder tegn på angreb.
Deaktivér pluginet inden for 24 timer
Vi anbefaler, at I straks kontrollerer, om jeres websted kører Avada og Fusion Builder samtidig, og deaktiverer pluginet, indtil der findes en rettet version. Det er ikke forsvarligt at vente, da sårbarheden kan udnyttes uden login og med lav teknisk kompleksitet. Har I ikke Fusion Builder aktivt sammen med Avada, kan I vente med at handle, til leverandøren udgiver en officiel rettelse, men bør stadig følge udviklingen tæt.
Tidslinje
Konkrete eksempler
Webshop bygget på Avada og Fusion Builder
Et dansk webbureau har bygget en kundes webshop på WordPress med Avada-temaet og Fusion Builder-pluginet aktiveret. En angriber udnytter sårbarheden til at skrive en skadelig PHP-fil til serveren og opnår derved fuld kontrol over webstedet. Angriberen installerer et skimming-script, der stjæler kundernes betalingskortoplysninger, uden at webshoppens ejer bemærker det i flere uger.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er kun sårbare, hvis jeres WordPress-websted bruger Avada-temaet i version 7.16 eller tidligere, og pluginet Fusion Builder i version 3.16 eller tidligere er installeret og aktivt samtidig. Tjek versionsnumrene under Temaer og Plugins i jeres WordPress-administration.
Hvordan tjekker vi, om vi er kompromitteret?
Se efter nye eller ukendte PHP-filer i temaets og pluginets mapper, uventede administratorbrugere og ændringer i eksisterende sider eller indlæg. Er I i tvivl, bør I få en sikkerhedsrådgiver til at gennemgå serveren.
Kan vi vente til weekenden med at handle?
Nej. Sårbarheden kan udnyttes uden login og uden brugerhandling, så I bør deaktivere Fusion Builder-pluginet med det samme, hvis begge komponenter er aktive hos jer.
Skal vi anmelde noget, hvis vi finder tegn på angreb?
Hvis der er sket databrud, for eksempel tab af personoplysninger fra en webshop eller kontaktformular, skal I vurdere anmeldelse til Datatilsynet efter GDPR-reglerne. Kontakt gerne en juridisk eller sikkerhedsfaglig rådgiver for at afklare, om jeres konkrete tilfælde udløser anmeldepligt.
Løser det problemet, hvis vi bare deaktiverer Fusion Builder?
Ja, det lukker den kendte angrebsvej, da sårbarheden kræver, at begge komponenter er aktive samtidig. I bør dog stadig opdatere til en rettet version, så snart den findes, og holde temaet ude af drift, indtil det er sikkert at genaktivere.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The Avada theme for WordPress is vulnerable to Arbitrary File Write in all versions up to, and including, 7.16 when the Fusion Builder plugin is installed and active in versions up to, and including, 3.16. This is due to a chain of authorization and input validation weaknesses across the two components that makes it possible for unauthenticated attackers to write attacker-controlled files to the server. This can be used to create and execute arbitrary PHP files, resulting in remote code execution and complete site compromise. Successful exploitation requires both Avada and Fusion Builder to be installed and active, as well as certain administrator-authored content to be present.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.