CVE-2026-18855: Kritisk fejl i Link Library til WordPress
Plugin Link Library til WordPress (CVE-2026-18855) kan lade angribere slette wp-config.php og overtage sitet. Slå den farlige indstilling fra.
Hvad er det?
CVE-2026-18855 er en sårbarhed i WordPress-pluginnet Link Library, i alle versioner til og med 7.9.4. Fejlen er en såkaldt sti-traversal, forkortet CWE-22, hvor et program ikke tjekker filstier ordentligt, så en angriber kan pege på filer uden for det tilladte område. I funktionen ll_delete_link_fields mangler der kontrol af den filsti, som bruges, når et link i biblioteket slettes. Det gør det muligt at få slettet vilkårlige filer på serveren, hvis den rette indstilling er slået til.
Hvem rammer det?
Det rammer alle WordPress-sites, der bruger pluginnet Link Library i version 7.9.4 eller ældre. Sårbarheden kræver desuden, at administratoren har slået indstillingen ‘Delete local file on link deletion’ til. Den er slået fra som standard, så kun sites, hvor nogen bevidst har aktiveret funktionen, er i risiko.
Hvad kan ske?
En angriber uden login kan indsende et link til biblioteket, som peger på en vigtig fil, for eksempel wp-config.php, der indeholder databaseadgangskoder. Når en administrator som led i almindelig moderation sletter linket permanent, slettes filen samtidig. Slettes wp-config.php, går sitet typisk ned, og i mange tilfælde kan angriberen udnytte situationen til at få kørt sin egen kode på serveren, hvilket giver fuld kontrol over sitet.
Hvor alvorligt er det?
CVSS-scoren er 9,1 ud af 10, hvilket er kritisk. Angrebet kræver ikke login og ingen handling fra en almindelig bruger, kun at en administrator udfører en rutinemæssig sletning af et indsendt link. Fortrolighed påvirkes ikke, men integritet og tilgængelighed rammes hårdt, da filer kan slettes og sitet kan gå ned eller blive overtaget. Der er ingen tegn på aktiv udnyttelse på offentliggørelsesdatoen, men sårbarheden er offentligt kendt.
Hvad gør jeg nu?
Gør følgende, hvis jeres WordPress-site bruger Link Library:
- Tjek om indstillingen ‘Delete local file on link deletion’ er slået til under pluginnets indstillinger, og slå den fra. Det lukker hullet med det samme.
- Opdatér Link Library til nyeste version, så snart en rettet udgave er tilgængelig, og hold øje med plugin-siden på WordPress.org.
- Gennemgå jeres liste over indsendte links for mistænkelige eller ukendte poster, før de slettes.
- Tag en frisk backup af wp-config.php og hele sitet, hvis I ikke allerede har en aktuel.
- Overvej at deaktivere pluginnet midlertidigt, hvis I ikke aktivt bruger link-funktionen.
- Kontakt en sikkerhedsrådgiver, hvis I mistænker, at filer allerede er slettet, eller hvis I ikke selv kan verificere indstillingerne i pluginnet.
Deaktivér indstillingen inden for 24 timer
Vi anbefaler, at I straks tjekker, om indstillingen ‘Delete local file on link deletion’ er aktiveret i Link Library, og slår den fra, hvis den er. Er indstillingen fra standard slået fra, kan I roligt vente på en officiel opdatering af pluginnet, da sårbarheden ikke kan udnyttes uden den. Er I i tvivl om jeres opsætning, bør I få den tjekket af en tredjepart.
Tidslinje
Konkrete eksempler
Sletning af wp-config.php hos en dansk SMV
En dansk virksomhed bruger Link Library på deres WordPress-site og har slået ‘Delete local file on link deletion’ til for at holde deres linkbibliotek ryddeligt. En angriber indsender et link, der peger på wp-config.php. Da en medarbejder som en del af almindelig oprydning sletter linket, slettes filen samtidig, sitet går ned, og angriberen udnytter situationen til at få adgang til serveren.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er kun ramt, hvis jeres WordPress-site bruger pluginnet Link Library i version 7.9.4 eller ældre, og hvis indstillingen ‘Delete local file on link deletion’ er slået til. Er indstillingen fra, er I ikke sårbare over for dette specifikke problem.
Hvordan tjekker vi om indstillingen er slået til?
Log ind i WordPress-administrationen, gå til Link Library og find indstillingerne for links. Se efter ‘Delete local file on link deletion’ og kontrollér, om den er markeret som aktiv.
Kan vi vente til weekenden med at reagere?
Hvis indstillingen allerede er slået fra, kan I godt vente på en officiel opdatering. Er indstillingen slået til, bør I slå den fra samme dag, da det tager få minutter og lukker hullet helt.
Skal vi opdatere pluginnet med det samme?
Der er ikke oplyst en rettet version i det tilgængelige materiale. Følg med på pluginnets side på WordPress.org, og opdatér, så snart en ny version udgives, uanset om I allerede har deaktiveret indstillingen.
Hvad gør vi, hvis wp-config.php allerede er slettet?
Gendan filen fra en frisk backup, skift databaseadgangskoder og gennemgå serveren for tegn på uautoriseret adgang. Kontakt en sikkerhedsrådgiver, hvis I er i tvivl om omfanget.
Skal vi anmelde hændelsen nogen steder?
Hvis der er sket faktisk sletning af filer eller mistanke om overtagelse af sitet, og personoplysninger kan være berørt, skal I vurdere anmeldelsespligt efter databeskyttelsesloven over for Datatilsynet.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The Link Library plugin for WordPress is vulnerable to arbitrary file deletion due to insufficient file path validation in the ll_delete_link_fields function in all versions up to, and including, 7.9.4 This makes it possible for unauthenticated attackers to delete arbitrary files on the server, which can easily lead to remote code execution when the right file is deleted (such as wp-config.php). Exploitation requires the administrator to have enabled the ‘Delete local file on link deletion’ plugin option (disabled by default) and to subsequently permanently delete the attacker-submitted link, which is a routine moderation action.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.