WP2Shell del 2: SQL-injektion i WordPress (CVE-2026-60137)

CVE-2026-60137 er en sql-indsprøjtningsfejl (SQL Injection, hvor en angriber kan indsætte egne databasekommandoer via et inputfelt) i WordPress’ kernefunktion WP_Query. Fejlen sidder i parameteren author__not_in, som ikke bliver renset korrekt for særtegn. Selve WordPress-kernen bruger normalt ikke denne parameter med brugerstyret input, men mange plugins og temaer gør. Hvis et plugin eller tema videregiver ubekræftet input, for eksempel fra en URL eller et formular, direkte til author__not_in, kan en angriber indsætte sql-kommandoer og læse data fra databasen, som vedkommende ikke skulle have adgang til.

Alle WordPress-installationer med version 6.8.0 til og med 6.8.5, 6.9.0 til og med 6.9.4, eller 7.0.0 til og med 7.0.1. Det gælder både WordPress.org-installationer og selvhostede sider hos danske virksomheder, foreninger og kommuner. Risikoen er størst for sider, der bruger plugins eller temaer med brugerdefinerede forespørgsler, for eksempel medlemssider, bookingsystemer eller sider med avanceret søgning og filtrering af indhold efter forfatter.

En angriber, der finder et plugin eller tema, der sender ubekræftet input videre til den sårbare parameter, kan trække data ud af databasen. Det kan være brugernavne, e-mailadresser, adgangskodehash og andre oplysninger, der normalt ikke er offentligt tilgængelige. Fejlen giver ikke mulighed for at ændre eller slette data, og den lukker ikke sitet ned. Konsekvensen er altså tab af fortrolighed, ikke driftsstop.

CVSS-score er 5,9 ud af 10, moderat risiko. Angrebet kræver ikke login og ingen handling fra en bruger, men har høj angrebskompleksitet: det kræver, at et konkret plugin eller tema på sitet videresender ubekræftet input til den sårbare parameter. Det er altså ikke en fejl, der kan udnyttes direkte i en standard WordPress-installation, men en svaghed i kernen, som tredjepartskode kan gøre farlig. Vi har ikke set rapporter om aktiv udnyttelse i skarpe angreb, men da sårbarheden er offentligt beskrevet, kan angribere begynde at lede efter sårbare plugins.

Sådan lukker I hullet og reducerer risikoen fra ubetroede plugins:

1. Opdatér WordPress til 6.8.6, 6.9.5 eller 7.0.2, afhængigt af hvilken linje jeres site kører. Det lukker fejlen i kernen.
2. Gennemgå jeres installerede plugins og temaer for kode, der bruger author__not_in med brugerstyret input, og opdatér dem til nyeste version, hvis udviklerne har fikset det.
3. Fjern plugins og temaer, I ikke bruger, da de også kan indeholde den sårbare kode uden at være aktive.
4. Tjek adgangslogs for usædvanlige forespørgsler med sql-syntaks i URL-parametre, hvis I vil vurdere, om der allerede har været forsøg på udnyttelse.
5. Tag en frisk backup af databasen, før I opdaterer, så I kan gendanne hvis en opdatering giver konflikter med eksisterende plugins.
6. Kontakt en webudvikler eller sikkerhedsrådgiver, hvis I ikke selv kan vurdere, om jeres plugins og temaer bruger den sårbare parameter.