CVE-2026-6070: Kritisk fejl i WP-BusinessDirectory
Kritisk WordPress-fejl lader hackere slette dine vigtigste filer uden login — opdater WP-BusinessDirectory straks.
Hvad er det?
CVE-2026-6070 er en kritisk sikkerhedsfejl i WordPress-plugin’et WP-BusinessDirectory (version 4.0.1 og ældre). Fejlen gør det muligt for en angriber at slette vilkårlige filer på din webserver — helt uden at have en konto eller være logget ind. Det sker fordi plugin’et ikke tjekker ordentligt, hvilke filer der må tilgås, når en bruger beder om at fjerne en uploadet fil. En angriber kan bruge såkaldte ‘sti-gennemløb’ (directory traversal) — det vil sige navigere uden for den tilladte mappe — og nå kritiske systemfiler som wp-config.php, der indeholder adgangskoder til din database.
Hvem rammer det?
Sårbarheden rammer alle hjemmesider, der kører WordPress med plugin’et WP-BusinessDirectory i version 4.0.1 eller ældre installeret og aktivt. Det gælder typisk virksomheder, der bruger plugin’et til at drive en online erhvervs- eller branchefortegnelse. Da angrebet kan udføres uden login, er alle berørte sites i fare — uanset om de er store eller små.
Hvad kan ske?
En angriber kan udnytte fejlen til at slette kritiske filer på din server. De mest alvorlige konsekvenser er:
- Sletning af wp-config.php: Denne fil indeholder databaseadgangskoder og hemmelige nøgler. Slettes den, går din hjemmeside ned øjeblikkeligt — og WordPress tilbyder automatisk en ny installationsguide, som en angriber kan bruge til at overtage siden fuldstændigt.
- Nedbrud af hjemmesiden: Sletning af andre centrale filer kan gøre din side utilgængelig for besøgende og kunder.
- Datatab og videre angreb: Hvis en angriber overtager installationsprocessen, kan de få adgang til hele din database med kundedata og indhold.
Hvor alvorligt er det?
Sårbarheden er vurderet til 9.1 ud af 10 (Kritisk) ifølge den internationale standard CVSS. Den scorer så højt fordi:
- Angrebet kan udføres over internettet uden nogen form for login.
- Det kræver ingen særlige tekniske færdigheder at udnytte.
- Det kan føre til total nedetid og potentielt fuldstændig overtagelse af din hjemmeside.
Fortrolighed af data (C) påvirkes ikke direkte af selve sletningen, men integriteten (I) og tilgængeligheden (A) af din hjemmeside er i høj risiko.
Hvad gør jeg nu?
Handl hurtigt. Her er hvad du skal gøre i prioriteret rækkefølge:
- Opdater plugin’et straks: Tjek om der er en opdateret version af WP-BusinessDirectory tilgængelig og installer den med det samme via WordPress-dashboardet under Plugins → Opdateringer.
- Deaktiver plugin’et midlertidigt: Hvis ingen opdatering er tilgængelig, deaktivér plugin’et under Plugins i dit WordPress-dashboard, indtil en patch foreligger.
- Tag en backup nu: Sørg for at have en frisk sikkerhedskopi af hele dit website — især
wp-config.phpog din database. - Tjek dine logfiler: Bed din webhost eller IT-ansvarlige om at gennemgå serverlogfiler for mistænkelig aktivitet rettet mod
task=upload.remove-adressen. - Gennemgå dine filer: Kontrollér at
wp-config.phpog andre kritiske filer stadig er til stede og intakte.
Handl inden for 24 timer
Denne sårbarhed er ekstremt nem at udnytte og kræver ingen login — det betyder, at automatiserede angreb kan ramme din side, uden at du opdager det. Vi anbefaler, at du straks opdaterer eller deaktiverer WP-BusinessDirectory og tager en fuld backup af din hjemmeside. Kontakt os gerne, hvis du er usikker på om din WordPress-installation er sårbar, eller hvis du har brug for hjælp til at sikre din side.
Tidslinje
Konkrete eksempler
Sletning af wp-config.php og overtagelse af site
En angriber sender en automatiseret HTTP-forespørgsel til din hjemmesides URL med parametrene task=upload.remove, _path_type=2 og _filename=../../wp-config.php. WordPress-plugin’et sletter uden at blinke din wp-config.php. Din hjemmeside går øjeblikkeligt ned, og WordPress viser en ny installationsguide. Angriberen åbner guiden, tilslutter sin egen database og overtager din hjemmeside fuldstændigt — alt imens dine kunder ser en fejlside.
Massescanning og automatiseret angreb
En automatiseret bot scanner tusindvis af WordPress-sites på én gang for at finde dem, der kører WP-BusinessDirectory. For hvert sårbart site sendes én forespørgsel, der sletter wp-config.php. Ejerne opdager ikke angrebet før deres site er nede. Angriberen behøver ikke have nogen forudgående viden om det specifikke site — det hele sker på sekunder per mål.
Sletning af backupfiler med adgangskoder
Mange webservere har en sikkerhedskopifil ved navn wp-config-backup.php eller wp-config.bak liggende i roden af WordPress-installationen. En angriber kan bruge den samme teknik til at slette disse filer — eller omvendt bruge viden om filstrukturen til at lokalisere og efterfølgende hente følsomme oplysninger via andre metoder, hvis yderligere sårbarheder er til stede.
Ofte stillede spørgsmål
Kan jeg se om min hjemmeside allerede er blevet angrebet?
Det kan du måske, men det kræver at du tjekker dine serverlogfiler. Bed din webhost om at søge efter HTTP-forespørgsler til URL’en med
task=upload.removei perioden efter 1. juli 2026. Tjek også omwp-config.phpstadig eksisterer i din WordPress-rodmappe — forsvundet filen, er din side højst sandsynligt kompromitteret.Hvad sker der, hvis wp-config.php bliver slettet?
Hvis
wp-config.phpslettes, går din hjemmeside ned øjeblikkeligt og viser en fejl eller en ny installationsguide. En angriber der sidder klar, kan starte installationsguiden og tilslutte sin egen database — og dermed overtage hele din WordPress-installation. Det er i praksis det samme som at miste kontrollen over dit website.Jeg bruger ikke WP-BusinessDirectory aktivt — er jeg stadig i fare?
Ja, det er du desværre. Så længe plugin’et er installeret og aktivt i WordPress, er den sårbare kode tilgængelig over internettet — selvom du ikke bruger plugin’ets funktioner aktivt på din side. Deaktiverer du plugin’et, lukkes hullet. Du kan også slette plugin’et helt, hvis du ikke har brug for det.
Hjælper en firewall eller sikkerhedsplugin mod dette angreb?
En webapplikations-firewall (WAF) — for eksempel Wordfence eller Cloudflare WAF — kan i mange tilfælde blokere angrebet, hvis den genkender mønsteret med
../-sekvenser i forespørgslen. Men en firewall er ikke en garanti og erstatter ikke en opdatering af plugin’et. Brug firewallen som et ekstra lag, ikke som din eneste beskyttelse.Gælder fejlen kun for virksomheder med en offentlig erhvervsfortegnelse?
Fejlen er i selve plugin’et WP-BusinessDirectory, som typisk bruges til at lave online branche- eller erhvervsfortegnelser. Men alle WordPress-sites med dette plugin installeret og aktivt er sårbare — uanset om fortegnelsen er synlig for offentligheden eller ej. Angrebspunktet er en intern URL i plugin’ets system, der er tilgængeligt uden login.
Hvad koster det at få hjælp til at sikre min side?
Det afhænger af din sides kompleksitet og om du allerede er ramt. Et forebyggende tjek og opdatering er typisk en relativt lille investering sammenlignet med omkostningerne ved et nedbrud eller et databrud. Kontakt Auroa for en uforpligtende vurdering af din WordPress-sikkerhed.
Ramte produkter
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The WP-BusinessDirectory plugin for WordPress is vulnerable to Unauthenticated Arbitrary File Deletion in versions up to and including 4.0.1. This is due to insufficient path validation in the remove() method of the JBusinessDirectoryControllerUpload class. The task=upload.remove endpoint is accessible without authentication via the plugin’s frontend routing system. The _filename parameter is accepted with RAW filter (no sanitization), and the helper function makePathFile() only normalizes directory separator characters without stripping path traversal sequences (../). When combined with the _path_type=2 parameter, which sets the base directory to the plugin’s site folder, an attacker can supply a _filename value containing ../ sequences to traverse outside the plugin directory and call PHP’s unlink() on arbitrary files — including wp-config.php, wp-config-backup.php, or other critical server files accessible to the web server process. This makes it possible for unauthenticated attackers to delete arbitrary files on the server.
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.