WP2Shell: Kritisk WordPress-sårbarhed (CVE-2026-63030)
Kritisk sikkerhedshul i WordPress 6.9 og 7.0 kan kombineret med SQL-indsprøjtning give angribere fuld kontrol over sitet. Opdatér til 6.9.5 eller 7.0.2.
Hvad er det?
CVE-2026-63030 er en fejl i WordPress’ REST API, en grænseflade som andre systemer bruger til at kommunikere med sitet. Fejlen kaldes route confusion (CWE-436) og betyder, at et batch-endepunkt, som normalt behandler flere forespørgsler samlet, kan narres til at fortolke en forespørgsel forkert. Kombineret med en anden fejl, CVE-2026-60137, i parameteren author__not_in i WordPress’ database-forespørgselsfunktion WP_Query, kan angribere sprøjte egen kode ind i databasekald (SQL-indsprøjtning). Sammen gør de to fejl det muligt for en angriber uden login at få WordPress til at køre vilkårlig kode på serveren, kendt som remote code execution.
Hvem rammer det?
Alle websites, der kører WordPress version 6.9 til og med 6.9.4, eller version 7.0 til og med 7.0.1. Det gælder uanset hvilke plugins eller temaer der er installeret, da fejlen ligger i WordPress-kernen selv. Danske virksomheder, foreninger og kommuner med selvhostede WordPress-sites eller sites hos et hostingselskab, der ikke automatisk opdaterer kerneversionen, er berørt.
Hvad kan ske?
En angriber kan uden at logge ind sende en særligt udformet forespørgsel til REST API’et og derved få adgang til at læse, ændre eller slette hele databasen, herunder kundedata, brugeroplysninger og indhold. Da fejlen samlet giver mulighed for at køre kode på serveren, kan angriberen også plante en webshell, tage sitet ud af drift eller bruge serveren som springbræt til resten af netværket.
Hvor alvorligt er det?
CVSS-score er 9,8 ud af 10, kritisk. Angrebet kræver ingen login (PR:N) og ingen handling fra en bruger (UI:N), og det kan udføres over internettet (AV:N) med lav teknisk kompleksitet. Det betyder, at ethvert sårbart site, der er tilgængeligt på internettet, i praksis kan angribes automatisk. Der er ved offentliggørelsen ikke rapporteret om udnyttelse i praksis, men kombinationen af to kendte fejl gør det sandsynligt, at et angrebsværktøj hurtigt kan blive tilgængeligt.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser skaden, hvis det allerede er sket:
- Opdatér WordPress til version 6.9.5 eller 7.0.2, afhængigt af hvilken sporlinje I kører. Det lukker begge de underliggende fejl.
- Tjek at automatiske kerneopdateringer er aktiveret, så I ikke står med samme problem ved næste sikkerhedsrettelse.
- Gennemgå server- og adgangslogs for usædvanlige REST API-forespørgsler eller uventede admin-brugere, oprettet efter offentliggørelsesdatoen.
- Tag en frisk sikkerhedskopi af database og filer, når opdateringen er gennemført og verificeret.
- Hvis I finder tegn på indbrud, eller I ikke selv kan verificere, at opdateringen er slået korrekt igennem, bør I kontakte en sikkerhedsrådgiver med det samme.
Opdatér inden for 24 timer
Vi anbefaler, at I opdaterer WordPress til version 6.9.5 eller 7.0.2 så hurtigt som muligt, da fejlen kan udnyttes uden login og giver fuld kontrol over serveren. Det er ikke forsvarligt at vente til en planlagt vedligeholdelsesvindue, når sitet er tilgængeligt fra internettet. Har I ikke mulighed for at opdatere med det samme, bør I i mellemtiden begrænse adgangen til REST API’et via en firewall, mens I planlægger opdateringen.
Tidslinje
Konkrete eksempler
Kompromitteret firmawebsite hos en dansk detailkæde
En dansk detailkæde kører sit kundevendte website på WordPress 6.9.3 uden automatiske kerneopdateringer. En angriber sender en forespørgsel til REST API’et og udnytter kombinationen af de to fejl til at oprette en administratorbruger og indsætte en webshell. Herefter har angriberen fuld adgang til kundedata og kan ændre sitets indhold efter forgodtbefindende.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vores WordPress er sårbar?
Log ind i WordPress-administrationen og se versionsnummeret under Værktøjer eller på dashboardet. Er versionen 6.9.0 til 6.9.4 eller 7.0.0 til 7.0.1, er I sårbare og bør opdatere.
Kan vi vente til weekenden med at opdatere?
Nej. Fejlen kan udnyttes uden login over internettet, og kombinationen med SQL-indsprøjtning gør konsekvensen alvorlig. Opdateringen bør gennemføres samme dag, den bliver kendt.
Rammer det også sites hostet hos et eksternt bureau eller hostingselskab?
Ja, hvis WordPress-kernen på det pågældende site ikke er opdateret til 6.9.5 eller 7.0.2. Spørg jeres hostingleverandør eller bureau, om opdateringen er gennemført, og bed om skriftlig bekræftelse.
Er der tegn på, at fejlen allerede bliver udnyttet?
Der er ved offentliggørelsen ikke offentligt kendte tilfælde af udnyttelse, men da to fejl kombineres til en fuld kompromittering, må I forvente, at angrebsforsøg kommer hurtigt efter offentliggørelsen.
Skal vi anmelde et angreb til myndighederne?
Hvis I finder tegn på, at data er blevet tilgået eller ændret, og der er tale om persondata, skal I vurdere anmeldelse til Datatilsynet inden for 72 timer efter reglerne om behandlingssikkerhed. Kontakt en rådgiver, hvis I er i tvivl om omfanget.
Påvirker opdateringen vores plugins eller tema?
Opdateringen retter WordPress-kernen og bør normalt ikke påvirke plugins eller tema. Vi anbefaler alligevel at teste sitet efter opdateringen, særligt hvis I bruger ældre eller ikke-opdaterede plugins.
Ramte produkter
Wordpress: Wordpress
≥ 6.9, < 6.9.5
Wordpress: Wordpress
≥ 7.0, < 7.0.2
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
WordPress 6.9.x before 6.9.5 and 7.0.x before 7.0.2 is affected by a REST API batch endpoint route confusion issue which, combined with the author__not_in WP_Query SQL Injection (CVE-2026-60137), could allow an attacker to perform SQL Injection and achieve Remote Code Execution.
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.