CVE-2026-73532: Bagdør i Fluent Forms Pro 6.2.7
Fluent Forms Pro 6.2.7 blev distribueret med indbygget bagdør fra en aflagt opdateringsserver. Fjern pluginet og tjek for fremmede administratorer nu.
Hvad er det?
Fluent Forms Pro version 6.2.7 til WordPress blev leveret med skjult skadelig kode, fordi opdateringen kom fra en aflagt opdateringsserver, som en angriber havde overtaget. Den manipulerede udgave lægger en fil ved navn class-license-sync.php ind i pluginet og indlæser den automatisk via en tilføjet linje i fluentformpro.php. Filen opretter et skjult REST API-endepunkt, som en angriber kan bruge til at sende kommandoer til hjemmesiden udefra. Samtidig lægges der ekstra PHP-filer i mappen mu-plugins, som WordPress altid indlæser uden at kunne slås fra, og der oprettes en administratorkonto uden adgangskode. Der bliver også sat planlagte opgaver op i WordPress, som kører selv efter pluginet er fjernet. CWE-506 betyder, at den skadelige kode er en del af selve softwaren fra starten, ikke noget en angriber udnytter bagefter.
Hvem rammer det?
Alle WordPress-installationer, der har hentet eller opdateret Fluent Forms Pro til version 6.2.7 i den periode, hvor den kompromitterede opdateringsserver var i drift. Det gælder virksomheder og kommuner, der bruger pluginet til kontaktformularer, ansøgningsformularer eller andre formularer på deres hjemmeside eller intranet. Både selvhostede WordPress-sites og sites hostet hos et webbureau kan være ramt, hvis opdateringen er sket automatisk eller manuelt via den berørte kilde.
Hvad kan ske?
En angriber har fuld kontrol over hjemmesiden gennem den passwordløse administratorkonto og det skjulte API. Det betyder adgang til alle data i WordPress-databasen, herunder indsendte formularer med personoplysninger, mulighed for at ændre hjemmesiden, sprede skadelig kode til besøgende, eller bruge serveren som springbræt videre ind i virksomhedens netværk. Fordi bagdøren overlever afinstallation af pluginet, kan angriberen bevare adgangen, selv om nogen fjerner Fluent Forms Pro uden at rydde op andre steder.
Hvor alvorligt er det?
CVSS-score er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ikke login og ingen handling fra en bruger, og det kan udføres over internettet mod alle sårbare installationer. Fortrolighed, integritet og tilgængelighed rammes alle fuldt ud, fordi angriberen får administratorrettigheder. Fejlen er ikke en teoretisk sårbarhed, der skal udnyttes senere, den skadelige kode er allerede installeret på de berørte sites, så alle installationer med den ramte version bør betragtes som kompromitterede.
Hvad gør jeg nu?
Fordi den skadelige kode allerede er en del af de installerede filer, er en simpel opdatering ikke nok. Følg trinene i rækkefølge.
- Fjern Fluent Forms Pro helt, inklusive filerne class-license-sync.php og alle uventede filer i mappen mu-plugins og uploads, og geninstallér udelukkende fra en verificeret, officiel kilde.
- Gennemgå listen over administratorbrugere i WordPress og slet konti, I ikke selv har oprettet, især konti uden adgangskode eller med ukendt e-mail.
- Tjek WordPress-cron og serverens crontab for planlagte opgaver, I ikke genkender, og fjern dem.
- Skift adgangskoder til WordPress-administratorer, databasen og FTP eller SSH-adgang, da disse kan være kompromitteret.
- Gennemgå server- og adgangslogs for aktivitet på det skjulte REST API-endepunkt og for uautoriseret dataudtræk, og vurdér om personoplysninger er blevet eksponeret.
- Kontakt et it-sikkerhedsfirma, hvis I finder tegn på aktiv kompromittering, eller hvis I er i tvivl om, om oprydningen er komplet.
Fjern og genopbyg i dag
Vi anbefaler, at I straks fjerner Fluent Forms Pro fra alle hjemmesider, der kører version 6.2.7, og behandler sitet som kompromitteret, indtil I har gennemgået administratorkonti, planlagte opgaver og logs. Det er ikke forsvarligt at vente, fordi bagdøren giver fuld kontrol og allerede kan være udnyttet. Har I ikke selv kapacitet til at gennemgå logs og rydde op i skjulte filer, bør I hente ekstern hjælp med det samme frem for at vente til en planlagt opdatering.
Tidslinje
Konkrete eksempler
Kontaktformular på en dansk virksomheds hjemmeside
En mindre dansk virksomhed bruger Fluent Forms Pro til kontakt- og jobansøgningsformularer på sin WordPress-side. Automatisk opdatering henter den kompromitterede version 6.2.7, og en angriber opretter en administratorkonto samt et skjult API-endepunkt. Angriberen udtrækker efterfølgende ansøgeres personoplysninger og bruger sitet til at sprede skadelig kode til besøgende, uden at virksomheden opdager det, før kunder klager over mistænkelige e-mails.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis jeres WordPress-site kører eller har kørt Fluent Forms Pro version 6.2.7, som er hentet i den periode, hvor den kompromitterede opdateringsserver var aktiv. Tjek pluginversionen under Plugins i WordPress-administrationen, og se om filen class-license-sync.php findes i pluginmappen.
Kan vi bare vente med at opdatere til weekenden?
Nej. Bagdøren giver allerede en angriber fuld administratoradgang uden login, så hvert døgn med den kompromitterede installation øger risikoen for datatab eller yderligere skade. Fjern pluginet og gennemgå kontoen for administratorer så hurtigt som muligt.
Er det nok at opdatere pluginet til en nyere version?
Nej. Fordi den skadelige kode har lagt filer i mu-plugins og oprettet planlagte opgaver, der overlever afinstallation, skal I aktivt fjerne alle spor og ikke kun opdatere pluginet.
Hvordan finder vi den skjulte administratorkonto?
Gå til Brugere i WordPress-administrationen og gennemgå alle konti med rollen administrator. Se særligt efter konti med ukendt eller mistænkelig e-mailadresse, som I ikke selv har oprettet.
Skal vi anmelde hændelsen?
Hvis formularerne på jeres site har indsamlet personoplysninger, og I finder tegn på, at data er blevet tilgået eller udtrukket, kan der være tale om et brud på persondatasikkerheden, som skal vurderes i forhold til reglerne om anmeldelse til Datatilsynet inden for 72 timer.
Hvordan undgår vi lignende problemer fremover?
Hent altid plugins og opdateringer direkte fra det officielle WordPress-plugin-katalog eller producentens verificerede kilde, og overvej at bruge fil-integritetstjek, der kan opdage uventede ændringer i pluginfiler.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Fluent Forms Pro 6.2.7 contains an embedded malicious code vulnerability introduced via a tampered plugin build served through a decommissioned update server. The tampered build introduced a rogue PHP file (libs/class-license-sync.php), loaded via a require_once directive added to fluentformpro.php, that established a backdoor REST API endpoint, dropped persistent PHP files in mu-plugins and uploads directories, installed a passwordless administrator account, and registered scheduled tasks that survived plugin removal.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.