CVE-2026-73533: Bagdør i Ninja Tables Pro 5.2.11
Ninja Tables Pro 5.2.11 indeholdt skjult skadelig kode fra en manipuleret opdateringsserver. Fjern pluginet og undersøg for bagdøre.
Hvad er det?
CVE-2026-73533 handler om Ninja Tables Pro version 5.2.11, et tabel-plugin til WordPress. En manipuleret udgave af pluginet blev udgivet via en nedlagt opdateringsserver, som stadig blev brugt til at levere opdateringer. Den manipulerede udgave indeholdt en fil kaldet NinjaTableDataSync.php, som opretter en skjult REST API-endpoint, en webadresse serveren svarer på uden at det er synligt i normal brug. Koden lægger desuden filer i systemmapperne mu-plugins og uploads, opretter en administratorkonto uden kodeord og sætter planlagte opgaver op, der kører videre selv om pluginet fjernes.
Hvem rammer det?
Alle danske virksomheder og kommuner, der kører WordPress med Ninja Tables Pro version 5.2.11 installeret i den periode, hvor den manipulerede opdatering var tilgængelig, er ramt. Det gælder både interne intranet-løsninger og offentligt tilgængelige hjemmesider, hvor pluginet bruges til at vise sorterbare tabeller, produktlister eller lignende data.
Hvad kan ske?
En angriber kan bruge den skjulte REST-endpoint eller den kodeordsløse administratorkonto til at få fuld kontrol over hjemmesiden: læse og ændre kundedata, uploade yderligere skadelig kode, sende spam eller phishingmails fra virksomhedens domæne, eller bruge serveren som springbræt ind i det interne netværk. Fordi bagdørene ligger i mu-plugins-mappen og som planlagte opgaver, forsvinder de ikke, selv om Ninja Tables Pro afinstalleres.
Hvor alvorligt er det?
Sårbarheden har den højeste CVSS-score, 9,8 ud af 10. Den kræver ingen login og ingen handling fra en bruger, og den kan udnyttes over internettet med lav teknisk kompleksitet, fordi bagdøren allerede ligger i systemet fra den manipulerede opdatering. Fortrolighed, integritet og tilgængelighed er alle fuldt kompromitteret, da angriberen kan læse, ændre og forstyrre systemet fuldstændigt.
Hvad gør jeg nu?
Det handler ikke om at installere en opdatering, men om at fjerne allerede installeret skadelig kode. Følg trinene i denne rækkefølge:
- Afinstallér Ninja Tables Pro og gennemgå manuelt mu-plugins-mappen og uploads-mappen for filer, der ikke hører til, herunder NinjaTableDataSync.php.
- Tjek administratorbrugere i WordPress for konti, I ikke kender, især konti uden kodeord eller oprettet på et tidspunkt, hvor ingen i virksomheden har lavet ændringer.
- Gennemgå planlagte opgaver (cron jobs) på serveren og i WordPress for jobs, I ikke selv har sat op.
- Skift alle kodeord til WordPress-administratorer, database og hosting-konto, da en kompromitteret server kan have eksponeret dem.
- Gennemgå server- og webserverlogs for ukendte kald til REST API-endpoints for at afklare, om bagdøren er blevet brugt.
- Kontakt en sikkerhedsrådgiver, hvis I finder tegn på uautoriseret adgang, eller hvis I er i tvivl om, om jeres oprydning er komplet.
Fjern pluginet og undersøg systemet i dag
Vi anbefaler, at I straks kontrollerer, om Ninja Tables Pro 5.2.11 er eller har været installeret på jeres WordPress-sites, og at I gennemfører en fuld oprydning som beskrevet ovenfor, ikke blot en afinstallation af pluginet. Dette er ikke en sag, man kan lade vente til en fast opdateringsrunde, fordi bagdøren allerede kan være aktiv og give en angriber fuld adgang. Er I i tvivl om, hvorvidt oprydningen er fuldstændig, bør I få en ekstern gennemgang af serveren, før I erklærer sagen for afsluttet.
Tidslinje
Konkrete eksempler
Kommunal hjemmeside med tabel-plugin
En dansk kommune bruger Ninja Tables Pro til at vise takstoversigter på sin hjemmeside. Pluginet opdateres automatisk via den manipulerede build, og en angriber opretter en kodeordsløs administratorkonto. Ugen efter opdager IT-afdelingen uventede filer i uploads-mappen og finder ud af, at en ukendt konto har haft adgang til systemet i flere dage.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi er ramt?
Tjek pluginversionen af Ninja Tables Pro i WordPress-administrationen. Har eller har I haft version 5.2.11 installeret, bør I gennemgå mu-plugins- og uploads-mapperne for uventede filer og se administratorlisten igennem for ukendte konti.
Er det nok at opdatere pluginet til en nyere version?
Nej. Bagdørene ligger i systemfiler og planlagte opgaver, der overlever både opdatering og afinstallation af pluginet. I skal fjerne de indsatte filer og konti manuelt, ikke blot udskifte pluginet.
Kan vi vente til weekenden med at kigge på det?
Nej. Fordi den kodeordsløse administratorkonto og den skjulte API-endpoint allerede kan være i brug, bør gennemgangen ske samme dag, I opdager sårbarheden, ikke ved næste planlagte vedligeholdelse.
Skal vi anmelde dette som et sikkerhedsbrud?
Finder I tegn på, at bagdøren er blevet brugt til at tilgå kundedata eller personoplysninger, kan det udgøre et databrud, som skal vurderes efter GDPR-reglerne. Vi anbefaler, at I dokumenterer jeres fund og tager kontakt til en juridisk eller sikkerhedsfaglig rådgiver ved tvivl.
Hvordan undgår vi lignende problemer fremover?
Brug kun plugin-opdateringer fra den officielle WordPress plugin-database eller leverandørens verificerede kanal, og overvåg, om jeres site pludselig henter opdateringer fra ukendte adresser. Overvej også en filintegritetstjek, der kan opdage uventede ændringer i systemfiler.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Ninja Tables Pro 5.2.11 contains an embedded malicious code vulnerability introduced via a tampered plugin build served through a decommissioned update server. The tampered build introduced a rogue PHP file (app/Library/updater/NinjaTableDataSync.php) that established a backdoor REST API endpoint, dropped persistent PHP files in mu-plugins and uploads directories, installed a passwordless administrator account, and registered scheduled tasks that survived plugin removal.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.