CVE-2026-7515: Kritisk hul i BetterDocs Pro til WordPress
Et kritisk hul i WordPress-pluginnet BetterDocs Pro (CVE-2026-7515) giver angribere kodekørsel uden login. Opdatér eller deaktivér pluginnet.
Hvad er det?
CVE-2026-7515 er en sårbarhed i WordPress-pluginnet BetterDocs Pro, som bruges til at lave dokumentation og videnbaser på hjemmesider. Fejlen sidder i parameteren doc_style og er det, man kalder lokal fil-inklusion: en teknik, hvor en angriber kan få serveren til at hente og køre en anden fil end den tilsigtede, i dette tilfælde en PHP-fil. Da pluginnet ikke tjekker parameteren ordentligt, kan en angriber pege den mod en fil, der allerede ligger på serveren, for eksempel en fil uploadet via mediebiblioteket, og få WordPress til at udføre den som kode. Det kræver hverken login eller nogen handling fra en bruger på sitet.
Hvem rammer det?
Alle WordPress-sites, der bruger BetterDocs Pro i version 3.8.0 eller tidligere. Det gælder typisk virksomheder og kommuner, der bruger pluginnet til supportportaler, interne videnbaser eller kundedokumentation. Hvis I ikke selv har installeret BetterDocs Pro, men jeres webbureau eller leverandør har sat sitet op, bør I spørge dem, om pluginnet er i brug.
Hvad kan ske?
En angriber kan udnytte sårbarheden til at få serveren til at køre vilkårlig PHP-kode. I praksis betyder det, at angriberen kan overtage hele sitet, læse eller ændre databaser med kundedata, oprette nye administratorbrugere, plante skadelig kode eller bruge serveren som springbræt til resten af netværket. Da der ikke kræves login, kan angrebet udføres af hvem som helst, der kender adressen på sitet.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ingen godkendelse, ingen handling fra en bruger og kan udføres over internettet med lav teknisk kompleksitet. Konsekvensen rammer alle tre dele af sikkerheden hårdt: fortrolighed, integritet og tilgængelighed er alle sat til højeste niveau i vurderingen. Der er ikke oplysninger om, at sårbarheden aktivt udnyttes i angreb på tidspunktet for offentliggørelsen, men den lave kompleksitet og manglende krav om login gør den til et oplagt mål for automatiserede angreb.
Hvad gør jeg nu?
Følgende trin lukker hullet eller reducerer risikoen, mens I venter på en løsning.
- Tjek om jeres WordPress-site bruger BetterDocs Pro, og find den installerede version under Plugins i administrationen.
- Opdatér pluginnet til nyeste version med det samme, hvis en opdatering er tilgængelig i pluginbutikken eller hos leverandøren.
- Er der ingen opdatering tilgængelig, så deaktivér BetterDocs Pro helt, indtil en rettet version findes.
- Gennemgå adgangslogs på webserveren for usædvanlige kald med doc_style-parameteren, som kan indikere forsøg på udnyttelse.
- Begræns eller lås mediebiblioteket, så uautoriserede ikke kan uploade filer, der senere kan inkluderes via sårbarheden.
- Kontakt jeres webbureau eller en sikkerhedsrådgiver, hvis I ikke selv kan vurdere, om sitet allerede er kompromitteret.
Opdatér eller deaktivér inden for 24 timer
Vi anbefaler, at I tjekker jeres WordPress-installationer for BetterDocs Pro i dag og opdaterer eller deaktiverer pluginnet, hvis en rettet version endnu ikke findes. Det er ikke forsvarligt at vente, da sårbarheden kan udnyttes uden login og med lav teknisk kompleksitet. Har I ikke pluginnet installeret, kan I se bort fra denne sag.
Tidslinje
Konkrete eksempler
Supportportal hos en dansk servicevirksomhed
En mellemstor servicevirksomhed bruger BetterDocs Pro til at drive en offentlig supportportal med vejledninger til kunder. En angriber uploader en tilsyneladende harmløs billedfil med skjult PHP-kode gennem en åben kontaktformular og bruger derefter doc_style-parameteren til at få WordPress til at inkludere og køre filen. Angriberen får dermed adgang til databasen med kundeoplysninger og opretter en skjult administratorkonto til senere brug.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger BetterDocs Pro?
Log ind i WordPress-administrationen og gå til Plugins. Står BetterDocs Pro på listen med version 3.8.0 eller ældre, er I ramt. Er I i tvivl, kan jeres webbureau tjekke det for jer.
Kan vi vente med at reagere til efter weekenden?
Nej. Sårbarheden kræver hverken login eller brugerhandling og kan udnyttes automatisk af scanningsværktøjer, som løbende leder efter sårbare WordPress-sites. Vent ikke med at opdatere eller deaktivere pluginnet.
Er vores side allerede angrebet?
Gennemgå webserverens adgangslogs for kald, der indeholder doc_style i URL’en sammen med filstier eller unormale tegn. Findes der administratorbrugere, I ikke kan genkende, eller uventede filer i uploadmappen, bør I antage, at sitet er kompromitteret og søge hjælp.
Skal vi anmelde hændelsen, hvis vi bliver ramt?
Hvis angrebet fører til, at persondata bliver tilgået eller stjålet, skal I vurdere anmeldelsespligt efter databeskyttelsesforordningen over for Datatilsynet inden for 72 timer. Er I i tvivl, bør I kontakte en juridisk eller sikkerhedsfaglig rådgiver hurtigt.
Er det nok at deaktivere pluginnet, eller skal vi slette det?
Deaktivering stopper udnyttelsen, men filer og indstillinger fra pluginnet ligger stadig på serveren. Vi anbefaler, at I sletter pluginnet helt, hvis I ikke aktivt bruger det, og først geninstallerer det, når en rettet version er tilgængelig.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The BetterDocs Pro plugin for WordPress is vulnerable to Local File Inclusion in versions up to, and including, 3.8.0 via the `doc_style` parameter. This makes it possible for unauthenticated attackers to include and execute arbitrary .php files on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in cases where .php file types can be uploaded and included.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.