CVE-2026-78003: Kritisk SSRF-fejl i Mailgun for WordPress
Kritisk sikkerhedshul i Mailgun for WordPress (CVE-2026-78003) giver angribere adgang til jeres Mailgun-konto uden login. Opdatér plugin nu.
Hvad er det?
CVE-2026-78003 er en sårbarhed i WordPress-pluginet Mailgun for WordPress, der bruges til at sende e-mails fra en WordPress-hjemmeside via tjenesten Mailgun. Fejlen er en SSRF-sårbarhed (Server-Side Request Forgery), hvor en angriber kan lokke serveren til at sende forespørgsler, den ikke selv har bedt om. Funktionen add_list() modtager data fra formularfeltet ‘addresses’ uden ordentlig kontrol, hvilket gør det muligt at sende egne kommandoer direkte til Mailguns API med hjemmesidens egen nøgle. Angrebet kræver hverken login eller nogen handling fra en bruger på siden.
Hvem rammer det?
Alle WordPress-hjemmesider, der bruger pluginet Mailgun for WordPress i version 2.2.0 eller ældre. Det gælder typisk virksomheder og foreninger, der sender ordrebekræftelser, nyhedsbreve eller kontaktformularer via Mailgun. Er pluginet ikke installeret, er hjemmesiden ikke ramt af denne konkrete sårbarhed.
Hvad kan ske?
En angriber kan bruge hjemmesidens Mailgun-nøgle til at oprette en videresendelsesregel, så indgående mails, herunder mails om nulstilling af kodeord til WordPress-administratoren, sendes videre til angriberens egen postkasse. Derefter kan angriberen nulstille administratorens kodeord og overtage hele hjemmesiden. Herfra kan der installeres skadelig kode, sendes spam i virksomhedens navn, eller stjæles kundedata.
Hvor alvorligt er det?
Sårbarheden har en CVSS-score på 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ikke login, ingen adgangskode og ingen handling fra en medarbejder eller kunde. Det kan udføres over internettet af hvem som helst, der kender adressen på hjemmesiden. Der er ikke oplyst bekræftet aktiv udnyttelse i det offentlige NVD-datagrundlag, men den tekniske beskrivelse er detaljeret nok til, at et angreb kan bygges direkte ud fra den.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser skaden, hvis det allerede er sket:
- Opdatér pluginet Mailgun for WordPress til den nyeste version i WordPress-administrationen under Plugins. Er der ikke udkommet en opdatering endnu, sæt pluginet inaktivt indtil videre.
- Log ind på jeres Mailgun-konto og gennemgå listen over e-mail-ruter og videresendelser. Slet alle regler, I ikke selv har oprettet.
- Generér en ny API-nøgle i Mailgun og opdatér den i WordPress-pluginets indstillinger, så en eventuel stjålen nøgle ikke længere virker.
- Skift kodeord for alle administratorbrugere på hjemmesiden og aktivér to-faktor-godkendelse, hvis det ikke allerede er slået til.
- Gennemgå WordPress-loggen for uventede ændringer, nye administratorer eller ukendte plugins installeret efter offentliggørelsesdatoen.
- Er I i tvivl om, hvorvidt jeres site allerede er kompromitteret, eller mangler I ressourcer til at gennemgå Mailgun-kontoen og loggene selv, bør I hente hjælp fra en it-sikkerhedsrådgiver.
Opdatér inden for 24 timer
Vi anbefaler, at I opdaterer Mailgun for WordPress med det samme og gennemgår jeres Mailgun-konto for uautoriserede e-mail-ruter, uanset om I tror, I er ramt. Da angrebet ikke kræver login og kan udføres automatisk mod alle sårbare sites, er det ikke forsvarligt at vente til en planlagt opdateringsrunde. Har I ikke selv overblik over, om pluginet er installeret på jeres hjemmeside, bør I få det afklaret som det første.
Tidslinje
Konkrete eksempler
Overtagelse af administratorkonto hos en dansk webshop
En mindre dansk webshop bruger Mailgun for WordPress til at sende ordrebekræftelser til kunder. En angriber udnytter sårbarheden til at oprette en videresendelsesregel i Mailgun, så kodeord-nulstillingsmails til webshoppens administrator sendes videre til angriberens egen mail. Angriberen nulstiller adminkodeordet, logger ind og installerer skadelig kode, der stjæler kundernes betalingsoplysninger via en falsk betalingsformular.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger det sårbare plugin?
Log ind i WordPress-administrationen og gå til Plugins. Søg efter ‘Mailgun for WordPress’ og se, om det er aktivt, og hvilken version der er installeret. Er versionen 2.2.0 eller ældre, er I ramt.
Kan vi vente med opdateringen til efter weekenden?
Nej. Sårbarheden kræver hverken login eller brugerhandling, og angrebet kan automatiseres. Jo længere pluginet er sårbart, jo større er risikoen for, at nogen finder og udnytter det, før I når at opdatere.
Er vores hjemmeside allerede blevet hacket?
Det kan I ikke se direkte i WordPress. Gennemgå i stedet jeres Mailgun-konto for ukendte e-mail-videresendelser og tjek loggen for nye administratorbrugere eller ændringer, I ikke selv har lavet.
Skal vi anmelde hændelsen, hvis vi bliver ramt?
Er personoplysninger blevet tilgået eller lækket, for eksempel kundedata via en overtaget administratorkonto, skal I vurdere anmeldelse til Datatilsynet inden for 72 timer efter reglerne om databeskyttelse. Er I i tvivl, bør I søge juridisk rådgivning hurtigt.
Er vi i sikkerhed, hvis vi bare skifter Mailgun-nøglen?
Ny nøgle lukker for videre misbrug af den gamle, men fjerner ikke selve sårbarheden i pluginet. I skal både opdatere pluginet og skifte nøglen for at være dækket.
Påvirker det andre plugins eller vores webhotel generelt?
Nej, sårbarheden ligger specifikt i Mailgun for WordPress-pluginets kode. Andre plugins og selve WordPress-kernen er ikke berørt af denne konkrete fejl.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The Mailgun for WordPress plugin for WordPress is vulnerable to Server-Side Request Forgery (SSRF) via path traversal in versions up to and including 2.2.0. This is due to insufficient input validation in the add_list() function, which accepts user-controlled array keys from $_POST[‘addresses’], passes them through sanitize_text_field(). This makes it possible for unauthenticated attackers to make authenticated POST requests to any Mailgun API endpoint using the WordPress site’s API key, including creating inbound email-forwarding routes that can intercept password reset emails, leading to administrator account takeover.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.