CVE-2026-78006: Kritisk fejl i The Events Calendar
Kritisk sikkerhedsfejl i WordPress-pluginnet The Events Calendar giver uautoriserede angribere fuld kontrol over serveren. Opdatér nu.
Hvad er det?
CVE-2026-78006 er en kritisk sårbarhed i WordPress-pluginnet The Events Calendar, som bruges til at vise kalendere og begivenheder på websites. Fejlen er en såkaldt usikker deserialisering (CWE-502), hvor programmet genskaber datastrukturer fra tekst uden at kontrollere, om dataen er til at stole på. En funktion kaldet is_safe_widget_instance skal forhindre misbrug, men kan omgås, fordi PHP afvikler såkaldte magiske metoder, før kontrollen når at gribe ind. En anden funktion forfalsker samtidig et integritetstjek, så systemet tror, dataen er gyldig. Angrebet leveres via en kommentar på en begivenhed: WordPress viser automatisk kommentaren til afsenderen, selv før den er godkendt, og det udløser den sårbare kode. Resultatet er, at en angriber kan køre vilkårlig kode på serveren uden at logge ind.
Hvem rammer det?
Alle WordPress-websites, der bruger The Events Calendar i version 6.17.4 eller tidligere, er ramt. Det gælder specifikt sites, hvor kommentarer er slået til og synlige på begivenhedssider, uanset om kommentarerne skal godkendes manuelt eller ej. Det rammer typisk kommuner, kulturinstitutioner, foreninger og virksomheder, der bruger pluginnet til at vise kurser, arrangementer eller åbningstider på deres hjemmeside.
Hvad kan ske?
En angriber kan opnå fuld kontrol over webserveren uden at have en brugerkonto. I praksis betyder det, at angriberen kan installere skadelig kode, oprette skjulte administratorkonti, stjæle data fra databasen, herunder eventuelle personoplysninger fra tilmeldinger eller kontaktformularer, og bruge serveren som springbræt til angreb mod andre systemer. For en dansk virksomhed eller kommune kan det betyde nedetid, datatab og i værste fald en anmeldelsespligtig sikkerhedshændelse.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er den højeste alvorlighedsgrad. Angrebet kræver ingen login og ingen handling fra en administrator eller bruger på sitet. Det eneste krav er, at kommentarer er aktiveret og synlige på begivenheder, hvilket er standardopsætning i mange installationer. Der er ikke oplyst aktiv udnyttelse i naturen på offentliggørelsestidspunktet, men den tekniske beskrivelse er detaljeret nok til, at en proof of concept kan forventes hurtigt.
Hvad gør jeg nu?
Følgende trin bør gennemføres i den viste rækkefølge:
- Opdatér The Events Calendar til den nyeste tilgængelige version. Tjek plugin-siden i jeres WordPress-administration for en version nyere end 6.17.4.
- Kan opdateringen ikke gennemføres med det samme, så deaktivér kommentarer på begivenheder eller deaktivér hele pluginnet midlertidigt.
- Gennemgå jeres website for tegn på kompromittering: uventede filer, ukendte administratorbrugere eller ændret indhold på siden.
- Skift adgangskoder til WordPress-administration og til databasen, hvis der er mistanke om, at systemet allerede er ramt.
- Overvej en webapplikationsfirewall som ekstra beskyttelseslag mod lignende angreb fremover.
- Kontakt en ekstern it-sikkerhedsrådgiver, hvis I ikke selv har ressourcerne til at opdatere eller undersøge for kompromittering.
Opdatér inden for 24 timer
Vi anbefaler, at I opdaterer The Events Calendar til nyeste version med det samme, da sårbarheden kan udnyttes uden login og med lav teknisk kompleksitet. Kan opdateringen ikke ske øjeblikkeligt, bør kommentarer på begivenheder deaktiveres som midlertidig løsning. Det er ikke forsvarligt at vente til en planlagt vedligeholdelsesrunde, da angrebet ikke kræver nogen handling fra jeres side ud over, at kommentarfunktionen er slået til.
Tidslinje
Konkrete eksempler
Kommunes kulturkalender kompromitteres
En dansk kommune bruger The Events Calendar til at annoncere kulturarrangementer på sit website, og kommentarer er åbne, så borgere kan spørge ind til events. En angriber afgiver en kommentar med skjult ondsindet kode, som automatisk vises for angriberen selv, før den er godkendt. Koden udløser den sårbare funktion, og angriberen får fuld kontrol over webserveren, som herefter bruges til at udsende spam og hoste skadelig kode rettet mod kommunens borgere.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger den sårbare version?
Log ind i jeres WordPress-administration, gå til Plugins, og se versionsnummeret ud for The Events Calendar. Er versionen 6.17.4 eller lavere, er I ramt.
Kan vi vente med opdateringen til weekenden?
Det frarådes. Angrebet kræver ikke login og kan udføres af en hvilken som helst besøgende, der kan afgive en kommentar på en begivenhed. Vent ikke længere end nødvendigt.
Vi bruger ikke kommentarer på vores begivenheder, er vi så i sikkerhed?
Er kommentarer slået fra eller ikke synlige på begivenhedssider, er den kendte angrebsvej lukket. Vi anbefaler alligevel at opdatere pluginnet, da fremtidige varianter af sårbarheden ikke kan udelukkes.
Hvordan tjekker vi, om vores site allerede er kompromitteret?
Se efter uventede filer i wp-content-mappen, ukendte administratorbrugere under Brugere, og uventet udgående trafik fra serveren. Er I i tvivl, bør en ekstern part gennemgå sitet.
Skal vi anmelde hændelsen, hvis vi bliver ramt?
Er personoplysninger blevet tilgået eller stjålet som følge af et angreb, kan det udløse anmeldelsespligt til Datatilsynet efter databeskyttelsesreglerne. Vurdér dette sammen med jeres databeskyttelsesrådgiver, hvis I finder tegn på kompromittering.
Er alle WordPress-sites med kalenderfunktioner ramt?
Nej, sårbarheden er specifik for pluginnet The Events Calendar i version 6.17.4 og tidligere. Andre kalenderplugins er ikke berørt af denne konkrete fejl.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The The Events Calendar plugin for WordPress is vulnerable to Remote Code Execution in all versions up to, and including, 6.17.4 via the is_safe_widget_instance function. This is due to insufficient protection in is_safe_widget_instance, which can be bypassed because PHP fires magic methods during its pre-parse, combined with enable_rendering_widget_copied() forging a valid wp_hash integrity attribute before unserialize() is reached. This makes it possible for unauthenticated attackers to execute code on the server. This is exploitable without authentication or approval because the plugin’s V2 single-event template runs do_blocks() over buffered comment HTML, and WordPress returns a moderation-hash URL that allows an unauthenticated commenter to immediately view their own pending comment, delivering the injected block markup to the vulnerable code path before any moderation occurs. This does require comments to be enabled and visible on events.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.