CVE-2026-87796: Kritisk fejl i Multi Uploader for Gravity Forms
Kritisk fejl i Multi Uploader for Gravity Forms (op til v1.1.9) giver angribere mulighed for at uploade og køre kode uden login. Opdatér straks.
Hvad er det?
CVE-2026-87796 er en sårbarhed i WordPress-udvidelsen Multi Uploader for Gravity Forms, versioner op til og med 1.1.9. Fejlen findes i funktionen move_file, som håndterer såkaldt chunked upload, dvs. opdelt filoverførsel i dele. Funktionen kontrollerer ikke filtypen tilstrækkeligt, hvilket betyder at en angriber kan uploade en vilkårlig fil, herunder en PHP-fil der kan udføre kode på serveren. Sårbarheden er klassificeret som CWE-434: Unrestricted Upload of File with Dangerous Type.
Hvem rammer det?
Sårbarheden rammer alle WordPress-installationer med udvidelsen Multi Uploader for Gravity Forms i version 1.1.9 eller tidligere. Det gælder typisk virksomheder og kommuner, der bruger WordPress-formularer til fx filindsamling, ansøgninger, tilmeldinger eller support. Gravity Forms er udbredt i danske SMV-løsninger og kommunale selvbetjeningsportaler.
Hvad kan ske?
En angriber, der ikke er logget ind, kan uploade en ondsindet fil til serveren og bruge den til at køre vilkårlig kode. I praksis betyder det, at angriberen kan overtage webserveren, tilgå og stjæle data i databasen, plante bagdøre til fremtidigt misbrug eller bruge serveren til at angribe andre systemer. For en dansk virksomhed kan det resultere i datalæk af kundeoplysninger, brud på GDPR og nedetid på hjemmesiden.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebsvektoren er netværk, kompleksiteten er lav, og der kræves hverken login eller handling fra en bruger. Det betyder, at et automatiseret angreb kan ramme uden nogen form for forudgående adgang. Der er endnu ikke bekræftet aktiv udnyttelse, men den lave angrebskompleksitet gør det sandsynligt, at angreb vil forekomme hurtigt efter offentliggørelsen.
Hvad gør jeg nu?
Gør følgende i prioriteret rækkefølge:
- Opdatér Multi Uploader for Gravity Forms til den nyeste version via WordPress-administrationen under Plugins. Kontrollér, at en opdatering over version 1.1.9 er tilgængelig.
- Kontrollér uploadmapper på serveren for uventede filer, særligt PHP-filer i mapper, der normalt kun indeholder billeder eller dokumenter.
- Gennemgå serverlogfiler for usædvanlige POST-forespørgsler til upload-endpoints inden for de seneste dage.
- Begræns adgangen til uploadmapper via serveropsætningen, så PHP-filer ikke kan udføres derfra, som en ekstra sikkerhedsforanstaltning.
- Har I mistanke om, at serveren er kompromitteret, skal I isolere den og kontakte jeres it-leverandør eller et sikkerhedsfirma med det samme.
Opdatér inden for 24 timer
Vi anbefaler, at I opdaterer udvidelsen inden for 24 timer. Kritisk CVSS-score kombineret med krav om hverken login eller brugerhandling betyder, at sårbarhedens udnyttelse er teknisk enkel for en angriber. Har I ikke mulighed for at opdatere straks, bør I som minimum deaktivere udvidelsen midlertidigt. Det er ikke forsvarligt at vente til næste planlagte vedligeholdelsesvindue.
Tidslinje
Konkrete eksempler
Dansk servicevirksomhed med kontaktformular
En mellemstor dansk servicevirksomhed bruger Gravity Forms med Multi Uploader til at modtage tilbud og dokumenter fra kunder. En angriber opdager, at siden kører den sårbare version, og uploader en PHP-fil forklædt som et PDF-dokument. Via filen opnår angriberen adgang til serverens filsystem, hvorfra kundedata og interne dokumenter kan hentes. Virksomheden opdager det ikke, før en kunde rapporterer mistænkelig aktivitet.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger den sårbare version?
Log ind i WordPress-administrationen og gå til Plugins. Find Multi Uploader for Gravity Forms og aflæs versionsnummeret. Er det 1.1.9 eller lavere, er I sårbare og skal opdatere straks.
Kan vi vente til weekenden med at opdatere?
Det fraråder vi. CVSS-scoren er 9,8, og angrebet kræver hverken login eller brugerhandling. Det gør det muligt at automatisere og masseudnytte. Jo længere I venter, desto større er risikoen for, at jeres server er et mål.
Er vi nødt til at anmelde et eventuelt brud til Datatilsynet?
Hvis personoplysninger er blevet tilgået eller lækket som følge af et angreb, har I som udgangspunkt pligt til at anmelde det til Datatilsynet inden for 72 timer efter, I er blevet opmærksomme på bruddet. Kontakt jeres databeskyttelsesrådgiver eller it-sikkerhedsleverandør, så snart I har mistanke.
Hvad gør vi, hvis der ikke er en opdatering tilgængelig?
Deaktivér udvidelsen midlertidigt via WordPress-administrationen. Konfigurér desuden serveren til at blokere udførelse af PHP-filer i uploadmapper. Hold øje med udgiverens opdateringer og aktivér kun udvidelsen igen, når en rettet version foreligger.
Kan vi opdage, om nogen allerede har udnyttet sårbarheden?
Gennemgå serverlogfiler for POST-forespørgsler til upload-endpoints og kig efter uventede PHP-filer i uploadmapper. Et webapplikationsfirewall-system, dvs. en sikkerhedskomponent der filtrerer webtrafik, kan også vise tegn på forsøg. Er I i tvivl, kan en it-sikkerhedskonsulent hjælpe med en gennemgang.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The Multi Uploader for Gravity Forms plugin for WordPress is vulnerable to Arbitrary File Upload in all versions up to, and including, 1.1.9 via the move_file function. This is due to insufficient file type validation during chunked upload handling. This makes it possible for unauthenticated attackers to upload arbitrary files on the affected site’s server which may make remote code execution possible.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.