Fejl i Ultra Addons for Contact Form 7 (CVSS 9,8): hvad bureauer bør tjekke i dag

Den 2. november 2026 offentliggjorde Wordfence en kritisk fejl i Ultra Addons for Contact Form 7, et plugin med over 60.000 aktive installationer. Den har CVSS 9,8, kræver intet login og kan slette enhver fil på serveren, herunder wp-config.php. En rettet version har været tilgængelig i uger, så for de fleste bureauer er det et hurtigt tjek. Her kan du læse, hvem der er ramt, hvordan du tjekker et kundesite på to minutter, og hvad du gør, hvis et site allerede ser forkert ud.

Hvad fejlen er

• Id: CVE-2026-102435, CVSS 9,8 (kritisk), indrapporteret via Wordfence.
• Type: PHP-objektinjektion uden login via et felt i en Contact Form 7-formular, som fører til sletning af vilkårlige filer.
• Hvorfor det betyder noget: at slette wp-config.php sender WordPress tilbage til installationsskærmen. Den, der udfylder den skærm, kan pege sitet mod sin egen database og overtage det.

Hvem er ramt

Sites med Ultra Addons for Contact Form 7 version 3.5.54 eller ældre, hvor tilføjelsen PDF Generator er slået til, og mindst én formular er sat op til at lave en PDF. Sites, der har pluginet, men ikke bruger PDF-funktionen, er ikke udsat for denne kæde, men bør stadig opdatere. Den nuværende version er 3.5.57; rettelsen kom i udgivelserne efter 3.5.54.

Vi fandt ingen bekræftede angreb i de kilder, vi tjekkede den 5. november 2026. Nogle sikkerhedsnyhedsbreve siger, at detaljer om udnyttelse cirkulerer, og en 9,8 uden login er den slags fejl, der hurtigt bliver scannet for. Vent ikke på bevis for angreb.

Tjek et site på to minutter

1. I wp-admin: Plugins, søg efter “Ultra Addons”. Notér versionen. Er den 3.5.54 eller lavere, så åbn pluginets indstillinger for tilføjelser, og se, om PDF Generator er slået til.
2. Med WP-CLI: wp plugin get ultimate-addons-for-contact-form-7 --field=version. Kør det på tværs af alle kundesites for at få én liste.
3. Se på forsiden: hvis sitet pludselig viser WordPress-installationsskærmen eller skærmen “opret en konfigurationsfil”, er wp-config.php væk. Behandl det som en hændelse (se nedenfor).

Hvad du gør nu

1. Opdater til 3.5.57 på hvert site med pluginet, med eller uden PDF-funktionen.
2. Test én formular efter opdateringen. Send den, tjek at mailen kommer frem, og hvis du laver PDF’er, at PDF’en er vedhæftet. Nyere udgivelser har også ændret filupload og PDF-håndtering.
3. Kan du ikke opdatere i dag? Slå tilføjelsen PDF Generator fra, indtil du kan.
4. Hvis et site viser installationsskærmen: udfyld den ikke. Tag sitet offline hos hosten, gendan filer og database fra en backup fra før problemet, opdater pluginet, og skift derefter adgangskoder til database og administratorer samt salts i wp-config.php. Tjek for ukendte administratorkonti og filer. Vores rutine til en sårbarhedsdag og guide til gendannelse har alle trinene.

Sådan hjælper Verploy

Hver opdatering kontrolleres. Risikable opdateringer testes først på en kopi, også formularerne. Kendte sårbarheder vises pr. site med et link til kilden, så ét dashboard fortæller dig, hvilke kundesites der stadig kører 3.5.54 eller ældre. Natlige krypterede backups i EU giver dig et rent punkt at vende tilbage til. Mere om overvågning af sårbarheder til bureauer.

Kilde: CVE-2026-102435 (tildelt af Wordfence), offentliggjort 2. november 2026, wordfence.com; pluginside og changelog, wordpress.org. Tjekket 5. november 2026.