Luka w Ultra Addons for Contact Form 7 (CVSS 9,8): co agencje powinny dziś sprawdzić

2 listopada 2026 r. Wordfence opublikował krytyczną lukę w Ultra Addons for Contact Form 7, wtyczce z ponad 60 000 aktywnych instalacji. Ma ocenę CVSS 9,8, nie wymaga logowania i może usunąć dowolny plik na serwerze, w tym wp-config.php. Poprawiona wersja jest dostępna od tygodni, więc dla większości agencji to szybka kontrola. Oto kogo to dotyczy, jak w dwie minuty sprawdzić stronę klienta i co zrobić, jeśli strona już wygląda nie tak.

Na czym polega luka

• Identyfikator: CVE-2026-102435, CVSS 9,8 (krytyczna), zgłoszona przez Wordfence.
• Rodzaj: wstrzyknięcie obiektu PHP bez uwierzytelnienia przez pole formularza Contact Form 7, prowadzące do usunięcia dowolnych plików.
• Dlaczego to ważne: usunięcie wp-config.php przywraca WordPressa do ekranu instalacji. Kto wypełni ten ekran, może podpiąć stronę do własnej bazy danych i ją przejąć.

Kogo dotyczy

Strony z Ultra Addons for Contact Form 7 w wersji 3.5.54 lub starszej, z włączonym dodatkiem PDF Generator i co najmniej jednym formularzem generującym PDF. Strony, które mają wtyczkę, ale nie używają funkcji PDF, nie są narażone na ten łańcuch, ale i tak powinny się zaktualizować. Aktualna wersja to 3.5.57; poprawka pojawiła się w wydaniach po 3.5.54.

W źródłach sprawdzonych 5 listopada 2026 r. nie znaleźliśmy potwierdzonych ataków. Niektóre biuletyny bezpieczeństwa podają, że krążą szczegóły exploita, a 9,8 bez logowania to luka, pod którą szybko zaczyna się skanowanie. Nie czekaj na dowody ataków.

Sprawdź stronę w dwie minuty

1. W wp-admin: Wtyczki, wyszukaj „Ultra Addons”. Zanotuj wersję. Jeśli to 3.5.54 lub niższa, otwórz ustawienia dodatków wtyczki i sprawdź, czy PDF Generator jest włączony.
2. Z WP-CLI: wp plugin get ultimate-addons-for-contact-form-7 --field=version. Uruchom to na wszystkich stronach klientów, żeby mieć jedną listę.
3. Spójrz na stronę publiczną: jeśli strona nagle pokazuje ekran instalacji WordPressa albo ekran „utwórz plik konfiguracyjny”, plik wp-config.php zniknął. Traktuj to jako incydent (patrz niżej).

Co zrobić teraz

1. Zaktualizuj do 3.5.57 na każdej stronie z wtyczką, z funkcją PDF lub bez niej.
2. Po aktualizacji przetestuj jeden formularz. Wyślij go, sprawdź, czy e-mail dociera, a jeśli generujesz PDF, czy PDF jest załączony. Ostatnie wydania zmieniły też przesyłanie plików i obsługę PDF.
3. Nie możesz dziś zaktualizować? Wyłącz dodatek PDF Generator, dopóki nie będziesz mógł.
4. Jeśli strona pokazuje ekran instalacji: nie wypełniaj go. Wyłącz stronę u hostingu, przywróć pliki i bazę danych z kopii sprzed problemu, zaktualizuj wtyczkę, a potem zmień hasła do bazy danych i administratorów oraz klucze salt w wp-config.php. Sprawdź, czy nie ma nieznanych kont administratorów i plików. Nasza rutyna na dzień ujawnienia luki i poradnik przywracania zawierają wszystkie kroki.

Jak pomaga Verploy

Każda aktualizacja jest sprawdzana. Ryzykowne są najpierw testowane na kopii, łącznie z formularzami. Znane luki pojawiają się dla każdej strony z linkiem do źródła, więc jeden panel pokazuje, które strony klientów wciąż mają 3.5.54 lub starszą. Nocne szyfrowane kopie zapasowe w UE dają czysty punkt powrotu. Więcej o monitorowaniu luk dla agencji.

Źródło: wpis CVE-2026-102435 (nadany przez Wordfence), opublikowany 2 listopada 2026 r., wordfence.com; strona i dziennik zmian wtyczki, wordpress.org. Sprawdzono 5 listopada 2026 r.