Sårbarhet i Ultra Addons for Contact Form 7 (CVSS 9,8): vad byråer bör kontrollera i dag

Den 2 november 2026 publicerade Wordfence en kritisk sårbarhet i Ultra Addons for Contact Form 7, ett tillägg med över 60 000 aktiva installationer. Den har CVSS 9,8, kräver ingen inloggning och kan radera vilken fil som helst på servern, inklusive wp-config.php. En åtgärdad version har funnits i flera veckor, så för de flesta byråer är det en snabb kontroll. Här ser du vilka som berörs, hur du kontrollerar en kundwebbplats på två minuter och vad du gör om en webbplats redan ser fel ut.

Vad sårbarheten är

• Id: CVE-2026-102435, CVSS 9,8 (kritisk), rapporterad via Wordfence.
• Typ: PHP-objektinjektion utan inloggning via ett fält i ett Contact Form 7-formulär, som leder till radering av godtyckliga filer.
• Varför det spelar roll: att radera wp-config.php skickar WordPress tillbaka till installationsskärmen. Den som fyller i den skärmen kan peka webbplatsen mot sin egen databas och ta över den.

Vilka som berörs

Webbplatser med Ultra Addons for Contact Form 7 version 3.5.54 eller äldre, där tillägget PDF Generator är påslaget och minst ett formulär är inställt på att skapa en PDF. Webbplatser som har tillägget men inte använder PDF-funktionen är inte utsatta för den här kedjan, men bör ändå uppdatera. Nuvarande version är 3.5.57; åtgärden kom i versionerna efter 3.5.54.

Vi hittade inga bekräftade attacker i de källor vi kontrollerade den 5 november 2026. Vissa säkerhetsnyhetsbrev säger att detaljer om utnyttjande cirkulerar, och en 9,8 utan inloggning är den sortens sårbarhet som det snabbt skannas efter. Vänta inte på bevis för attacker.

Kontrollera en webbplats på två minuter

1. I wp-admin: Tillägg, sök efter ”Ultra Addons”. Notera versionen. Är den 3.5.54 eller lägre, öppna tilläggets inställningar för tillägg och se om PDF Generator är påslaget.
2. Med WP-CLI: wp plugin get ultimate-addons-for-contact-form-7 --field=version. Kör det på alla kundwebbplatser för att få en enda lista.
3. Titta på den publika sidan: om webbplatsen plötsligt visar WordPress installationsskärm eller skärmen ”skapa en konfigurationsfil” är wp-config.php borta. Behandla det som en incident (se nedan).

Vad du gör nu

1. Uppdatera till 3.5.57 på varje webbplats med tillägget, med eller utan PDF-funktionen.
2. Testa ett formulär efter uppdateringen. Skicka det, kontrollera att mejlet kommer fram och, om du skapar PDF:er, att PDF:en är bifogad. Nyare versioner har också ändrat filuppladdning och PDF-hantering.
3. Kan du inte uppdatera i dag? Stäng av tillägget PDF Generator tills du kan.
4. Om en webbplats visar installationsskärmen: fyll inte i den. Ta webbplatsen offline hos hosten, återställ filer och databas från en säkerhetskopia från före problemet, uppdatera tillägget och byt sedan lösenord för databas och administratörer samt salts i wp-config.php. Kontrollera om det finns okända administratörskonton och filer. Vår rutin för en sårbarhetsdag och guide för återställning har alla steg.

Så hjälper Verploy

Varje uppdatering kontrolleras. Riskabla uppdateringar testas först på en kopia, även formulären. Kända sårbarheter visas per webbplats med en länk till källan, så en enda dashboard visar vilka kundwebbplatser som fortfarande kör 3.5.54 eller äldre. Nattliga krypterade säkerhetskopior i EU ger dig en ren punkt att gå tillbaka till. Mer om övervakning av sårbarheter för byråer.

Källa: CVE-2026-102435 (tilldelad av Wordfence), publicerad 2 november 2026, wordfence.com; tilläggets sida och ändringslogg, wordpress.org. Kontrollerat 5 november 2026.