Vi har skærpet sikkerheden på din WordPress-side
Udgivet d. 12. oktober 2026
Vi har i mange år advaret vores kunder om kendte sikkerhedshuller og skadelig kode på deres WordPress-sider, og nu finder vores scanning markant flere kendte sikkerhedshuller og mere skadelig kode. Har din webmaster gæsteadgang til hjemmesiden, får vedkommende nu de samme advarsler som dig.
Samtidig lægger vi tidligere et sikkerhedsskjold foran sider, der er i fare, for sommeren 2026 viste, hvor kort tid der går, fra et sikkerhedshul bliver kendt, til det bliver udnyttet.
Sikkerhedshuller bliver udnyttet, mens du holder ferie
Den 17. juli 2026, midt i sommerferien, blev to fejl i selve WordPress offentliggjort under navnet wp2shell. Sammen gjorde de det muligt for en angriber at overtage en hjemmeside uden at logge ind, og de ramte alle sider på de dengang nyeste WordPress-versioner. Få dage senere blev hullerne udnyttet (Bitdefenders analyse).
WordPress.org udsendte automatiske sikkerhedsopdateringer til sider, hvor automatiske opdateringer var slået til. Sider, hvor de var slået fra, stod åbne, indtil nogen opdaterede dem manuelt.
I august kom turen til Elementor Pro, et betalt plugin til at bygge WordPress-sider. Hullet ramte sider med en offentlig formular, hvor besøgende kunne vedhæfte filer, og kunne bruges til at overtage siden. Angrebene begyndte samme dag, som hullet blev offentligt beskrevet, og i begyndelsen af september 2026 havde Wordfence alene blokeret over 190.000 forsøg (omtale af angrebene). Rettelsen var allerede udgivet, men sider med en udløbet licens kunne ikke få den gennem den normale opdateringsfunktion.
For de mest udnyttede WordPress-huller gik der i 2025 typisk 5 timer, fra hullet blev offentliggjort, til det blev angrebet i stor skala. Sikkerhedsvirksomheden Patchstack opgør det som en vægtet median (Patchstacks rapport).
Ifølge Googles trusselsrapport fra september 2026 bidrager AI (kunstig intelligens) til, at sikkerhedshuller bliver fundet og udnyttet hurtigere. Google peger også på, at angribere muligvis bruger AI til at analysere sikkerhedsrettelser og udvikle angreb hurtigere.
For dig betyder det, at opdateringer skal kunne ske, også når den webansvarlige holder ferie.
En hacket hjemmeside koster mere end oprydningen
Oprydning eller gendannelse kan tage tid og kræve betalt hjælp. Vores guide til en hacket WordPress-side viser, hvad der skal til.
Skaden på dit omdømme kan vare længere. Google og browsere kan advare dine besøgende mod siden, og besøgende, der møder en sikkerhedsadvarsel, kan miste tilliden til din virksomhed. Angribere kan også sende spam fra dit domæne, så dine almindelige e-mails ender i spam hos modtagerne.
Har angriberen fået adgang til personoplysninger fra kontaktformularer, webshopkunder eller brugerkonti, er der tale om et brud på persondatasikkerheden. Som dataansvarlig skal du anmelde bruddet til Datatilsynet uden unødig forsinkelse og om muligt inden 72 timer, efter du er blevet bekendt med det. Det gælder ikke, hvis det er usandsynligt, at bruddet indebærer en risiko for de berørtes rettigheder, og du kan også være forpligtet til at informere de berørte. Se Datatilsynets vejledning om anmeldelse.
Skærpet scanning og tidligere beskyttelse
Flere kendte sikkerhedshuller og mere skadelig kode
Vores scanning af hjemmesiderne på webhotellet finder nu mere skadelig kode og markant flere kendte sikkerhedshuller i WordPress, plugins og temaer. Advarslerne kommer som hidtil: en besked med det samme ved kritiske fund og en månedlig opsummering af mindre kritiske fund. Er du i tvivl om, hvorvidt en advarsel fra os er ægte, kan du se hvordan du genkender en falsk e-mail fra Netsite.
Advarslerne når også din webmaster
Gæster med tilladelsen Hjemmeside til domænet får nu de samme advarsler som dig. Ofte er det din webmaster eller dit bureau, og så får den, der skal opdatere, besked direkte.
Sikkerhedsskjoldet kommer op tidligere
Bliver et kritisk sikkerhedshul ikke lukket, lægger vi nu tidligere et sikkerhedsskjold foran hjemmesiden. Hjemmesider, som ingen længere vedligeholder, og hvor ingen svarer på vores e-mails, får som standard et skjold.
Ved hullet i Elementor Pro satte vi skjoldet op forebyggende, så vores kunder var beskyttet, indtil opdateringen var installeret. Det vil vi gøre oftere fremover.
Bloker ikke opdateringer
Vi ser bureauer, der blokerer eller skjuler opdateringer på deres kunders hjemmesider. Det fraråder vi. Når en opdatering lukker et kendt sikkerhedshul, efterlader en blokering hullet åbent.
Ser vi det på en hjemmeside, siger vi det direkte til ejeren. Bliver et kritisk sikkerhedshul ikke lukket på grund af blokeringen, får siden et sikkerhedsskjold som alle andre sider med et åbent kritisk hul.
Licenser er en del af sikkerheden
Betalte plugins og temaer bliver typisk ved med at virke, når licensen udløber, men opdateringerne stopper, også sikkerhedsrettelserne. For Elementor Pro holder Pro-funktionerne desuden op med at virke (Elementors FAQ).
Ved hullet i Elementor Pro så vi mange hjemmesider, som et bureau havde lavet, og hvor licensen var udløbet. Det ser vi igen og igen: Licenserne bliver ikke fornyet, og opdateringerne halter bagefter.
Din aftale med webdesigneren eller bureauet bør derfor dække licenserne, ikke kun opdateringerne. Aftal:
Hvilke betalte plugins og temaer hjemmesiden bruger.
Hvem der betaler for licenserne og fornyer dem.
Hvem der opdaterer, og om automatiske opdateringer er slået til.
Hvor hurtigt kritiske sikkerhedshuller bliver lukket.
Er du stadig webmaster på hjemmesiden?
Får du advarsler som gæst, er de tiltænkt dig. Passer du stadig hjemmesiden, bør du beholde adgangen, så du kan få sikkerhedshullerne lukket i tide.
Passer du ikke længere hjemmesiden, kan du selv fjerne din gæsteadgang.
Automatiske opdateringer og aktive licenser
Slå automatiske opdateringer til for WordPress, plugins og temaer, og hold licenserne aktive. Slet plugins og temaer, du ikke bruger, og sørg for at have en backup. I nogle tilfælde kan vi hjælpe med at slå automatiske opdateringer til.
Automatiske opdateringer og aktive licenser bør være på plads, før det næste sikkerhedshul bliver kendt. Jo kortere tid der går, fra en rettelse findes, til den er installeret, jo mindre tid har angriberne.