Elementor Pro CVE-2026-32475: Sådan tjekker du din hjemmeside

Den 19. august 2026 udsendte Elementor Elementor Pro 4.2.2. Den lukker et hul i formular-widgetten: på en formular med et felt til filer kunne hvem som helst uploade en PHP-fil og få serveren til at køre den, uden at logge ind. Angrebene begyndte samme dag. Her er, hvem det gælder, hvordan du tjekker din side, og hvad du gør, hvis en fil er sluppet igennem. Opdateret 26. oktober 2026.

Hvad er hullet?#

CVE-2026-32475, vurderet til 9,8 ud af 10. Elementor Pro tjekker filtypen, før en upload bliver gemt, men tjekket kunne snydes ved at sende feltets filer i en form, det ikke regnede med. Så gik en .php-fil igennem, som om den var en PDF eller et billede.

Filen bliver gemt i wp-content/uploads/elementor/forms/ under et tilfældigt navn, og de fleste webservere kører en PHP-fil der, når nogen beder om den. Derfra kan en angriber gøre alt, hvad siden kan: læse databasen, oprette en administrator, sende spam fra dit domæne eller lægge flere filer, der kan bruges senere.

Opdatering 3. september: Wordfence har blokeret næsten 190.000 forsøg mellem 19. og 23. august og næsten 200.000 siden rettelsen kom. Angrebene er automatiske. Ingen behøver at kende din side; et script finder formularen.

Gælder det min hjemmeside?#

Elementor Pro 4.2.1 eller ældre: ja. Opdatér.
Kun det gratis Elementor: nej. Formular-widgetten hører til Pro, og det gør hullet også.
Pro, men ingen formular med filfelt: hullet kan ikke bruges i dag, men opdatér alligevel. Næste år tilføjer nogen et upload-felt på jobsiden, og ingen husker den her note.

Det er formularerne, der tager imod filer, der tæller: jobansøgninger med CV, tilbudsforespørgsler med billeder eller tegninger, reklamationer med kvittering. Dem er der mange af på små danske virksomheders sider.

Hvordan ser jeg, hvilken version jeg har?#

I WordPress: Plugins → Installerede plugins → Elementor Pro. Versionen står under navnet.
Udefra: Elementor Pro henter som regel sine filer med versionen i adressen, fx …/elementor-pro/assets/…?ver=4.2.1. Det gratis websitetjek læser den og siger til, hvis den er under 4.2.2.

Et cache-plugin eller et CDN kan blive ved med at vise den gamle adresse et stykke tid efter en opdatering, så stol mere på Plugins-siden end på hjemmesiden.

Sådan opdaterer du#

Tag en backup af filer og database. De fleste webhoteller har en knap til det.
Opdatér først Elementor (det gratis plugin), derefter Elementor Pro til 4.2.2 eller nyere. Pro bygger på det gratis plugin, og en gammel gratis version kan få en ny Pro til at fejle.
Send hver formular med en vedhæftet fil, og tjek at den kommer frem.

Opdateringer til Pro kommer kun, mens licensen er aktiv. Viser WordPress ingen opdatering til Elementor Pro, er licensen sandsynligvis udløbet, eller den ligger på kontoen hos det bureau, der byggede siden. Begge dele kan løses, men intet bliver opdateret, før de er.

Kig i upload-mappen#

Åbn wp-content/uploads/elementor/forms/ i dit webhotels filhåndtering eller over SFTP. Der bør ligge det, de besøgende har sendt: PDF'er, JPG'er, Word-filer. En fil, der ender på .php, .phtml eller .phar, hører ikke hjemme der. Rettelsen stopper nye, men fjerner ikke dem, der kom før.

På Apache, som de fleste danske webhoteller kører, stopper en .htaccess-fil i wp-content/uploads med de her linjer PHP fra at køre i mappen overhovedet:

<FilesMatch "\.(php|phtml|phar)$">
    Require all denied
</FilesMatch>

På nginx skal du bede webhotellet om at blokere PHP under /wp-content/uploads/. Mange gør det allerede.

Hvis du finder en PHP-fil#

Slet den ikke bare. Den kan allerede have kørt, og det første, sådan en fil plejer at gøre, er at lægge en ekstra vej ind. Gå ud fra, at siden er kompromitteret:

Gendan en backup fra før filen dukkede op (filens dato siger nogenlunde hvornår), og opdatér, før siden går online igen.
Er der ingen ren backup: kig efter administratorer, du ikke kender (Brugere, sorteret efter dato), plugins, du ikke har installeret, og filer i wp-content, der er ændret for nylig.
Skift adgangskoder til WordPress-administratorer, webhotellet, databasen og SFTP, og de nøgler siden har: mailafsendelse, betaling, eventuelle API'er.
Sig det til dit webhotel. De kan se i deres logs, hvad filen har lavet.

Hvorfor nogle sider stadig står åbne#

Rettelsen har ligget klar siden august, og mange sider kører stadig 4.2.1 eller ældre. Det er sjældent dovenskab. Pro er et betalt plugin, der ikke opdaterer uden licens, automatiske plugin-opdateringer er slået fra som standard, og den, der satte siden op, er gået videre. Lyder det som din, har jeg skrevet om at overtage en WordPress-side fra et tidligere bureau, og WordPress-siden fortæller, hvad jeg gør med sider som den.

Kilder#

Jeg opdaterer noten, hvis den rettede version eller meldingerne om angreb ændrer sig.