“Jeg opdaterer dem engang imellem.” Det er svar nummer to jeg oftest hører fra ejere af hackede WordPress-sites. Her er hvad der konkret sker når plugins ikke opdateres — og hvorfor timing er alt.
Sårbarhedens livscyklus
Forstå denne proces og du forstår hvorfor forældede plugins er det største sikkerhedsproblem i WordPress:
Dag 0: En sikkerhedsforsker eller hacker opdager en sårbarhed i et populært plugin.
Dag 1-30: Forskeren rapporterer ansvarligt til plugin-udvikleren (responsible disclosure). Udvikleren arbejder på en patch.
Dag 30-60: Patch udgives. Changelog beskriver hvad der er rettet — fx “Fixed XSS vulnerability in contact form handler.”
Dag 31: Hackere læser changelog, identificerer præcis hvilken funktion der var sårbar, og begynder at scanne internettet for sites der ikke har opdateret.
Dag 32-60: Automatiserede angreb rammer alle sites med den forældede version. Sites der ikke opdaterer inden for dage er i høj risiko.
Reelle eksempler fra de seneste år
Elementor Pro (2023) — en kritisk sårbarhed i Elementor Pro tillod uautoriseret oprettelse af admin-brugere. Over 500.000 sites var i risiko. Patches blev fulgt af masseangreb inden for 24 timer.
WooCommerce Payments (2023) — en critical authentication bypass-sårbarhed. Angribere kunne tage fuld kontrol over berørte shops uden kodeord.
Contact Form 7 (2020) — en file upload-sårbarhed der tillod angribere at uploade malware-filer direkte til serveren. Contact Form 7 er installeret på over 5 millioner sites.
Mønsteret er det samme i alle tilfælde: patch udgivet, angreb starter inden for timer til dage.
Hvad hackerne gør med adgangen
Målet er sjældent at ødelægge dit site synligt — det er for amatører. Professionelle angribere:
Installerer bagdøre der giver dem permanent adgang selv efter du opdaterer. Bagdøren skjuler sig i tema-filer eller uploads-mappen.
Indsætter SEO-spam — tusindvis af usynlige sider med pill-spam eller casino-links der ødelægger dit ranking over måneder.
Bruger din server til spam-udsendelse — dit domæne sortlistes af email-udbydere og din hosting suspenderer kontoen.
Sælger adgangen videre på darknet-markeder til andre kriminelle der udnytter den til phishing eller kryptomining.
De mest risikable plugin-typer
Ikke alle plugins er lige risikable. Disse typer er hyppigst udnyttede fordi de håndterer bruger-input eller filupload:
- Kontaktformularer — Contact Form 7, Gravity Forms, WPForms
- File upload-plugins — alle plugins der tillader brugere at uploade filer
- E-handel — WooCommerce og betalings-plugins
- Login og bruger-håndtering — membership-plugins
- Page builders — Elementor, Divi, WPBakery
- SEO-plugins — Yoast, Rank Math
Hvad “opdateret” faktisk betyder
At opdatere er ikke bare at klikke “Opdater alle” og se fremad. En ordentlig opdateringsproces inkluderer:
- Backup inden opdatering
- Test af kritiske funktioner efter opdatering (checkout, formularer, login)
- Verificering af at sitet fungerer korrekt
- Reaktion hvis en opdatering bryder noget
Det er præcis det en webmaster-aftale håndterer for dig ugentligt. Se vores aftaler eller kontakt mig for at høre mere.