Burst Statistics-sårbarhed udnyttes i angreb mod WordPress-administratorer

En kritisk Burst Statistics-sårbarhed bliver nu aktivt udnyttet og sætter tusindvis af WordPress-websites i fare for administratorovertagelse.

Sårbarheden påvirker Burst Statistics, et privatlivsfokuseret analyseplugin, som bruges på mere end 200.000 WordPress-websites. Angribere kan udnytte fejlen til at udgive sig for kendte administratorbrugere under REST API-forespørgsler.

Problemet spores som CVE-2026-8181. Forskere oplyste, at sårbarheden blev introduceret i pluginet den 23. april 2026 med version 3.4.0. Den sårbare kode var også til stede i version 3.4.1.

Angribere kan udgive sig for administratorer

Burst Statistics-sårbarheden skyldes forkert håndtering af WordPress-autentificering via applikationsadgangskoder.

Forskere oplyste, at angribere kun behøver at kende et gyldigt administratorbrugernavn. Derefter kan de sende en specialudformet forespørgsel med en vilkårlig adgangskode i autentificeringsheaderen.

Det sårbare plugin kan derefter behandle den mislykkede autentificering som gyldig. Som resultat kan angriberen optræde som administrator under REST API-forespørgslen.

I værste fald kan angribere oprette en ny administratorkonto uden gyldige loginoplysninger.

Kompromitterede websites står over for alvorlige risici

Administratoradgang giver angribere omfattende kontrol over et WordPress-website. De kan få adgang til private databaser, installere bagdøre, omdirigere besøgende, publicere skadeligt indhold eller distribuere malware.

Risikoen er særligt alvorlig, fordi administratorbrugernavne ofte kan eksponeres gennem blogindlæg, kommentarer, offentlige API-svar eller gætteriforsøg.

Forskere advarede om, at angrebene allerede er begyndt. Wordfence skulle ifølge rapporter have blokeret mere end 7.400 udnyttelsesforsøg inden for 24 timer.

Websiteejere bør opdatere med det samme

Websiteejere, der bruger Burst Statistics, bør opdatere til version 3.4.2 med det samme. Den patched version blev gjort tilgængelig den 12. maj 2026.

Administratorer, som ikke kan opdatere straks, bør deaktivere pluginet, indtil den sikre version kan installeres.

Websiteejere bør også gennemgå administratorkonti, fjerne ukendte brugere, kontrollere nylige pluginændringer og undersøge websites for mistænkelige omdirigeringer eller bagdøre.

Sikkerheden omkring WordPress-plugins er fortsat et stort mål

Burst Statistics-sårbarheden viser, hvorfor sikkerheden omkring WordPress-plugins fortsat er en konstant udfordring for websiteejere.

Angribere reagerer ofte meget hurtigt, efter at kritiske pluginsårbarheder bliver offentliggjort. Sårbarheder, der omgår autentificering, er særligt farlige, fordi de kan omgå normale loginbeskyttelser og give angribere direkte kontrol.

Hændelsen viser også, hvorfor websiteejere har brug for strenge rutiner for pluginopdateringer, kontoovervågning og regelmæssige sikkerhedsgennemgange.

Konklusion

Den aktivt udnyttede Burst Statistics-sårbarhed skaber alvorlige risici for WordPress-websites, der bruger de sårbare pluginversioner.

Fordi angribere potentielt kan få administratoradgang uden gyldige loginoplysninger, bør berørte websiteejere opdatere straks, gennemgå privilegerede konti og kontrollere for tegn på kompromittering.