I starten af september blev WordPress‑verdenen ramt af en opsigtsvækkende sag: SEO‑pluginet Rank Math, installeret på mere end 4 millioner websites, havde i en opdatering introduceret en funktion, der automatisk oprettede WordPress Application Passwords med fulde administrator‑rettigheder – og sendte dem direkte til moderselskabet group.one’s servere.

Det skete uden samtykke, uden udløbsdato og uden mulighed for at slå funktionen fra.

Opdagelsen blev gjort af udvikleren Sybre Waaijer, som fandt den nye kode under en rutinemæssig sikkerhedsreview. Hans opslag på X gik viralt og udløste massiv kritik fra både udviklere, sikkerhedseksperter og WordPress‑bureauer.

Kort efter trak Rank Math funktionen tilbage – men har samtidig meldt ud, at den kommer igen i en ny version med “samtykke‑flow” og er en del af deres større vision om Agentic SEO, hvor AI‑agenter får mulighed for at udføre handlinger direkte på kunders websites.

Hvad skete der helt konkret?

Ifølge The Repository skete følgende i Rank Math version 1.0.277:

• Når en administrator åbnede Rank Math’s Help & Support panel, oprettede pluginet automatisk et Application Password.
• Passwordet blev knyttet til den aktuelle bruger – ofte en administrator.
• Passwordet blev sendt til group.one’s servere.
• Passwordet gav fuld adgang via REST API, XML‑RPC og Rank Math’s egne endpoints.
• Der var ingen begrænsning af rettigheder, ingen udløbsdato og ingen synlig advarsel.
• Brugeren kunne ikke deaktivere funktionen.

Rank Math fjernede funktionen i version 1.0.277.2 og tilføjede en oprydningsfunktion, der sletter de oprettede adgangskoder. Men kritikken fortsatte.

Matt Mullenweg: “Uden audits skaber vi botnets på dyre, velforbundne konti”

WordPress‑medstifter og Automattic‑CEO Matt Mullenweg reagerede hurtigt i WordPress Slack:

Han opfordrede til obligatoriske sikkerheds‑audits for alle plugins på WordPress.org, der “phones home” – altså sender data eller opretter eksterne forbindelser.

Han skrev blandt andet:

“… any admin / update stuff they do is more a back door than a service.”

Og:

“Otherwise we’re just creating botnets on expensive well-connected accounts all over the internet.”

Det er usædvanligt klare ord fra WordPress’ øverste leder – og et tegn på, at problemet er større end Rank Math alene.

Et generelt problem i WordPress‑økosystemet

Rank Math er ikke det eneste plugin, der har sendt administrator‑nøgler ud af huset:

• WPForms Lite 2.0.0 gjorde det samme under setup processen.
• Flere plugins fra Awesome Motive har haft lignende problemer.
• Store plugins som Jetpack har permanente admin‑forbindelser til WordPress.com (dog med audits og dokumentation).

Fælles for mange plugins er, at de:

• Tilføjer AI‑funktioner
• Tilbyder “support‑agenter”
• Automatiserer opdateringer eller konfiguration
• Sender data til eksterne servere
• Opretter API‑nøgler eller tokens med høje rettigheder

Det er en tendens, der vokser – og som kræver, at website‑ejere er mere opmærksomme end tidligere.

Hvad betyder det for dig som WordPress‑kunde hos 9bureau.dk?

Kort sagt: Du skal være opmærksom på, hvilke plugins du bruger – og hvilke rettigheder de får.

Men du behøver ikke være nervøs. Der er klare, enkle ting du kan gøre for at beskytte dig.

5 konkrete råd til at beskytte dit WordPress‑site

1. Tjek dine Application Passwords

Gå til:

Brugere → Din profil → Application Passwords

Slet alt, der ser mistænkeligt ud – især nøgler, der starter med:

• WAP – (Rank Math)
• WPForms –
• Automated Setup –

Hvis du er i tvivl, så slet dem. De kan altid genskabes.

2. Opdater dine plugins – men med omtanke

Hold dine plugins opdateret, men undgå at opdatere kritiske plugins samme dag, som en stor nyhed bryder ud.

Vent 24–48 timer, så eventuelle hotfixes når at komme.

3. Brug kun plugins fra troværdige udviklere

Vælg plugins fra:

• Velkendte virksomheder
• Udviklere med god historik
• Plugins med dokumenteret sikkerheds‑praksis

Undgå plugins med:

• Uklare AI‑funktioner
• “Support‑agenter” der kræver API‑nøgler
• Manglende changelogs
• Uforklarede eksterne forbindelser

4. Sørg for den rette sikkerhed på dit WordPress site

9bureau har altid været optaget af denr ette sikekrhed i WordPress. Der er mange elementer og lag i sikekrhed i WordPress.

Start med at læse vore artikel om WordPress sikkerhed.

5. Lad os gennemgå dine plugins og din WordPress hjemmeside for dig for dig

Bestil en site audit hos 9bureau

Som WordPress‑bureau kan vi:

• Gennemgå din hjemmeside – dit tema og dine plugins
• Fjerne risikable integrationer
• Sætte sikkerhedsregler op
• Overvåge API‑trafik
• Sikre at dine administrator‑rettigheder ikke deles med tredjepart

Det er en service, vi allerede tilbyder mange af vores kunder.

Konklusion: WordPress‑plugins er blevet mere avancerede – og mere risikable

Rank Math‑sagen viser, at selv store og populære plugins kan introducere funktioner, der giver eksterne virksomheder fuld adgang til dit website – uden at du bliver spurgt.

Det er ikke en enkeltstående fejl, men en bredere tendens i WordPress‑økosystemet.

Derfor er det vigtigere end nogensinde at:

• overvåge dine plugins
• forstå deres rettigheder
• reagere hurtigt på sikkerhedsnyheder
• have et bureau som 9bureau.dk, der kan hjælpe med at holde øje

Sådan undgår du problemer som disse – og hvorfor en supportaftale kan være guld værd

Hvis du ikke selv har tid eller lyst til at overvåge plugin‑opdateringer, sikkerhedsvarsler og API‑nøgler, så kan vi gøre det for dig. Med en supportaftale hos 9bureau.dk sørger vi for, at dit website er opdateret, overvåget og beskyttet – også når plugin‑udviklere laver ændringer, der kan påvirke sikkerheden.

Vil du slippe for bekymringerne og få et WordPress‑site, der er sikkert, stabilt og professionelt vedligeholdt? Så tag fat i os – vi hjælper dig gerne videre.

Sager som Rank Math viser, hvor hurtigt en plugin‑opdatering kan introducere funktioner, der giver eksterne virksomheder adgang til dit website – uden at du opdager det. For de fleste virksomhedsejere er det urealistisk at gennemgå changelogs, overvåge sikkerhedsfeeds og holde øje med API‑nøgler hver eneste uge.

Derfor tilbyder vi hos 9bureau.dk en supportaftale, hvor vi:

• håndterer alle WordPress‑opdateringer for dig
• overvåger sikkerheden løbende
• reagerer hurtigt på kritiske plugin‑sager
• gennemgår dine plugins og fjerner risikable integrationer
• sikrer, at dine administrator‑rettigheder ikke deles med tredjepart
• etablerer faste rutiner, der holder dit site sikkert – også når plugin‑udviklere ændrer kurs

Med en supportaftale slipper du for at bekymre dig om tekniske detaljer, og du får et website, der er både stabilt og beskyttet mod de nye typer sikkerhedsrisici, der desværre bliver mere almindelige i WordPress‑økosystemet.

Hvis du vil høre mere om, hvordan vi kan sikre dit site, så tager vi gerne en uforpligtende snak.