Plugin-navn	Woocommerce Custom Product Addons Pro
Type af sårbarhed	Fjernudførelse af kode
CVE-nummer	CVE-2026-4001
Hastighed	Høj
CVE-udgivelsesdato	2026-03-28
Kilde-URL	CVE-2026-4001

Fjernkodeeksekvering i WooCommerce Custom Product Addons Pro (CVE-2026-4001): Hvad WordPress-webstedsejere skal vide — og gøre lige nu

Opdateret: 24. marts 2026
Påvirker: WooCommerce Custom Product Addons Pro <= 5.4.1
Patchet: 5.4.2
CVE: CVE-2026-4001
Risiko: Uautentificeret fjernkodeeksekvering (RCE) — højeste praktiske alvorlighed

Hvis du driver en WooCommerce-butik, der bruger Custom Product Addons Pro-pluginet, er denne advisering til dig. En kritisk fejl i versioner op til og med 5.4.1 tillader en uautentificeret angriber at indsende en specielt udformet “tilpasset prisfastsættelse” formel, der behandles på en måde, der kan føre til fjernkodeeksekvering på serveren. På almindeligt sprog: en angriber kan udføre vilkårlige kommandoer på din webhost, uden at have brug for en konto på dit websted.

Dette er den slags sårbarhed, der hurtigt bliver våbeniseret i store automatiserede kampagner. Læs dette indlæg omhyggeligt — det er skrevet fra perspektivet af WP-Firewall sikkerhedsingeniører og webstedssvarere. Vi vil forklare, hvad der skete, hvorfor det er så farligt, hvordan man bekræfter eksponering, umiddelbare indholdstrin, du skal anvende, anbefalede retsmedicinske kontroller og robuste afbødninger, herunder WAF-regler og langsigtet hærdning. Vi vil også vise, hvordan vores gratis plan kan hjælpe dig med at beskytte websteder, der ikke kan blive patchet med det samme.

---

Ledelsessammendrag (hurtige handlingsskridt)

• Hvis dit websted bruger Custom Product Addons Pro og plugin-versionen er ≤ 5.4.1, opdater straks til 5.4.2.
• Hvis du ikke kan anvende opdateringen med det samme, tag pluginet offline (deaktiver) eller blokér udnyttelsestrafik ved kanten (WAF, proxy, host-niveau firewall).
• Scann for indikatorer på kompromis (uventede admin-brugere, ændrede PHP-filer, nye planlagte opgaver, udgående forbindelser), og bevar logfiler til hændelsesrespons.
• Implementer kortsigtede virtuelle patching-regler for at blokere udnyttelsesvektorer (eksempler nedenfor).
• Rotér legitimationsoplysninger (WP-administratorer, SSH, database), efter at du har bekræftet, at miljøet er rent eller gendannet fra en betroet sikkerhedskopi.
• Tilmeld webstedet til automatiseret WAF / malware-scanning beskyttelse, hvis muligt, mens du patcher.

---

Hvorfor denne sårbarhed er så alvorlig

Fjernkodeeksekvering er den værste klasse af sårbarhed i webapplikationer. I modsætning til en informationslækage eller privilegiumselevations, der kræver en autentificeret bruger, er sårbarheden beskrevet af CVE-2026-4001 uautentificeret: enhver fjern aktør kan indsende en ondsindet payload. Når den er udnyttet, tillader RCE typisk angribere at:

• Installere bagdøre og webshells for vedvarende adgang.
• Tilføje rogue administrator-konti og manipulere med indhold.
• Ekstraher databaser og gemte kundedata (inklusive betalingsmetadata).
• Udrul kryptovaluta-minere, spam-motorer eller ransomware.
• Brug din infrastruktur som et pivotpunkt til at angribe andre netværk.

Fordi mange WooCommerce-butikker håndterer betalinger og kunders PII, kan udnyttelse hurtigt føre til reguleringsmæssig eksponering, økonomisk tab, nedetid på siden og skader på omdømmet.

---

Teknisk resumé (ikke-udtømmende, sikkert at offentliggøre)

• Grundårsag: Plugin'et accepterer brugerleverede “tilpassede prisfastsættelses”-formler eller udtryk, der evalueres server-side uden tilstrækkelig sanitering eller kontekstvalidering. I berørte versioner kan en angriber udforme input, der resulterer i server-side evaluering af kode eller usikre funktionsopkald.
• Udløsersti: Sårbarheden nås gennem plugin-kode, der behandler tilpassede prisfastsættelsesinput (normalt leveret via en produktformular eller AJAX-endepunkt). Behandlingsflowet udfører et evaluerings- eller transformationstrin, der kan misbruges til at udføre vilkårlig kode.
• Godkendelse: Ingen krævet. De sårbare indgangspunkt er tilgængelige fra uautentificerede anmodninger på mange installationer.
• Indvirkning: Fjernkodeeksekvering på webserverprocessen (PHP), med de samme rettigheder som webserverbrugeren. På mange delte eller forkert konfigurerede værter er dette nok til at droppe bagdøre, få adgang til skrivbare områder eller eskalere yderligere.

Jeg offentliggør bevidst ikke proof-of-concept udnyttelseskode her. Offentliggørelse af udnyttelseskode i et offentligt blogindlæg risikerer at accelerere masseudnyttelse. I stedet vil jeg give sikre tekniske indikatorer og defensive signaturer, du kan bruge til at blokere og opdage angreb.

---

Hvem bliver berørt?

• Enhver side, der kører WooCommerce Custom Product Addons Pro-pluginet i version 5.4.1 eller tidligere.
• Butikker, hvor plugin'et er aktivt, og siden accepterer tilpassede prisfastsættelsesinput (produksider, AJAX-endepunkter, der betjener produkt-tilføjelser).
• Værter med tilladende PHP-konfigurationer eller svage isolationsgrænser er mere i risiko for post-udnyttelse lateral bevægelse.

Hvis du er usikker på, om din butik bruger plugin'et: tjek WordPress admin Plugins-side og filsystemet under wp-indhold/plugins/ for plugin-mappenavn. Hvis du finder det, og plugin-versionen er ≤ 5.4.1, skal du behandle systemet som sårbart, indtil det er opdateret.

---

Øjeblikkelige handlinger (ordnet efter prioritet)

1. Tjek plugin-versionen nu
      – Log ind på WordPress (eller via SFTP) og bekræft den installerede plugin-version. Hvis versionen er ≤ 5.4.1, skal du straks gå videre til trin 2.
2. Anvend leverandørens opdatering (bedste mulighed)
      – Opdater plugin'et til 5.4.2 (eller senere) så hurtigt som muligt. Dette er den definitive løsning.
3. Hvis du ikke kan opdatere nu, anvend nødforanstaltninger.
      – Deaktiver plugin'et via WordPress Plugins-skærmen eller omdøb plugin-mappen via SFTP (f.eks. tilføj .disabled til plugin-mappe navnet).
      – Hvis deaktivering bryder din checkout-flow, og du har brug for plugin'et, implementer virtuel patching ved din webapplikations firewall eller host edge for at blokere udnyttelsesmønstre (eksempler følger).
4. Bloker mistænkelig trafik straks
      – Brug server / host firewall til at begrænse eller blokere indkommende POST/GET-anmodninger, der inkluderer usædvanlige nyttelaster i de brugerdefinerede prisformfelter eller kendte parameter navne. Hvis du har en WAF, aktiver regler for at blokere mistænkelige evalueringsmønstre.
5. Bevar logs & tag en backup
      – Før du foretager retsmedicinske ændringer, skal du sikre dig, at webserverlogs, PHP-FPM-logs og adgangslogs er bevaret og sikkerhedskopieret til undersøgelse.
6. Scan efter tegn på kompromis
      – Udfør en grundig malware- og filintegritetsscanning.
      – Se efter nye administrator-konti, uautoriserede planlagte opgaver (cron/cwp), ændrede kernefiler eller mistænkelige PHP-filer uploadet i wp-content/uploads eller andre skrivbare mapper.
7. Rotér legitimationsoplysninger efter oprydning
      – Rotér alle administratoradgangskoder, API-nøgler, databaselegitimationsoplysninger og eventuelle SSH-nøgler, hvis du finder beviser for kompromittering. Hvis du skal rotere adgangskoder før fuld oprydning, så fortsæt — men vær forberedt på at rotere igen efter en bekræftet afhjælpning.

---

Foreslået virtuel patch / WAF-regler (eksempler)

Hvis du ikke kan patch'e straks, giver virtuel patching en effektiv kortvarig barriere. Nedenfor er sikre, konservative regel eksempler, du kan bruge til at blokere forsøg på udnyttelse — juster dem for at undgå falske positiver.

Vigtig: test enhver regel i et staging-miljø eller i “log-only” tilstand først for at måle falske positiver.

• Bloker anmodninger, hvor brugerleverede formelparametre indeholder mønstre, der indikerer kodeevaluering:
  • Bloker hvis anmodningskrop eller forespørgsel indeholder eval(, bekræft(, system(, shell_exec(, passthru(, exec(, popen(, proc_open(, eller create_function(.
  • Bloker, hvis parameteren indeholder base64_decode( efterfulgt af eval eller create_function.
• Bloker mistænkelig serialisering eller kodede nyttelaster:
  • Bloker anmodninger, hvor en parameter værdi indeholder lange base64-strenge (f.eks. > 200 tegn) kombineret med eksekveringsindikatorer.
• Bloker mistænkelige tegn i prisfelter:
  • Bloker anmodninger til produkt-tilføjelses-endepunkter, hvor numeriske “pris” felter indeholder alfabetiske tegn som ;, |, &, $, — disse er usædvanlige i numeriske prisfelter og bruges ofte til injektion.
• Bloker adgangsmønstre til plugin-specifikke slutpunkter (hvis kendt):
  • Hvis det sårbare plugin udsætter en specifik AJAX-handling eller slutpunkt, blokerer eller tillader adgang til det slutpunkt, så kun kendte gode referencer eller interne netværk kan kalde det.
• Ratebegrænsning og IP-reputation:
  • Anvend strenge ratebegrænsninger på POST-anmodninger til produkt slutpunkter. Bloker IP'er, der forsøger gentagne mistænkelige input.

Eksempel signatur (pseudokode; tilpas til din WAF-syntaks):

• Hvis REQUEST_METHOD == “POST” og (REQUEST_BODY indeholder eval( ELLER REQUEST_BODY indeholder base64_decode() så BLOCK
• Hvis REQUEST_URI matcher /wp-admin/admin-ajax.php og REQUEST_BODY indeholder tilpasset_pris og REQUEST_BODY indeholder ikke-digit tegn ud over standard symboler, så LOG og BLOCK hvis gentaget.

Bemærk: disse eksempel mønstre er bevidst generiske. Koordiner med din vært eller WAF-dokumentation for at konvertere dem til den korrekte regel-syntaks (ModSecurity, Nginx, Cloud WAF-konsol osv.).

---

Detektion: hvad man skal se efter (indikatorer for kompromis)

Hvis du mistænker, at din side er blevet angrebet, så søg efter følgende indikatorer. Husk, at angribere ofte forsøger at rydde op i beviser, så fraværet af åbenlyse artefakter beviser ikke, at du er ren.

• Webserveradgangslogs:
  • POST-anmodninger til produktsider, admin-ajax.php eller plugin slutpunkter, der indeholder lange kodede strenge eller mistænkelige symboler i prisrelaterede parametre.
  • Anmodninger med usædvanlige User-Agent-strenge eller tomme brugeragenter.
  • Burst af lignende POST-anmodninger fra det samme IP-område, der forsøger pris/formel indsendelser.
• Filsystem:
  • Nye eller ændrede PHP-filer i wp-content/uploads, wp-includes, wp-content/plugins eller andre skrivbare biblioteker.
  • Filer med mistænkelige navne: enkelt-bogstav .php filer, filer der foregiver at være billeder, men indeholder PHP, eller filer med mærkelige tidsstempler.
  • Ændringer til wp-config.php, .htaccess eller tema functions.php.
• Database:
  • Nye brugerkonti med administratorrolle.
  • Mistænkelige indstillinger i wp_options (rogue planlagte begivenheder eller uventede serialiserede blobs).
  • Enhver uventet ændring af ordrer eller produktdata.
• Processer og netværk:
  • Uventede cron-jobs eller planlagte opgaver, der kalder eksterne URL'er.
  • Udenlandske netværksforbindelser fra serveren til ukendte IP-adresser, især på usædvanlige porte.
• Adfærd:
  • Pludselig SEO-spam eller ændringer i indhold.
  • Nye sider, der omdirigerer besøgende til ondsindede domæner.
  • Deaktiverede eller låste admin-konti.

Hvis du finder indikatorer, så handle hurtigt: isoler serveren, lav et diskbillede hvis muligt, og engager en hændelsesresponsproces.

---

Retningslinjer for retsmedicinsk undersøgelse (trin-for-trin)

1. Bevar beviser
      – Kopier og arkiver relevante logs (adgang, fejl, PHP-FPM, database logs). Arbejd ud fra kopier; ændr ikke originalerne.
2. Tag et snapshot af sitet
      – Tag et filsystemsnapshot eller lav en offsite backup før afhjælpningsskridt, der ændrer miljøet.
3. Identificer indgangspunktet.
      – Korrelér tidsstempler for mistænkelige anmodninger med filændringer og nye konti for at isolere, hvordan en angriber fik adgang.
4. Jag efter vedholdenhed
      – Søg efter webshell-mønstre (funktioner som system, leder, popen brugt i forbindelse med anmodningsparametre), eval-wrapper, og obfuskeret PHP (base64_decode, gzinflate, str_rot13, osv.).
      – Se efter planlagte opgaver (WP-Cron eller systemcron), der kører PHP-scripts fra uploads eller caches.
5. Rens, gendan eller genopbyg
      – Hvis backup er ren og nylig, gendan fra backup efter patching og hårdhændet.
      – Hvis kompromitteret og ingen ren backup er tilgængelig, genopbyg siden, geninstaller WordPress og plugins fra betroede kilder, og gendan indhold kun efter at have verificeret, at det er rent.
6. Roter hemmeligheder
      – Efter rensning, roter alle legitimationsoplysninger — WP admin-konti, databasebruger, eventuelle API-tokens og SSH-nøgler.
7. Overvågning efter hændelsen
      – Overvåg logfiler intensivt i mindst to uger efter afhjælpning for tegn på reinfektion.

---

Hærdningsanbefalinger for at reducere fremtidig risiko

• Hold plugins og temaer opdaterede og anvend sikkerhedsopdateringer hurtigt.
• Begræns installation og opdateringsrettigheder for plugins til betroede administratorer kun.
• Brug et staged miljø til at teste plugin-opdateringer, før de implementeres i produktion.
• Implementer mindst privilegium for WordPress-brugere: giv ikke administratorrettigheder, medmindre det er nødvendigt.
• Brug filintegritetsmonitorering (FIM) til at opdage uautoriserede filændringer.
• Kør regelmæssige malware-scanninger og sikkerhedsrevisioner.
• Implementer WAF-beskyttelser, herunder virtuel patching og adfærdsbaserede regler.
• Deaktiver funktioner, du ikke bruger — hvis pluginens tilpassede prisfunktion ikke er i brug, overvej at deaktivere eller erstatte pluginet.
• Brug en stærk adgangskodepolitik og aktiver MFA for administrative konti.
• Hold fulde, testede sikkerhedskopier opbevaret offsite og verificer gendannelsesprocedurer regelmæssigt.

---

Hvordan en administreret WAF/Firewall hjælper i hændelser som denne

En administreret WordPress-applikationsfirewall giver flere fordele i situationer som CVE-2026-4001:

• Hurtig virtuel patching: WAF-regler kan implementeres for at blokere udnyttelsesvektoren på få minutter, hvilket reducerer risikoen, mens du planlægger eller tester plugin-opdateringer.
• Adfærdsbeskyttelse: hastighedsbegrænsning og anomali-detektion kan forstyrre automatiserede masse-scanninger og udnyttelseskampagner.
• Malware-scanning og oprydning: integrerede scannere identificerer webshells og mistænkelige artefakter; højere niveau tjenester kan automatisk fjerne nogle klasser af malware.
• Overvågning og alarmering: næsten realtidsalarmer om mistænkelig aktivitet lader dig handle hurtigere.
• Ekspertanalyse: et erfarent sikkerhedsteam kan justere regler for at reducere falske positiver, mens de opretholder beskyttelse.

Hvis du administrerer flere WordPress-websteder, reducerer en centraliseret WAF i høj grad den operationelle byrde ved at reagere på opståede høj-severitets sårbarheder.

---

Logmønstre og prøveopdagelser, du kan bruge (sikre, ikke-udnyttede)

Nedenfor er detekteringsheuristikker, som du kan søge efter i logfiler. De er beregnet til at flagge potentielt ondsindede forsøg på at bruge formel- eller evalueringsfelter.

• Adgangslog-søgning (eksempler):
  • POST-anmodninger, der indeholder brugerdefineret OG pris OG enten base64 ELLER eval ELLER system i anmodningskroppen.
  • Sekvenser af gentagne POST-anmodninger til den samme URL med let varierede nyttelaster fra én IP inden for en kort tidsramme.
• Fil-system heuristik:
  • Filer med PHP-indhold i uploads-mappen:
    grep -R "<?php" wp-content/uploads
  • Nye filer ændret efter det oprindelige kompromitterings-tidsstempel.
• Database heuristik:
  • Søg usermeta for konti med administrator rettigheder oprettet samtidig med, at mistænkelig aktivitet begyndte.
  • Gennemgå nylige poster i wp_options for ukendte planlagte begivenheder.
• Adfærd:
  • Udgående forbindelser til kendte dårlige værter eller usædvanlige slutpunkter.
  • Spidser i CPU-brug på værten (indikerer kryptovaluta-miner eller tunge opgaver).

Disse mønstre er høj-signal, men ikke udtømmende. Kombiner flere indikatorer for at reducere falske positiver.

---

Praktisk eksempel: sikre virtuelle patching-regler til at blokere evalueringslignende nyttelaster

Implementer disse som konservative filtre i din WAF eller serverniveau-regler. Erstat med korrekt syntaks for hvilken som helst firewall eller regelmotor, du bruger.

• Regel A (blokér eval-lignende tokens i POST-kroppe)
    – Betingelse: REQUEST_METHOD == POST OG REQUEST_BODY indeholder nogen af: eval(, bekræft(, create_function(, preg_replace(/e, base64_decode(, gzinflate(.
    – Handling: Bloker eller udfordr (CAPTCHA) for initial blokering.
• Regel B (rate-limite POSTs til produkt-endepunkter)
    – Betingelse: Mere end X POST-anmodninger til produkt-relaterede URIs fra en enkelt IP inden for Y sekunder.
    – Handling: Midlertidigt blokere eller dæmpe.
• Regel C (numerisk feltvalidering)
    – Betingelse: Numeriske pris- eller rabatfelter indeholder alfabetiske tegn eller mistænkelig tegnsætning (;, |, &).

  – Handling: Afvis anmodning med 400.

Bemærk: Hvis dine formularer legitimt accepterer formler (sjældent i prisfelter), anvend en whitelist-tilgang: tillad kun strengt begrænsede tegn og mønstre, der svarer til dit legitime udtryksprog.

---

Genopretning og afhjælpning playbook (kortfattet procedure)

1. Opdater plugin til 5.4.2 eller senere.
2. Tag siden offline, hvis der er tegn på kompromittering; placer en vedligeholdelsesside.
3. Bevar logs og beviser til retsmedicinske undersøgelser.
4. Scann kodebase og uploads for webshells; fjern identificerede ondsindede filer.
5. Gendan fra en verificeret ren backup, hvis det er nødvendigt.
6. Rotér alle følsomme legitimationsoplysninger.
7. Implementer WAF-regler og overvåg trafik.
8. Genaktiver siden og overvåg for reinfektion.

Hvis du driver mange sider, prioriter dem, der opbevarer betalingsdata, har mange brugere eller er mission-kritiske.

---

Hvorfor du skal handle beslutsomt, selvom dit site virker lille

Angribere diskriminerer ikke altid efter sitepopularitet. Automatiserede scannere og exploit-kits målretter enhver sårbar installation, de kan nå. Mindre butikker er attraktive, fordi de ofte har svagere overvågnings- og genopretningsprocesser. En uautoriseret RCE er en åben dør: når de først er inde, kan angribere hurtigt oprette vedholdenhed og bruge din server til at målrette andre sites, lancere spamkampagner eller tjene penge ved at sælge adgang.

Hver time du forsinker, øger eksponeringsvinduet.

---

Hvordan WP-Firewall hjælper (en kort guide til tilgængelige beskyttelser)

Hos WP-Firewall tilbyder vi lagdelt beskyttelse designet til WordPress og WooCommerce-miljøer. Nøglefunktioner, der forsvarer mod de typer angreb, der bruges mod CVE-2026-4001, inkluderer:

• Administreret webapplikationsfirewall (WAF) med virtuel patching til nye zero-day trusler.
• Malware-scanning for at finde webshells og bagdøre.
• Administreret detektion og respons: advarsler og vejledning, når mistænkelig adfærd opdages.
• Auto-mitigeringsregler tilpasset WordPress-plugin-angrebsmønstre (uden at påvirke legitim trafik).
• Vejledning til sikkerhedshærdning og støtte til hændelsesrespons.

Hvis du ikke straks kan anvende plugin-opdateringen, er aktivering af en administreret WAF, der kan implementere virtuelle patches, en af de hurtigste måder at reducere risikoen på tværs af mange sites, mens du planlægger vedligeholdelsesvinduer.

---

Sikre din butik nu — Start med WP-Firewalls gratis plan

Hvis du har brug for øjeblikkelig, lav-friktion beskyttelse, mens du planlægger patching eller hændelsesrespons, dækker WP-Firewalls Basic (gratis) plan essentielle forsvar for WordPress og WooCommerce sites. Den gratis plan inkluderer en administreret firewall, ubegribelig båndbredde, WAF-beskyttelser, en malware-scanner og mitigering for OWASP Top 10-risici — alt hvad du behøver for hurtigt at reducere eksponeringen.

Prøv den gratis plan og beskyt din butik i dag: https://my.wp-firewall.com/buy/wp-firewall-free-plan/

(Hvis du har brug for automatiseret oprydning, whitelist/blacklist-kontroller eller virtuel patching med rapportering på tværs af flere sites, overvej at opgradere til Standard- eller Pro-niveauer for yderligere automatisering og administreret respons.)

---

Ofte stillede spørgsmål

Q: Hvis jeg patcher, skal jeg så stadig scanne mit site?
A: Ja. Hvis du var sårbar før patching, er det vigtigt at bekræfte, at angribere ikke udnyttede fejlen før opdateringen. Patch forhindrer fremtidig udnyttelse, men fjerner ikke allerede installerede bagdøre.

Q: Kan jeg bare deaktivere plugin'et og genaktivere det senere?
A: Deaktivering fjerner den sårbare kode fra udførelse, hvilket er en gyldig mitigering. Men hvis et kompromis allerede er sket, fjerner deaktivering alene ikke bagdøre eller andre artefakter. Udfør en fuld scanning og afhjælpning.

Q: Hvad hvis opdateringen ødelægger mit site?
A: Hvis opdateringstest i staging viser kompatibilitetsproblemer, skal du rulle tilbage til din tilstand før opdateringen og anvende beskyttende WAF-regler og strengere inputvalidering, mens du løser kompatibiliteten. Ideelt set skal du køre opdateringen i et vedligeholdelsesvindue efter sikkerhedskopier.

Q: Hvilke logfiler eller beviser skal jeg bevare til en efterforsker?
A: Bevar adgangslogfiler, fejl-logfiler, PHP-FPM-logfiler, database-logfiler omkring tidsrammen for den mistænkte udnyttelse, og metadata for eventuelle ændrede filer. Diskbilleder er meget nyttige til detaljeret retsmedicinsk arbejde.

---

Afslutning: en praktisk tjekliste, du kan følge nu

1. Bekræft plugin-versionen nu.
2. Hvis sårbar: opdater straks til 5.4.2.
3. Hvis du ikke kan opdatere: deaktiver plugin eller aktiver WAF virtuel patching.
4. Bevar logfiler og tag sikkerhedskopier, før du ændrer noget.
5. Scann for og fjern eventuel malware/bagdøre.
6. Rotér alle administrative og infrastrukturlegitimationsoplysninger efter oprydning.
7. Implementer overvågning, FIM og periodiske malware-scanninger for at reducere fremtidig risiko.

---

Hvis du ønsker hjælp til at implementere nogen af ovenstående - fra at sætte taktiske WAF-regler til at udføre en omfattende retsmedicinsk gennemgang - er vores WP-Firewall responsingeniører tilgængelige for at hjælpe. Vi hjælper rutinemæssigt butiksejere med at lukke presserende huller, gennemføre virtuelle patches og bekræfte, at siderne er rene efter høj alvorlighed sårbarheder.

Hold dig sikker og handle hurtigt: omkostningerne ved forsinkelse er ofte langt større end indsatsen for at patch og styrke i dag.