Kritieke WordPress File Upload-kwetsbaarheid CVE-2026-62071 maakt SQL-injectie zonder login mogelijk

De WordPress File Upload kwetsbaarheid CVE-2026-62071 maakt SQL-injectie mogelijk zonder dat een aanvaller hoeft in te loggen. De kritieke beveiligingsfout treft de WordPress-plugin die tegenwoordig als Iptanus File Upload wordt uitgebracht en heeft een CVSS-score van 9,3.

De WordPress File Upload kwetsbaarheid treft versies tot en met 5.1.10. De beveiligingscorrectie is opgenomen in versie 5.2.0. Vservs adviseert gebruikers om direct naar versie 5.2.0 of een nieuwere beschikbare versie te updaten.

De plugin heeft volgens WordPress.org meer dan 10.000 actieve installaties.

Wat is de WordPress File Upload kwetsbaarheid CVE-2026-62071?

CVE-2026-62071 is een unauthenticated SQL Injection-kwetsbaarheid in WordPress File Upload.

De plugin wordt gebruikt om bezoekers bestanden naar een WordPress-website te laten uploaden en biedt daarnaast functionaliteit voor het beheren van geüploade bestanden.

Volgens de officiële plugin-changelog bevond de beveiligingsfout zich in de verwerking van een upload identifier die niet volledig werd gesanitized voordat deze in een databasequery werd verwerkt.

Een externe aanvaller kan daardoor speciaal geprepareerde invoer gebruiken om de structuur van een SQL-query te beïnvloeden.

Welke versies zijn getroffen?

• WordPress File Upload / Iptanus File Upload 5.1.10 en ouder – kwetsbaar
• Versie 5.2.0 en nieuwer – beveiligingscorrectie aanwezig

De ontwikkelaar bevestigt in de changelog van versie 5.2.0 expliciet dat een SQL-injectieprobleem is verholpen in een upload identifier die onvoldoende werd gesanitized.

Geen WordPress-account nodig

Een belangrijk aspect van CVE-2026-62071 is dat voor exploitatie geen WordPress-account nodig is.

De CVSS-vector vermeldt:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L

Dit betekent onder andere:

• de aanval kan via het netwerk plaatsvinden;
• de attack complexity is laag;
• geen privileges zijn vereist;
• geen user interaction is vereist;
• de impact op vertrouwelijkheid is hoog.

Wat kan een SQL-injectie veroorzaken?

SQL-injectie ontstaat wanneer invoer van een gebruiker onvoldoende wordt gescheiden van een databasequery.

Een aanvaller kan hierdoor delen van een query beïnvloeden die normaal uitsluitend door de applicatie zelf zouden moeten worden bepaald.

Voor CVE-2026-62071 geeft de officiële CVSS-vector een hoge impact op vertrouwelijkheid, geen directe integriteitsimpact en een lage beschikbaarheidsimpact aan.

Het belangrijkste bevestigde risico is daarom het ongeautoriseerd uitlezen van gevoelige informatie uit de WordPress-database.

Afhankelijk van de database en website kunnen daar onder andere onder vallen:

• WordPress-gebruikersgegevens;
• wachtwoordhashes;
• e-mailadressen;
• websiteconfiguratie;
• plugininstellingen;
• WooCommerce- of formuliergegevens indien deze zich in dezelfde database bevinden;
• andere informatie die plugins in de WordPress-database opslaan.

SQL-injectie betekent niet automatisch server-RCE

Het is belangrijk CVE-2026-62071 niet automatisch als Remote Code Execution te omschrijven.

De bevestigde kwetsbaarheid is SQL-injectie. De officiële CVSS-data beschrijft vooral een hoge confidentiality-impact.

Of een SQL-injectie in een specifieke omgeving kan worden gecombineerd met andere zwakke plekken hangt af van onder andere databaseprivileges, serverconfiguratie en aanwezige software.

Vservs classificeert dit probleem daarom als een kritieke unauthenticated SQL Injection en niet als een bevestigde serverovername.

Wordt CVE-2026-62071 actief misbruikt?

Op het moment van publicatie is geen bevestigde actieve exploitatie van CVE-2026-62071 aangetoond.

CISA’s vulnerability enrichment registreerde bij publicatie geen waargenomen exploitatie. De kwetsbaarheid staat op dit moment ook niet bekend als een CISA Known Exploited Vulnerability.

Patchstack classificeert de kwetsbaarheid wel als High Priority en waarschuwt dat unauthenticated SQL-injecties geschikt kunnen zijn voor geautomatiseerde aanvallen.

De afwezigheid van bevestigde actieve exploitatie is daarom geen reden om het updateproces uit te stellen.

Wat moeten WordPress-beheerders nu doen?

1. Controleer of WordPress File Upload of Iptanus File Upload is geïnstalleerd.
2. Controleer de exacte pluginversie.
3. Update direct naar versie 5.2.0 of nieuwer.
4. Controleer na het updaten of versie 5.2.0 of een latere versie daadwerkelijk actief is.
5. Verwijder de plugin volledig wanneer deze niet meer wordt gebruikt.
6. Controleer of publieke uploadfunctionaliteit daadwerkelijk noodzakelijk is.
7. Controleer webserverlogs op verdachte requests naar de uploadfunctionaliteit.

Tijdelijke mitigatie wanneer updaten niet mogelijk is

Kan versie 5.2.0 niet onmiddellijk worden geïnstalleerd, schakel de plugin dan tijdelijk uit.

Wanneer dat functioneel niet mogelijk is, moet publieke toegang tot de betreffende uploadfunctionaliteit zoveel mogelijk worden beperkt totdat de update is uitgevoerd.

Een Web Application Firewall kan generieke SQL-injectionpogingen blokkeren, maar vormt geen vervanging voor de officiële beveiligingsupdate.

Controleren op mogelijke exploitatie

Websites waarop versie 5.1.10 of ouder publiek bereikbaar was, kunnen aanvullend worden gecontroleerd.

Let onder andere op:

• ongebruikelijke requests naar pagina’s waarop de uploadfunctionaliteit actief is;
• lange of afwijkende waarden in uploadparameters en identifiers;
• requests met SQL-gerelateerde syntax of ongebruikelijke encoding;
• grote aantallen vergelijkbare requests vanaf één of meerdere IP-adressen;
• databasefouten rond hetzelfde tijdstip;
• plotselinge databasebelasting zonder functionele verklaring;
• onverwachte toegang tot grote hoeveelheden databasegegevens;
• applicatie- of PHP-errors na verdachte uploadrequests.

Een enkele vreemde request bewijst niet dat informatie daadwerkelijk is buitgemaakt.

Bij een concreet vermoeden moeten webserverlogs, databaseactiviteit, WordPress-logs en eventuele WAF-logs gezamenlijk worden onderzocht.

Wat te doen wanneer database-exfiltratie wordt vermoed?

Wanneer er aanwijzingen zijn dat een aanvaller daadwerkelijk databasegegevens heeft kunnen uitlezen, moet worden vastgesteld welke informatie toegankelijk was.

Afhankelijk van de opgeslagen gegevens kunnen vervolgstappen nodig zijn, waaronder:

• wachtwoorden resetten;
• WordPress salts wijzigen;
• API-keys vervangen;
• databasecredentials wijzigen;
• gebruikersaccounts controleren;
• WooCommerce- en formulierdata beoordelen;
• nagaan of persoonsgegevens mogelijk zijn ingezien;
• de noodzaak van verdere AVG/GDPR-acties beoordelen.

Wijzig credentials pas vanuit een omgeving waarvan redelijkerwijs kan worden vastgesteld dat deze schoon is.

Managed WordPress bij Vservs

Veel ernstige WordPress-incidenten ontstaan niet door WordPress Core zelf, maar door kwetsbare plugins die na publicatie van een beveiligingsupdate te lang actief blijven.

Met Vservs Managed WordPress verzorgen wij onder andere WordPress Core-, plugin- en theme-updates, hardening, monitoring, back-ups en relevante beveiligingscontroles.

Samenvatting

• Plugin: WordPress File Upload / Iptanus File Upload
• CVE: CVE-2026-62071
• Kwetsbaarheid: SQL Injection
• Severity: Critical
• CVSS: 9,3
• Actieve installaties: 10.000+
• Getroffen versies: 5.1.10 en ouder
• Veilige versie: 5.2.0 of nieuwer
• Authenticatie vereist: Nee
• User interaction: Nee
• Belangrijkste impact: ongeautoriseerde toegang tot gevoelige databasegegevens
• Actieve exploitatie: op het moment van publicatie niet bevestigd
• Advies: direct updaten naar 5.2.0 of nieuwer

Bronnen

• Patchstack – CVE-2026-62071
• NVD – CVE-2026-62071
• CISA ADP Vulnrichment – CVE-2026-62071
• WordPress.org – Iptanus File Upload changelog