Kritieke Avada-kwetsbaarheid CVE-2026-97670 maakt ongeautoriseerde WordPress-acties mogelijk
Beveiligingsonderzoekers van Wordfence waarschuwen voor een kritieke kwetsbaarheid in Avada, een veelgebruikt WordPress-thema met een eigen pagebuilder. De kwetsbaarheid, geregistreerd als CVE-2026-97670, maakt het onder specifieke omstandigheden mogelijk om zonder authenticatie interne WordPress-acties uit te voeren.
Een succesvolle aanval kan leiden tot ongeautoriseerde wijzigingen, verstoring van websitefunctionaliteit en zelfs het permanent verwijderen van bepaalde websitegegevens.
De kwetsbaarheid heeft een CVSS 3.1-score van 9,1 en wordt als kritiek beschouwd.
Wat is Avada CVE-2026-97670?
Avada is een uitgebreid WordPress-thema waarmee websites, webshops, formulieren en dynamische pagina’s kunnen worden ontwikkeld.
De kwetsbaarheid bevindt zich in de verwerking van formuliergegevens binnen de bijbehorende Avada Builder-functionaliteit.
WordPress gebruikt zogenaamde action hooks waarmee interne functies op bepaalde momenten worden uitgevoerd.
Onder normale omstandigheden mogen gevoelige acties uitsluitend worden gestart wanneer de gebruiker daarvoor voldoende rechten heeft.
Bij CVE-2026-97670 worden bepaalde aangeleverde formuliergegevens onvoldoende gecontroleerd voordat een WordPress-action-hook wordt aangeroepen.
Hierdoor kan een externe aanvaller onder specifieke omstandigheden WordPress-acties laten uitvoeren waarvoor normaal gesproken aanvullende autorisatie vereist is.
Welke Avada-versies zijn kwetsbaar?
- CVE: CVE-2026-97670
- Software: Avada / Fusion Builder
- Getroffen versies volgens Wordfence: Tot en met Avada-versieniveau 7.16.1
- Gecorrigeerde Avada-release: 7.16.2
- CVSS 3.1: 9,1
- Ernst: Critical
- Authenticatie vereist: Nee
- Gebruikersinteractie vereist: Nee
Avada heeft versie 7.16.2 op 30 september 2026 uitgebracht.
Deze release bevat meerdere beveiligingscorrecties, waaronder verbeteringen aan de verwerking van Avada Forms en notificatieberichten.
Let op: Avada bestaat uit een thema en bijbehorende plugins. De afzonderlijke Builder-plugin kan een andere versienummering gebruiken. Controleer daarom of zowel het thema als de bijbehorende Avada-componenten zijn bijgewerkt via het officiële updatesysteem.
Hoe werkt de kwetsbaarheid?
De kwetsbaarheid ontstaat bij het verwerken van formuliergegevens en dynamische velden.
Onder bepaalde omstandigheden kunnen gegevens die via een publiek toegankelijk formulier worden ingestuurd, terechtkomen in de verwerking van interne WordPress-action-hooks.
De beveiligingscontrole maakt daarbij onvoldoende onderscheid tussen vertrouwde en door bezoekers aangeleverde gegevens.
Hierdoor kan een aanvaller proberen WordPress-acties uit te voeren die niet rechtstreeks beschikbaar horen te zijn voor bezoekers.
Welke gevolgen kan een aanval hebben?
Wordfence heeft technisch aangetoond dat de kwetsbaarheid kan worden gebruikt om WordPress-acties zonder authenticatie uit te voeren.
Bij een gecontroleerde test konden eerder naar de prullenbak verplaatste berichten, pagina’s en reacties permanent worden verwijderd.
Afhankelijk van de aanwezige plugins en geregistreerde action hooks kunnen ook andere gevolgen optreden.
Mogelijke gevolgen zijn:
- ongeautoriseerde wijzigingen aan websitegegevens;
- permanent verwijderen van bepaalde content;
- verstoring van websitefunctionaliteit;
- ongewenst uitvoeren van interne WordPress-processen;
- aanvullende ongeautoriseerde acties via kwetsbare extensies.
De kwetsbaarheid betekent niet automatisch dat een aanvaller volledige beheerdersrechten of directe toegang tot het besturingssysteem verkrijgt.
De daadwerkelijke impact is afhankelijk van de beschikbare WordPress-hooks en geïnstalleerde uitbreidingen.
Onder welke omstandigheden is misbruik mogelijk?
Volgens Wordfence vereist de beschreven aanval een specifieke formulierconfiguratie.
- Een kwetsbare Avada-versie is geïnstalleerd.
- Er is een publiek toegankelijk Avada-formulier aanwezig.
- Het formulier gebruikt AJAX-verzending.
- De notificatieconfiguratie verwerkt formuliergegevens via daarvoor geschikte placeholders.
De standaardconfiguratie van bepaalde Avada-formulieren kan aan deze voorwaarden voldoen.
Websites zonder dergelijke formulieren hebben mogelijk een beperkter aanvalsoppervlak, maar moeten de beveiligingsupdate eveneens installeren.
Wordt CVE-2026-97670 actief misbruikt?
Op 11 oktober 2026 is geen betrouwbare bevestiging gevonden van actieve exploitatiecampagnes die specifiek gebruikmaken van CVE-2026-97670.
Wordfence heeft de technische exploitatiemogelijkheid wel aangetoond.
Het ontbreken van bevestigde aanvallen is geen reden om de beveiligingsupdate uit te stellen.
Controleer Avada-websites op verdachte activiteiten
Beheerders van websites die een getroffen versie hebben gebruikt, kunnen onder andere de volgende onderdelen controleren:
- verdachte verzoeken naar publieke Avada-formulieren;
- onverklaarbare wijzigingen aan berichten en pagina’s;
- onverwachte verwijderingen uit de WordPress-prullenbak;
- afwijkende activiteiten in beschikbare auditlogs;
- ongebruikelijke AJAX-verzoeken;
- onverklaarbare fouten of onderbrekingen van WordPress-processen;
- onverwachte wijzigingen aan plugins en website-instellingen.
Deze controles zijn algemene onderzoekspunten. Er zijn geen algemeen toepasbare Indicators of Compromise gepubliceerd waarmee ieder misbruik van deze kwetsbaarheid kan worden aangetoond.
Wat moeten WordPress-beheerders doen?
- Controleer de geïnstalleerde Avada-versie.
- Werk Avada bij naar versie 7.16.2 of een nieuwere gecorrigeerde versie.
- Controleer of ook de bijbehorende Avada Builder-componenten zijn bijgewerkt.
- Maak vooraf een actuele back-up van websitebestanden en database.
- Controleer na het bijwerken alle belangrijke websitefunctionaliteiten.
- Controleer publieke Avada-formulieren en notificatie-instellingen.
- Onderzoek verdachte activiteiten wanneer een kwetsbare versie bereikbaar is geweest.
Wanneer bijwerken niet onmiddellijk mogelijk is, kan het tijdelijk uitschakelen van kwetsbaar geconfigureerde publieke formulieren het aanvalsoppervlak beperken.
Een passende webapplicatiefirewall kan aanvullende bescherming bieden, maar vervangt de beveiligingsupdate niet.
Managed WordPress Hosting bij Vservs
Kwetsbaarheden zoals CVE-2026-97670 onderstrepen het belang van actief technisch WordPress-beheer.
Met Managed WordPress Hosting van Vservs kunnen organisaties het technische onderhoud en de beveiliging van hun WordPress-omgeving uitbesteden.
Vservs verzorgt binnen de afgesproken dienstverlening onder andere het beheer van WordPress Core, plugins, thema’s, beveiligingsupdates, monitoring en back-ups.
Ook voor WordPress-websites met een eigen VPS biedt Vservs beheerde hostingoplossingen.
Conclusie
CVE-2026-97670 is een kritieke kwetsbaarheid in Avada waarmee aanvallers onder bepaalde omstandigheden zonder authenticatie interne WordPress-acties kunnen uitvoeren.
Hoewel actieve exploitatie niet is bevestigd, is de technische impact aanzienlijk.
Vservs adviseert alle Avada-gebruikers om direct te controleren of versie 7.16.2 of nieuwer is geïnstalleerd.