Kritieke kwetsbaarheid in The Events Calendar bedreigt WordPress-websites

The Events Calendar CVE-2026-95606 is een kritieke beveiligingskwetsbaarheid in de populaire WordPress-plugin The Events Calendar. Het beveiligingsprobleem maakt PHP Object Injection mogelijk zonder authenticatie en heeft een CVSS-score van 9.8. Alle pluginversies tot en met 6.17.4 zijn kwetsbaar. De ontwikkelaar heeft het probleem verholpen in versie 6.17.4.1.

The Events Calendar wordt gebruikt op meer dan 600.000 WordPress-websites. Organisaties die de plugin gebruiken, wordt geadviseerd onmiddellijk te controleren of een veilige versie is geïnstalleerd.

Wat is CVE-2026-95606?

CVE-2026-95606 betreft een kwetsbaarheid in de verwerking van niet-vertrouwde geserialiseerde gegevens.

Dit type beveiligingsprobleem wordt aangeduid als PHP Object Injection.

Bij PHP Object Injection kan een aanvaller invloed uitoefenen op objecten die door de applicatie worden aangemaakt of verwerkt.

Wanneer dergelijke objecten onveilig worden verwerkt, kunnen bepaalde functies onbedoeld worden uitgevoerd.

Hoe gevaarlijk is deze kwetsbaarheid?

Patchstack kent de kwetsbaarheid een CVSS-score van 9.8 toe.

Het beveiligingsprobleem kan zonder authenticatie worden aangesproken.

De mogelijke gevolgen zijn afhankelijk van de overige software die op de WordPress-website is geïnstalleerd.

Volgens de beschikbare kwetsbaarheidsinformatie bevat The Events Calendar zelf geen bekende bruikbare PHP Object Injection-gadgetketen.

Wanneer een andere geïnstalleerde plugin of een thema wel een bruikbare gadgetketen beschikbaar stelt, kan misbruik mogelijk leiden tot:

• Het uitlezen van gevoelige bestanden.
• Het verwijderen of manipuleren van bestanden.
• Het uitvoeren van ongewenste applicatiehandelingen.
• Onder bepaalde omstandigheden Remote Code Execution.
• Verdere compromittering van de WordPress-installatie.

Het is daarom belangrijk om de kwetsbaarheid niet uitsluitend op basis van de gebruikte kalenderfunctionaliteit te beoordelen.

Welke versies zijn kwetsbaar?

• Getroffen: The Events Calendar versie 6.17.4 en ouder.
• Eerste veilige versie: 6.17.4.1.
• Aanbevolen: update naar de nieuwste compatibele versie, momenteel 6.18.1.
• CVE: CVE-2026-95606.
• CVSS: 9.8 – kritiek.
• Authenticatie: niet vereist.

De ontwikkelaar heeft de beveiliging van de verwerking van gekopieerde widgetgegevens aangescherpt.

Wordt CVE-2026-95606 actief misbruikt?

Op 14 oktober 2026 is geen betrouwbare bevestiging aangetroffen dat deze specifieke kwetsbaarheid actief wordt misbruikt bij aanvallen op WordPress-websites.

Het ontbreken van bevestigde aanvallen betekent echter niet dat uitstel van beveiligingsupdates verstandig is.

De kwetsbaarheid is publiek bekend en er is een beveiligingsupdate beschikbaar.

Wat moeten websitebeheerders doen?

1. Controleer of The Events Calendar op de website is geïnstalleerd.
2. Controleer welke pluginversie momenteel actief is.
3. Werk de plugin bij naar minimaal versie 6.17.4.1.
4. Installeer bij voorkeur de nieuwste compatibele versie.
5. Controleer na de update of kalenderpagina’s, evenementen en gekoppelde extensies correct functioneren.
6. Controleer ook andere plugins en het actieve thema op bekende kwetsbaarheden.

Wanneer bijwerken niet onmiddellijk mogelijk is, kan de plugin tijdelijk worden uitgeschakeld totdat een veilige versie geïnstalleerd kan worden.

Controleer op mogelijke compromittering

Omdat de kwetsbaarheid verband houdt met de verwerking van geserialiseerde PHP-objecten, kunnen beheerders serverlogs onderzoeken op opvallende verzoeken met ongebruikelijke geserialiseerde gegevens.

Let daarnaast op:

• Onverwachte wijzigingen aan PHP-bestanden.
• Onbekende WordPress-gebruikers met administratieve rechten.
• Verdachte bestanden in schrijfbare directories.
• Ongebruikelijke serverprocessen.
• Onverklaarbare uitgaande netwerkverbindingen.
• Afwijkingen in WordPress- en serverlogs.

Deze controles zijn algemeen van aard. Er zijn geen specifieke, bevestigde indicatoren van actieve exploitatie vastgesteld die iedere aanval op CVE-2026-95606 herkenbaar maken.

Professioneel WordPress-serverbeheer

Veel WordPress-beveiligingsproblemen ontstaan in plugins en thema’s. De impact daarvan kan toenemen wanneer meerdere kwetsbare onderdelen op dezelfde website aanwezig zijn.

Daarom is het belangrijk om niet alleen de WordPress-installatie, maar ook de onderliggende serveromgeving zorgvuldig te onderhouden.

Met Managed VPS-hosting van Vservs beschikken organisaties over een professioneel beheerde hostingomgeving waarin serverbeveiliging, stabiliteit en prestaties centraal staan.

Bronnen

• Patchstack – CVE-2026-95606
• CVE.org – CVE-2026-95606
• WordPress.org – The Events Calendar

Hoe controleer je of The Events Calendar kwetsbaar is?

Beheerders kunnen eenvoudig controleren of hun WordPress-installatie getroffen is door The Events Calendar CVE-2026-95606. De belangrijkste controle is het vaststellen van de geïnstalleerde pluginversie.

Log hiervoor in op het WordPress-dashboard en open het onderdeel Plugins. Zoek The Events Calendar en controleer het versienummer. Wanneer versie 6.17.4 of ouder is geïnstalleerd, moet de plugin worden bijgewerkt.

Serverbeheerders met SSH-toegang kunnen de geïnstalleerde versie ook controleren via WP-CLI:

wp plugin get the-events-calendar --field=version

Voor het bijwerken van de plugin kan het volgende commando worden gebruikt:

wp plugin update the-events-calendar

Controleer na het uitvoeren van de update opnieuw het versienummer. Gebruik minimaal versie 6.17.4.1, maar bij voorkeur de nieuwste compatibele release.

Het is daarnaast verstandig om de overige WordPress-plugins en thema’s te controleren. PHP Object Injection kan extra risico’s opleveren wanneer andere geïnstalleerde componenten kwetsbare functies beschikbaar stellen.

Een beveiligingsupdate voorkomt nieuwe aanvallen via de verholpen kwetsbaarheid, maar verwijdert niet automatisch eventuele achterdeuren of schadelijke bestanden die eerder zijn geplaatst.