Kritieke kwetsbaarheid in 10Web Booster bedreigt 60.000 WordPress-websites
In de populaire WordPress-plugin 10Web Booster is een kritieke beveiligingskwetsbaarheid ontdekt. Het beveiligingslek, geregistreerd als CVE-2026-108587, heeft een CVSS-score van 9.8 op een schaal van 10.
De kwetsbaarheid kan aanvallers onder bepaalde omstandigheden in staat stellen om zonder gebruikersaccount kwaadaardige bestanden naar een WordPress-server te uploaden. Wanneer deze bestanden vervolgens als PHP-code kunnen worden uitgevoerd, kan dit leiden tot volledige compromittering van de website.
10Web Booster wordt volgens de officiële WordPress-plugindirectory gebruikt op meer dan 60.000 actieve WordPress-installaties.
Hoe ernstig is de 10Web Booster kwetsbaarheid?
De 10Web Booster kwetsbaarheid is bijzonder ernstig omdat de plugin wordt gebruikt voor het optimaliseren van WordPress-websites en daarbij toegang heeft tot verschillende onderdelen van de websiteomgeving.
Door onvoldoende controle op bestandsuploads kunnen aanvallers onder specifieke omstandigheden proberen uitvoerbare bestanden op de server te plaatsen.
Wanneer de webserver toestaat dat deze bestanden als PHP-code worden uitgevoerd, kan dit leiden tot ongeautoriseerde toegang tot websitebestanden, configuratiegegevens en mogelijk de achterliggende database.
Voor zakelijke websites kan een succesvolle aanval gevolgen hebben voor de beschikbaarheid van de website, de integriteit van gegevens en de veiligheid van bezoekers.
Vservs adviseert daarom om kwetsbare installaties onmiddellijk bij te werken naar versie 2.34.11 of nieuwer. Controleer daarnaast of er onbekende PHP-bestanden zijn geplaatst in de WordPress-uploaddirectories en onderzoek eventuele verdachte activiteiten in de webserverlogs.
Wat is CVE-2026-108587?
De kwetsbaarheid bevindt zich in de functie compressCustom() van 10Web Booster. Deze functie verwerkt onder andere gegevens die via de parameter page_id worden aangeleverd.
Volgens beveiligingsonderzoekers van Wordfence ontbreekt in kwetsbare versies voldoende controle op bestandstypen en bestandsextensies.
Daarnaast speelt een beveiligingsprobleem met een WordPress REST API-nonce een belangrijke rol.
Onder specifieke omstandigheden kan tijdens een onderbroken optimalisatieproces een nonce worden opgeslagen in een publiek toegankelijk bestand binnen de WordPress-uploads-directory.
Omdat deze nonce vanuit een proces zonder aangemelde gebruiker kan worden gegenereerd, kan een aanvaller deze onder de beschreven omstandigheden gebruiken om bepaalde beveiligingscontroles te omzeilen.
Door deze combinatie ontstaat het risico dat een externe aanvaller bestanden kan uploaden die op de webserver uitvoerbaar zijn.
Welke WordPress-websites zijn kwetsbaar?
De volgende versies zijn getroffen:
- Plugin: 10Web Booster – Website speed optimization, Cache & Page Speed optimizer
- CVE: CVE-2026-108587
- Ernst: Kritiek
- CVSS-score: 9.8
- Kwetsbare versies: 2.34.10 en ouder
- Veilige versie: 2.34.11 en nieuwer
- Publicatiedatum kwetsbaarheid: 14 oktober 2026
10Web Booster kwetsbaarheid CVE-2026-108587 vormt een kritiek beveiligingsrisico voor WordPress-websites die gebruikmaken van de populaire optimalisatieplugin 10Web Booster. De kwetsbaarheid heeft een CVSS-score van 9.8 en maakt het onder bepaalde omstandigheden mogelijk om zonder authenticatie kwaadaardige bestanden naar de webserver te uploaden. Wanneer deze bestanden kunnen worden uitgevoerd, kan een aanvaller de WordPress-installatie compromitteren. Alle versies tot en met 2.34.10 zijn kwetsbaar. De ontwikkelaar heeft het probleem verholpen in versie 2.34.11.
Wat zijn de mogelijke gevolgen?
Wanneer een aanvaller erin slaagt kwaadaardige PHP-bestanden te uploaden en uit te voeren, kan dit ernstige gevolgen hebben.
Denk hierbij aan het aanpassen van websitebestanden, het plaatsen van webshells, het uitlezen van configuratiegegevens of het verkrijgen van toegang tot de WordPress-database.
Ook kunnen aanvallers proberen extra administratoraccounts aan te maken of de website te gebruiken voor het verspreiden van malware.
De daadwerkelijke impact is afhankelijk van de serverconfiguratie, bestandsrechten en de aanwezige beveiligingsmaatregelen.
Wordt de kwetsbaarheid actief misbruikt?
Op 15 oktober 2026 is de kwetsbaarheid publiekelijk gedocumenteerd door Wordfence.
Er is op het moment van deze publicatie geen onafhankelijk bevestigde informatie beschikbaar waaruit blijkt dat CVE-2026-108587 op grote schaal actief wordt misbruikt.
De technische ernst van de kwetsbaarheid maakt het desondanks noodzakelijk om de beveiligingsupdate met hoge prioriteit te installeren.
Wat moeten WordPress-beheerders doen?
- Controleer of de plugin 10Web Booster op de website is geïnstalleerd.
- Werk kwetsbare installaties onmiddellijk bij naar versie 2.34.11 of nieuwer.
- Controleer de WordPress-uploads-directory op onbekende PHP-bestanden.
- Controleer of er onverwachte administratoraccounts zijn aangemaakt.
- Onderzoek recente toegangslogs op verdachte verzoeken naar WordPress REST API-endpoints en optimalisatiebestanden.
- Controleer of PHP-uitvoering in uploaddirectories correct wordt beperkt.
Wanneer aanwijzingen voor compromittering worden gevonden, is alleen het installeren van de update onvoldoende. In dat geval moet ook worden onderzocht welke bestanden, gebruikersaccounts en gegevens mogelijk zijn gewijzigd.
Extra aandacht voor hostingbeheerders
Voor hostingproviders en serverbeheerders is het verstandig om WordPress-installaties gericht te controleren op kwetsbare versies van 10Web Booster.
Daarnaast verdienen verdachte PHP-bestanden in uploaddirectories, onverwachte wijzigingen in WordPress-bestanden en afwijkende webserverlogs extra aandacht.
Een webapplication firewall kan aanvullende bescherming bieden, maar vervangt het installeren van de beveiligingsupdate niet.
Managed hosting bij Vservs
Een goed beveiligde WordPress-website begint bij tijdige software-updates en een zorgvuldig beheerde hostingomgeving.
Vservs ondersteunt bedrijven en ontwikkelaars met professionele serveromgevingen, monitoring, beveiligingsupdates op serverniveau en aanvullende beveiligingsmaatregelen.
Meer informatie over onze oplossingen vind je op de pagina Managed VPS Hosting bij Vservs.
Conclusie
CVE-2026-108587 vormt een ernstig beveiligingsrisico voor WordPress-websites die kwetsbare versies van 10Web Booster gebruiken.
Beheerders wordt dringend geadviseerd om versie 2.34.11 of nieuwer te installeren en hun website te controleren op aanwijzingen voor eerdere ongeautoriseerde toegang.