Ernstige Kirki-kwetsbaarheid maakt overname van WordPress-beheerdersaccounts mogelijk
Kirki kwetsbaarheid CVE-2026-75891 vormt een ernstig beveiligingsrisico voor WordPress-websites die gebruikmaken van de Kirki-plugin. De kwetsbaarheid maakt het onder specifieke omstandigheden mogelijk dat een ingelogde gebruiker met beperkte rechten een beheerdersaccount overneemt. Het probleem ontstaat door onveilige verwerking van geserialiseerde PHP-objecten in combinatie met een ontbrekende rechtencontrole. De kwetsbaarheid heeft een CVSS-score van 8,8 en treft Kirki-versies tot en met 6.2.5.
Kirki wordt gebruikt als websitebuilder en framework voor het aanpassen van WordPress-thema’s. Volgens de officiële WordPress Plugin Directory heeft de plugin meer dan 500.000 actieve installaties.
De kwetsbaarheid werd op 26 oktober 2026 gepubliceerd door Wordfence en op 27 oktober opgenomen in de Patchstack Vulnerability Database.
Vservs adviseert websitebeheerders om hun Kirki-installaties te controleren en bij voorkeur bij te werken naar versie 6.4.0.
Wat is de Kirki kwetsbaarheid?
De Kirki kwetsbaarheid CVE-2026-75891 betreft een beveiligingsprobleem dat bekendstaat als PHP Object Injection.
PHP ondersteunt het omzetten van objecten naar opgeslagen gegevens en het opnieuw reconstrueren van deze objecten.
Dit proces wordt serialisatie en deserialisatie genoemd.
Wanneer een applicatie onvoldoende gecontroleerde gegevens gebruikt bij het reconstrueren van PHP-objecten, kan dit beveiligingsrisico’s veroorzaken.
In de getroffen Kirki-versies bevindt het probleem zich in de verwerking van bepaalde AJAX-verzoeken.
Volgens Wordfence ontbreekt een noodzakelijke controle op gebruikersrechten binnen de betreffende functionaliteit.
Daardoor kan een ingelogde WordPress-gebruiker met beperkte rechten onder bepaalde omstandigheden een PHP-object injecteren.
Hoe kan CVE-2026-75891 worden misbruikt?
Het beveiligingsprobleem bevindt zich in de verwerking van de zogenaamde get-single-symbol-functionaliteit.
Deze functionaliteit maakt onderdeel uit van de AJAX-afhandeling binnen Kirki.
Een aanvaller met minimaal Subscriber-rechten kan via de kwetsbare functionaliteit ongewenste objectgegevens laten verwerken.
Volgens Wordfence kan dit in combinatie met een geschikte PHP POP-chain leiden tot het overschrijven van een beheerderswachtwoord.
Een POP-chain bestaat uit een reeks beschikbare PHP-objectmethoden die bij onveilige deserialisatie ongewenst gedrag kunnen veroorzaken.
Wanneer de noodzakelijke technische voorwaarden aanwezig zijn, kan een aanvaller hiermee beheerdersrechten verkrijgen.
Belangrijk: de beschreven beheerdersovername is afhankelijk van de aanwezigheid van een bruikbare POP-chain. Alleen de aanwezigheid van de kwetsbare plugin bewijst niet dat iedere installatie op dezelfde manier kan worden overgenomen.
Welke Kirki-versies zijn getroffen?
- Software: Kirki – Freeform Page Builder, Website Builder & Customizer.
- CVE: CVE-2026-75891.
- Ernst: Hoog.
- CVSS-score: 8,8.
- Getroffen versies: Tot en met 6.2.5.
- Eerste gecorrigeerde versie: 6.3.0.
- Actuele aanbevolen versie: 6.4.0.
- Benodigde rechten: Subscriber of hoger.
Versie 6.3.0 verhelpt specifiek CVE-2026-75891.
Omdat daarnaast andere beveiligingsproblemen in latere Kirki-versies zijn verholpen, adviseert Vservs om direct naar versie 6.4.0 bij te werken.
Controleer vooraf of het gebruikte WordPress-thema compatibel is met de nieuwe Kirki-versie.
Waarom is deze kwetsbaarheid belangrijk?
De Kirki-plugin wordt gebruikt op een groot aantal WordPress-websites.
Een kwetsbaarheid waarvoor slechts een account met beperkte rechten nodig is, kan bijzonder relevant zijn voor websites waarop gebruikers zichzelf mogen registreren.
Denk bijvoorbeeld aan websites met ledenaccounts, communityfunctionaliteit of andere vormen van gebruikersregistratie.
Wanneer een aanvaller beheerdersrechten verkrijgt, kan dit leiden tot:
- Overname van WordPress-beheerdersaccounts.
- Wijzigingen aan website-instellingen.
- Ongeautoriseerde installatie van plugins.
- Manipulatie van thema- en pluginbestanden.
- Onbevoegde toegang tot websitegegevens.
- Installatie van kwaadaardige PHP-bestanden.
- Misbruik van de website voor verdere aanvallen.
De daadwerkelijke impact is afhankelijk van de aanwezige PHP-objecten, de rechten van de aanvaller en de configuratie van de betreffende WordPress-installatie.
Wordt de Kirki kwetsbaarheid actief aangevallen?
Op 27 oktober 2026 is geen onafhankelijk bevestigde grootschalige exploitatiecampagne vastgesteld die specifiek gericht is op CVE-2026-75891.
Patchstack beoordeelt de kwetsbaarheid wel als een beveiligingsprobleem met hoge prioriteit.
De combinatie van een grote installed base, mogelijke beheerdersovername en relatief beperkte benodigde gebruikersrechten rechtvaardigt een snelle beveiligingsupdate.
Websitebeheerders moeten daarom niet wachten totdat daadwerkelijke aanvallen worden vastgesteld.
Hoe controleert u de Kirki-versie?
De geïnstalleerde versie kan via het WordPress-dashboard worden gecontroleerd.
- Log in op WordPress.
- Open Plugins → Geïnstalleerde plugins.
- Zoek naar Kirki.
- Controleer de huidige versie.
- Maak een volledige back-up van bestanden en database.
- Installeer versie 6.4.0 of een nieuwere veilige versie.
- Controleer het WordPress-dashboard en de frontend.
- Test de gebruikte thema-instellingen en websitebuilder.
Bij websites waarvan het thema afhankelijk is van oudere Kirki-functionaliteit, verdient het aanbeveling de update eerst in een testomgeving te controleren.
Controleer op mogelijke compromittering
Een beveiligingsupdate voorkomt nieuwe aanvallen via de verholpen kwetsbaarheid, maar verwijdert niet automatisch bestaande ongeautoriseerde toegang.
Wanneer een kwetsbare versie actief was en misbruik wordt vermoed, adviseert Vservs de volgende controles:
- Controleer alle WordPress-beheerdersaccounts.
- Onderzoek onverwachte wijzigingen aan beheerderswachtwoorden.
- Controleer verdachte AJAX-verzoeken in beschikbare logs.
- Onderzoek ongebruikelijke activiteiten van Subscriber-accounts.
- Controleer recent gewijzigde WordPress-bestanden.
- Onderzoek onbekende plugins en geplande taken.
- Controleer de website op verdachte PHP-bestanden.
Deze controles vormen algemene indicatoren voor mogelijke accountovername en zijn geen bevestigde aanvalssignaturen specifiek voor CVE-2026-75891.
Bij een vermoedelijke compromittering moeten relevante logs worden bewaard en getroffen accounts worden beveiligd.
Managed Hosting en WordPress-beveiliging bij Vservs
Beveiligingsproblemen in populaire WordPress-componenten laten zien hoe belangrijk regelmatig onderhoud is.
Vservs levert professioneel beheerde hostinginfrastructuur voor bedrijven, organisaties en webdesignbureaus.
Onze Managed VPS Hosting biedt serverbeheer, monitoring, back-ups en onderhoud van de onderliggende infrastructuur.
Websitebeheerders blijven daarnaast verantwoordelijk voor tijdige updates en het veilig configureren van WordPress, plugins en thema’s, tenzij hiervoor afzonderlijke beheerafspraken zijn gemaakt.
Nieuwe beveiligingsmeldingen vindt u op onze Security- en Beveiligingsupdates.
Conclusie
De Kirki kwetsbaarheid CVE-2026-75891 kan onder bepaalde omstandigheden leiden tot overname van een WordPress-beheerdersaccount.
Alle Kirki-versies tot en met 6.2.5 zijn getroffen.
Hoewel versie 6.3.0 deze specifieke kwetsbaarheid verhelpt, adviseert Vservs om de meest recente veilige versie 6.4.0 te installeren.
Controleer na de update of de website correct functioneert en onderzoek verdachte gebruikersactiviteiten wanneer misbruik wordt vermoed.