Nieuwe LiteSpeed Cache-kwetsbaarheden treffen WordPress-plugin met miljoenen installaties
LiteSpeed Cache kwetsbaarheid: twee nieuwe beveiligingslekken treffen WordPress-websites die gebruikmaken van de populaire cachingplugin. De kwetsbaarheden CVE-2026-109215 en CVE-2026-116763 maken onder specifieke omstandigheden stored cross-site scripting (XSS) mogelijk. Beide beveiligingsproblemen treffen LiteSpeed Cache-versies tot en met 7.9.1 en zijn verholpen in versie 7.9.2. Met meer dan zeven miljoen actieve installaties behoort LiteSpeed Cache tot de meestgebruikte WordPress-plugins. Vservs adviseert websitebeheerders om de geïnstalleerde versie onmiddellijk te controleren.
Wordfence publiceerde beide beveiligingsmeldingen op 28 oktober 2026.
De kwetsbaarheden hebben CVSS-scores van respectievelijk 6,4 en 5,4.
Voor succesvolle exploitatie zijn specifieke aanvullende omstandigheden vereist.
Niet iedere WordPress-website die LiteSpeed Cache gebruikt, is daardoor automatisch op dezelfde manier exploiteerbaar.
Wat is de LiteSpeed Cache kwetsbaarheid?
LiteSpeed Cache is een veelgebruikte WordPress-plugin voor caching en websiteoptimalisatie.
De plugin biedt onder andere mogelijkheden voor paginacaching, HTML-optimalisatie, afbeeldingsoptimalisatie en verwerking van verschillende websiteonderdelen.
De twee nieuwe kwetsbaarheden bevinden zich in onderdelen die HTML-inhoud en afbeeldingsgegevens verwerken.
Wanneer invoer van gebruikers onvoldoende veilig wordt verwerkt, kan onder specifieke omstandigheden schadelijke JavaScript-code in de weergegeven website terechtkomen.
Dit wordt stored cross-site scripting genoemd.
CVE-2026-109215: kwetsbaarheid in Viewport Images
De eerste kwetsbaarheid, CVE-2026-109215, heeft een CVSS-score van 6,4.
Volgens Wordfence bevindt het beveiligingsprobleem zich in de verwerking van afbeeldingsattributen binnen de Viewport Images-functionaliteit.
Viewport Images, afgekort VPI, wordt gebruikt om afbeeldingen die direct zichtbaar zijn voor bezoekers te identificeren en te optimaliseren.
Onder bepaalde omstandigheden kan de verwerking van HTML-afbeeldingsattributen onvoldoende veilig plaatsvinden.
Hierdoor kan schadelijke JavaScript-code worden opgenomen in de uiteindelijke HTML-uitvoer.
Voor exploitatie is volgens Wordfence minimaal een aangemelde gebruiker met Subscriber-rechten vereist.
Daarnaast moet Viewport Images zijn ingeschakeld.
Ook moet de website een configuratie gebruiken waarbij de aanvaller geschikte afbeeldings-HTML kan plaatsen en de betreffende afbeelding overeenkomt met de ingestelde VPI-verwerking.
Een voorbeeld is een specifieke bbPress-configuratie waarin geregistreerde deelnemers afbeeldingscode kunnen opnemen in reacties.
CVE-2026-116763: kwetsbaarheid in HTML Minify
De tweede kwetsbaarheid, CVE-2026-116763, heeft een CVSS-score van 5,4.
Deze kwetsbaarheid betreft de HTML Minify-functionaliteit van LiteSpeed Cache.
HTML Minify verkleint HTML-code door overbodige tekens en onderdelen te verwijderen.
Volgens Wordfence kan de verwerking van bepaalde HTML-onderdelen onder specifieke omstandigheden leiden tot stored cross-site scripting.
Een aanvaller hoeft voor deze aanval niet noodzakelijk aangemeld te zijn.
Wel moeten meerdere voorwaarden aanwezig zijn.
De HTML Minify-optie moet zijn ingeschakeld en een aanvullende plugin moet opgeslagen reactie-inhoud verwerken binnen een onveilige HTML-context.
Wordfence noemt als voorbeeld een JSON-LD-scriptblok waarin door gebruikers aangeleverde reactie-inhoud terechtkomt.
Wanneer de vereiste combinatie van omstandigheden niet aanwezig is, kan de beschreven aanval niet op dezelfde manier worden uitgevoerd.
Waarom is stored cross-site scripting gevaarlijk?
Stored cross-site scripting ontstaat wanneer schadelijke JavaScript-code wordt opgeslagen en later wordt uitgevoerd in de browser van een bezoeker.
De gevolgen zijn afhankelijk van de pagina waarop de code wordt uitgevoerd en de rechten van de betreffende gebruiker.
Mogelijke gevolgen zijn:
- Manipulatie van zichtbare website-inhoud.
- Ongeautoriseerde JavaScript-uitvoering.
- Doorsturen van bezoekers naar schadelijke websites.
- Misbruik van browserfunctionaliteit.
- Mogelijke toegang tot gegevens die binnen de browsercontext beschikbaar zijn.
- Misbruik van beheerderssessies wanneer een administrator de getroffen pagina bezoekt.
Stored XSS betekent niet automatisch dat een aanvaller de volledige server kan overnemen.
De daadwerkelijke impact hangt af van de aanwezige beveiligingsmaatregelen en de context waarin de schadelijke code wordt uitgevoerd.
Welke LiteSpeed Cache-versies zijn kwetsbaar?
Beide beveiligingsmeldingen betreffen LiteSpeed Cache-versies tot en met 7.9.1.
- Plugin: LiteSpeed Cache.
- CVE: CVE-2026-109215.
- CVSS: 6,4.
- Aanvalstype: Authenticated Stored XSS.
- CVE: CVE-2026-116763.
- CVSS: 5,4.
- Aanvalstype: Unauthenticated Stored XSS onder specifieke voorwaarden.
- Getroffen versies: 7.9.1 en ouder.
- Gecorrigeerde versie: 7.9.2.
- Publicatiedatum beveiligingsmeldingen: 28 oktober 2026.
LiteSpeed Cache 7.9.2 verscheen al op 20 oktober 2026.
Websitebeheerders die deze versie inmiddels hebben geïnstalleerd, beschikken over de correcties voor beide beschreven kwetsbaarheden.
Zijn alle zeven miljoen installaties kwetsbaar?
Nee. Het aantal van meer dan zeven miljoen verwijst naar de totale actieve installed base van LiteSpeed Cache.
Dit is niet hetzelfde als het aantal kwetsbare installaties.
Een deel van de websites gebruikt inmiddels versie 7.9.2 of nieuwer.
Daarnaast zijn de beschreven aanvallen afhankelijk van specifieke instellingen en aanvullende websitefunctionaliteit.
Wel maakt de grote installed base het belangrijk om de beveiligingsmeldingen serieus te nemen.
Worden de kwetsbaarheden actief misbruikt?
Op 29 oktober 2026 is in de geraadpleegde beveiligingsmeldingen geen onafhankelijk bevestigde actieve exploitatie van CVE-2026-109215 of CVE-2026-116763 vastgesteld.
De kwetsbaarheden zijn technisch gedocumenteerd en een gecorrigeerde pluginversie is beschikbaar.
Vservs adviseert daarom om de update te installeren, maar maakt geen melding van grootschalige aanvallen zolang daarvoor geen betrouwbare bevestiging bestaat.
Hoe controleert u uw WordPress-installatie?
Open het WordPress-dashboard en ga naar Plugins → Geïnstalleerde plugins.
Zoek naar LiteSpeed Cache en controleer het versienummer.
Wanneer versie 7.9.1 of ouder is geïnstalleerd, adviseert Vservs om bij te werken naar versie 7.9.2 of nieuwer.
Maak vooraf een recente back-up van de website.
Controleer na de update of caching, HTML-optimalisatie en afbeeldingsoptimalisatie correct functioneren.
Bij websites met uitgebreide optimalisatie-instellingen kan het verstandig zijn om de wijzigingen eerst in een testomgeving te controleren.
Wat als direct updaten niet mogelijk is?
Wanneer een update niet onmiddellijk mogelijk is, kunnen bepaalde functies tijdelijk worden uitgeschakeld.
Voor CVE-2026-109215 kan het uitschakelen van Viewport Images het beschreven aanvalspad beperken.
Voor CVE-2026-116763 kan het uitschakelen van HTML Minify de betreffende kwetsbare verwerking voorkomen.
Deze maatregelen kunnen gevolgen hebben voor websiteprestaties en optimalisatie.
Ze vervangen bovendien niet het installeren van de gecorrigeerde pluginversie.
Controleer WordPress op mogelijke compromittering
Websitebeheerders kunnen bij verdachte activiteiten aanvullende controles uitvoeren.
Controleer onder andere:
- Onverwachte JavaScript-code in websitepagina’s.
- Verdachte reacties en andere door gebruikers aangeleverde inhoud.
- Onbekende wijzigingen in HTML-optimalisatie-instellingen.
- Onverwachte scripts in JSON-LD-gegevens.
- Verdachte afbeeldingsattributen.
- Ongebruikelijke activiteiten van geregistreerde gebruikers.
- Afwijkende WordPress-beheerderssessies.
- Onverwachte wijzigingen in plugin- en themebestanden.
Deze controles zijn algemene aanwijzingen voor mogelijke XSS-compromittering en vormen geen bevestiging dat de specifieke LiteSpeed Cache-kwetsbaarheden zijn misbruikt.
Managed WordPress Hosting bij Vservs
Vservs biedt professioneel beheerde hostinginfrastructuur voor bedrijven, organisaties en webdesignbureaus.
Onze Managed VPS Servers bieden professioneel serverbeheer, monitoring, back-ups en onderhoud van de hostingomgeving.
Ook bij managed hosting blijft het noodzakelijk om WordPress en de gebruikte plugins regelmatig te actualiseren.
Vservs adviseert websitebeheerders om de Vservs Security-beveiligingsupdates regelmatig te volgen.
Conclusie
De LiteSpeed Cache kwetsbaarheden CVE-2026-109215 en CVE-2026-116763 maken onder specifieke omstandigheden stored cross-site scripting mogelijk.
Beide kwetsbaarheden treffen versies tot en met 7.9.1.
LiteSpeed Cache 7.9.2 bevat de noodzakelijke beveiligingscorrecties.
Vservs adviseert beheerders om de geïnstalleerde pluginversie te controleren en de beschikbare update te installeren.