WordPress 7.1.4 verhelpt 22 beveiligingslekken, waaronder kwetsbaarheid voor code-uitvoering
De WordPress 7.1.4 beveiligingsupdate verhelpt 22 beveiligingsproblemen in WordPress Core. De update is op 28 oktober 2026 uitgebracht en bevat onder andere correcties voor meerdere Cross-Site Scripting-kwetsbaarheden en een beveiligingsprobleem in het updateproces dat onder specifieke omstandigheden remote code execution mogelijk kan maken. WordPress adviseert websitebeheerders de beveiligingsupdate onmiddellijk te installeren. Vservs adviseert daarnaast te controleren of automatische updates daadwerkelijk zijn uitgevoerd.
De beveiligingsrelease bevat oplossingen voor verschillende onderdelen van WordPress, waaronder de blokeditor, de Interactivity API, de Customizer en het updateproces.
Volgens beveiligingsonderzoeker Patchstack gaat het om 22 beveiligingsproblemen verdeeld over 17 beveiligingsadviezen.
Voor de in deze release verholpen problemen waren op het moment van deze controle geen afzonderlijke CVE-nummers vermeld in de officiële WordPress-release-informatie.
Welke beveiligingsproblemen verhelpt WordPress 7.1.4?
De WordPress 7.1.4 beveiligingsupdate corrigeert verschillende typen kwetsbaarheden.
De belangrijkste categorieën zijn:
- Een race condition in het WordPress-updateproces met mogelijke remote code execution.
- Meerdere Stored Cross-Site Scripting-kwetsbaarheden.
- Onvoldoende beveiligde onderdelen van de Interactivity API.
- Mogelijke openbaarmaking van ongepubliceerde Customizer-wijzigingen.
- Onvoldoende toegangscontroles op bepaalde WordPress Notes.
- Beveiligingsproblemen in verschillende WordPress-blokken.
- Aanvullende beveiligingsverbeteringen en een update van ingebouwde rootcertificaten.
De daadwerkelijke impact verschilt per kwetsbaarheid.
Voor verschillende aanvallen zijn gebruikersaccounts met specifieke rechten vereist.
Mogelijke remote code execution tijdens WordPress-updates
Een belangrijk beveiligingsprobleem bevindt zich in het mechanisme waarmee WordPress software-updates verwerkt.
Bij het uitvoeren van updates worden bestanden tijdelijk uitgepakt in een directory binnen de WordPress-installatie.
In kwetsbare versies kunnen deze tijdelijke bestanden onder bepaalde omstandigheden bereikbaar zijn via de webserver.
Een aanvaller die precies tijdens het updateproces toegang krijgt tot de betreffende bestanden, kan mogelijk functionaliteit misbruiken die normaal gesproken niet publiek toegankelijk hoort te zijn.
Volgens de officiële beveiligingsmelding kan dit onder specifieke omstandigheden leiden tot remote code execution.
Dit betekent dat een aanvaller mogelijk code kan uitvoeren op de server waarop WordPress draait.
De aanval vereist echter een zeer beperkt tijdvenster tijdens het uitvoeren van updates.
Patchstack beoordeelt de praktische uitbuitbaarheid daarom als moeilijk.
De aanwezigheid van deze kwetsbaarheid betekent niet dat iedere WordPress-installatie eenvoudig op afstand kan worden overgenomen.
Waarom is de wp-content/upgrade-directory belangrijk?
WordPress gebruikt de volgende directory tijdens installatie- en updateprocessen:
wp-content/upgrade/Tijdelijke installatiebestanden mogen niet rechtstreeks door externe bezoekers kunnen worden uitgevoerd.
Patchstack adviseert daarom de publieke toegang tot deze directory op webserverniveau te blokkeren.
Het is belangrijk dat niet alleen directorylisting wordt voorkomen, maar ook rechtstreekse toegang tot eventuele PHP-bestanden binnen deze directory.
Een WordPress-beveiligingsplugin die uitsluitend binnen de WordPress-applicatie werkt, kan deze specifieke aanval niet noodzakelijk onderscheppen.
De toegangsbeperking moet daarom correct worden ingericht in bijvoorbeeld Apache of Nginx.
Deze maatregel is een aanvullende bescherming en vervangt de beveiligingsupdate niet.
Meerdere Stored XSS-kwetsbaarheden verholpen
WordPress 7.1.4 verhelpt daarnaast verschillende kwetsbaarheden waarbij ongewenste JavaScript-code kan worden opgeslagen en later in de browser van een bezoeker wordt uitgevoerd.
Deze kwetsbaarheden bevinden zich onder andere in:
- De WordPress-blokeditor.
- De Interactivity API.
- De Customizer.
- De Categories- en navigatieblokken.
- De verwerking van bepaalde afbeelding- en playlistblokken.
Voor veel van deze kwetsbaarheden is een gebruikersaccount met Contributor-rechten of hoger vereist.
Onder specifieke omstandigheden kan opgeslagen JavaScript worden uitgevoerd wanneer een beheerder of andere gebruiker de betreffende inhoud bekijkt.
De impact hangt af van de gebruikersrechten en de beveiligingscontext van de browser.
Welke WordPress-versies zijn kwetsbaar?
WordPress 7.1.3 en oudere versies binnen de 7.1-reeks missen de beveiligingscorrecties die in versie 7.1.4 zijn uitgebracht.
Voor oudere WordPress-reeksen zijn eveneens beveiligingsupdates beschikbaar.
Voorbeelden van gecorrigeerde versies zijn:
- WordPress 7.1: 7.1.4.
- WordPress 7.0: 7.0.8.
- WordPress 6.9: 6.9.11.
- WordPress 6.8: 6.8.12.
- WordPress 6.7: 6.7.11.
- WordPress 6.6: 6.6.11.
- WordPress 6.5: 6.5.14.
- WordPress 6.4: 6.4.14.
Ook voor oudere beveiligingsreleases zijn correcties beschikbaar, tot en met WordPress 4.7.39.
Niet iedere oudere versie bevat dezelfde kwetsbaarheden.
WordPress benadrukt bovendien dat uitsluitend de nieuwste hoofdversie actief wordt ondersteund. Beveiligingsupdates voor oudere branches worden als aanvullende ondersteuning aangeboden.
WordPress 4.6 en oudere releases ontvangen geen beveiligingsupdates meer.
Worden deze kwetsbaarheden actief misbruikt?
Met stand van 30 oktober 2026 bevatten de geraadpleegde officiële beveiligingsmeldingen geen bevestiging van actieve exploitatie van de specifieke problemen die in WordPress 7.1.4 zijn verholpen.
Er zijn wel technische analyses van verschillende kwetsbaarheden gepubliceerd.
Dat betekent dat de werking van bepaalde beveiligingsproblemen inmiddels bekend is.
Vservs adviseert daarom de beschikbare updates zonder onnodige vertraging te installeren.
Hoe controleert u de geïnstalleerde WordPress-versie?
De geïnstalleerde WordPress-versie kan worden gecontroleerd via het WordPress-dashboard.
Ga naar Dashboard → Updates en controleer of een beveiligingsupdate beschikbaar is.
Beheerders met WP-CLI kunnen de versie controleren via:
wp core versionVoer deze opdracht uit binnen de juiste WordPress-installatie.
Controleer bij meerdere websites of iedere afzonderlijke installatie de juiste beveiligingsupdate heeft ontvangen.
Welke maatregelen adviseert Vservs?
- Maak een actuele back-up van bestanden en database.
- Installeer WordPress 7.1.4 of de toepasselijke beveiligingsrelease voor de gebruikte oudere branch.
- Controleer of automatische updates daadwerkelijk zijn uitgevoerd.
- Beperk publieke toegang tot wp-content/upgrade op webserverniveau.
- Controleer welke gebruikers Contributor-, Author-, Editor- en Administrator-rechten hebben.
- Verwijder ongebruikte gebruikersaccounts.
- Controleer of plugins en themes eveneens actueel zijn.
- Test de website na het installeren van updates.
Wanneer het Gutenberg-plugin afzonderlijk is geïnstalleerd, moet ook daarvan de actuele versie worden gecontroleerd.
Controle op mogelijke compromittering
Wanneer een website gedurende langere tijd een kwetsbare WordPress-versie heeft gebruikt, kunnen aanvullende controles noodzakelijk zijn.
Controleer onder andere:
- Onbekende WordPress-beheerdersaccounts.
- Ongeautoriseerde wijzigingen aan plugins en themes.
- Verdachte bestanden in beschrijfbare directories.
- Onverwachte JavaScript-code in berichten en pagina’s.
- Ongebruikelijke toegangsverzoeken tijdens WordPress-updates.
- Verdachte wijzigingen aan wp-config.php.
- Onbekende geplande taken of gewijzigde serverconfiguraties.
Deze indicatoren zijn algemeen en bewijzen niet zelfstandig dat een kwetsbaarheid uit WordPress 7.1.4 is misbruikt.
Managed WordPress Hosting bij Vservs
Vservs biedt professionele hostingoplossingen voor WordPress-websites van bedrijven, organisaties en webdesignbureaus.
Onze Managed WordPress Hosting biedt mogelijkheden voor professioneel WordPress-beheer en beveiligingsonderhoud.
Daarnaast bieden onze Managed VPS Servers professionele serverbeheer- en monitoringdiensten.
Welke werkzaamheden aan WordPress Core, plugins en themes worden uitgevoerd, is afhankelijk van het afgenomen hosting- en beheerproduct.
Meer beveiligingsmeldingen vindt u op de Vservs Security & Beveiligingsupdates.
Conclusie
De WordPress 7.1.4 beveiligingsupdate bevat belangrijke beveiligingsverbeteringen voor WordPress Core.
De release verhelpt 22 beveiligingsproblemen, waaronder meerdere XSS-kwetsbaarheden en een kwetsbaarheid die onder specifieke omstandigheden code-uitvoering tijdens updates mogelijk kan maken.
Vservs adviseert alle WordPress-beheerders de geïnstalleerde versie te controleren en de beschikbare beveiligingsupdate zo snel mogelijk te installeren.