Auteur: Vincent Zeilmaker – Vservs B.V.

Kirki kwetsbaarheid CVE-2026-75891 vormt een ernstig beveiligingsrisico voor WordPress-websites die gebruikmaken van de Kirki-plugin. De kwetsbaarheid maakt het onder specifieke omstandigheden mogelijk dat een ingelogde gebruiker met beperkte rechten een beheerdersaccount overneemt. Het probleem ontstaat door onveilige verwerking van geserialiseerde PHP-objecten in combinatie met een ontbrekende rechtencontrole. De kwetsbaarheid heeft een CVSS-score van 8,8 en treft Kirki-versies tot en met 6.2.5.

Kirki wordt gebruikt als websitebuilder en framework voor het aanpassen van WordPress-thema’s. Volgens de officiële WordPress Plugin Directory heeft de plugin meer dan 500.000 actieve installaties.

De kwetsbaarheid werd op 26 oktober 2026 gepubliceerd door Wordfence en op 27 oktober opgenomen in de Patchstack Vulnerability Database.

Vservs adviseert websitebeheerders om hun Kirki-installaties te controleren en bij voorkeur bij te werken naar versie 6.4.0.

Wat is de Kirki kwetsbaarheid?

De Kirki kwetsbaarheid CVE-2026-75891 betreft een beveiligingsprobleem dat bekendstaat als PHP Object Injection.

PHP ondersteunt het omzetten van objecten naar opgeslagen gegevens en het opnieuw reconstrueren van deze objecten.

Dit proces wordt serialisatie en deserialisatie genoemd.

Wanneer een applicatie onvoldoende gecontroleerde gegevens gebruikt bij het reconstrueren van PHP-objecten, kan dit beveiligingsrisico’s veroorzaken.

In de getroffen Kirki-versies bevindt het probleem zich in de verwerking van bepaalde AJAX-verzoeken.

Volgens Wordfence ontbreekt een noodzakelijke controle op gebruikersrechten binnen de betreffende functionaliteit.

Daardoor kan een ingelogde WordPress-gebruiker met beperkte rechten onder bepaalde omstandigheden een PHP-object injecteren.

Hoe kan CVE-2026-75891 worden misbruikt?

Het beveiligingsprobleem bevindt zich in de verwerking van de zogenaamde get-single-symbol-functionaliteit.

Deze functionaliteit maakt onderdeel uit van de AJAX-afhandeling binnen Kirki.

Een aanvaller met minimaal Subscriber-rechten kan via de kwetsbare functionaliteit ongewenste objectgegevens laten verwerken.

Volgens Wordfence kan dit in combinatie met een geschikte PHP POP-chain leiden tot het overschrijven van een beheerderswachtwoord.

Een POP-chain bestaat uit een reeks beschikbare PHP-objectmethoden die bij onveilige deserialisatie ongewenst gedrag kunnen veroorzaken.

Wanneer de noodzakelijke technische voorwaarden aanwezig zijn, kan een aanvaller hiermee beheerdersrechten verkrijgen.

Belangrijk: de beschreven beheerdersovername is afhankelijk van de aanwezigheid van een bruikbare POP-chain. Alleen de aanwezigheid van de kwetsbare plugin bewijst niet dat iedere installatie op dezelfde manier kan worden overgenomen.

Welke Kirki-versies zijn getroffen?

• Software: Kirki – Freeform Page Builder, Website Builder & Customizer.
• CVE: CVE-2026-75891.
• Ernst: Hoog.
• CVSS-score: 8,8.
• Getroffen versies: Tot en met 6.2.5.
• Eerste gecorrigeerde versie: 6.3.0.
• Actuele aanbevolen versie: 6.4.0.
• Benodigde rechten: Subscriber of hoger.

Versie 6.3.0 verhelpt specifiek CVE-2026-75891.

Omdat daarnaast andere beveiligingsproblemen in latere Kirki-versies zijn verholpen, adviseert Vservs om direct naar versie 6.4.0 bij te werken.

Controleer vooraf of het gebruikte WordPress-thema compatibel is met de nieuwe Kirki-versie.

Waarom is deze kwetsbaarheid belangrijk?

De Kirki-plugin wordt gebruikt op een groot aantal WordPress-websites.

Een kwetsbaarheid waarvoor slechts een account met beperkte rechten nodig is, kan bijzonder relevant zijn voor websites waarop gebruikers zichzelf mogen registreren.

Denk bijvoorbeeld aan websites met ledenaccounts, communityfunctionaliteit of andere vormen van gebruikersregistratie.

Wanneer een aanvaller beheerdersrechten verkrijgt, kan dit leiden tot:

• Overname van WordPress-beheerdersaccounts.
• Wijzigingen aan website-instellingen.
• Ongeautoriseerde installatie van plugins.
• Manipulatie van thema- en pluginbestanden.
• Onbevoegde toegang tot websitegegevens.
• Installatie van kwaadaardige PHP-bestanden.
• Misbruik van de website voor verdere aanvallen.

De daadwerkelijke impact is afhankelijk van de aanwezige PHP-objecten, de rechten van de aanvaller en de configuratie van de betreffende WordPress-installatie.

Wordt de Kirki kwetsbaarheid actief aangevallen?

Op 27 oktober 2026 is geen onafhankelijk bevestigde grootschalige exploitatiecampagne vastgesteld die specifiek gericht is op CVE-2026-75891.

Patchstack beoordeelt de kwetsbaarheid wel als een beveiligingsprobleem met hoge prioriteit.

De combinatie van een grote installed base, mogelijke beheerdersovername en relatief beperkte benodigde gebruikersrechten rechtvaardigt een snelle beveiligingsupdate.

Websitebeheerders moeten daarom niet wachten totdat daadwerkelijke aanvallen worden vastgesteld.

Hoe controleert u de Kirki-versie?

De geïnstalleerde versie kan via het WordPress-dashboard worden gecontroleerd.

1. Log in op WordPress.
2. Open Plugins → Geïnstalleerde plugins.
3. Zoek naar Kirki.
4. Controleer de huidige versie.
5. Maak een volledige back-up van bestanden en database.
6. Installeer versie 6.4.0 of een nieuwere veilige versie.
7. Controleer het WordPress-dashboard en de frontend.
8. Test de gebruikte thema-instellingen en websitebuilder.

Bij websites waarvan het thema afhankelijk is van oudere Kirki-functionaliteit, verdient het aanbeveling de update eerst in een testomgeving te controleren.

Controleer op mogelijke compromittering

Een beveiligingsupdate voorkomt nieuwe aanvallen via de verholpen kwetsbaarheid, maar verwijdert niet automatisch bestaande ongeautoriseerde toegang.

Wanneer een kwetsbare versie actief was en misbruik wordt vermoed, adviseert Vservs de volgende controles:

• Controleer alle WordPress-beheerdersaccounts.
• Onderzoek onverwachte wijzigingen aan beheerderswachtwoorden.
• Controleer verdachte AJAX-verzoeken in beschikbare logs.
• Onderzoek ongebruikelijke activiteiten van Subscriber-accounts.
• Controleer recent gewijzigde WordPress-bestanden.
• Onderzoek onbekende plugins en geplande taken.
• Controleer de website op verdachte PHP-bestanden.

Deze controles vormen algemene indicatoren voor mogelijke accountovername en zijn geen bevestigde aanvalssignaturen specifiek voor CVE-2026-75891.

Bij een vermoedelijke compromittering moeten relevante logs worden bewaard en getroffen accounts worden beveiligd.

Managed Hosting en WordPress-beveiliging bij Vservs

Beveiligingsproblemen in populaire WordPress-componenten laten zien hoe belangrijk regelmatig onderhoud is.

Vservs levert professioneel beheerde hostinginfrastructuur voor bedrijven, organisaties en webdesignbureaus.

Onze Managed VPS Hosting biedt serverbeheer, monitoring, back-ups en onderhoud van de onderliggende infrastructuur.

Websitebeheerders blijven daarnaast verantwoordelijk voor tijdige updates en het veilig configureren van WordPress, plugins en thema’s, tenzij hiervoor afzonderlijke beheerafspraken zijn gemaakt.

Nieuwe beveiligingsmeldingen vindt u op onze Security- en Beveiligingsupdates.

Conclusie

De Kirki kwetsbaarheid CVE-2026-75891 kan onder bepaalde omstandigheden leiden tot overname van een WordPress-beheerdersaccount.

Alle Kirki-versies tot en met 6.2.5 zijn getroffen.

Hoewel versie 6.3.0 deze specifieke kwetsbaarheid verhelpt, adviseert Vservs om de meest recente veilige versie 6.4.0 te installeren.

Controleer na de update of de website correct functioneert en onderzoek verdachte gebruikersactiviteiten wanneer misbruik wordt vermoed.

Bronnen

• Wordfence – Kirki CVE-2026-75891
• Patchstack – Kirki Security Advisory
• WordPress.org – Kirki Plugin Directory

Qode Membership kwetsbaarheid CVE-2026-92885 vormt een kritiek beveiligingsrisico voor WordPress-websites die gebruikmaken van de Qode Membership-plugin. Door een fout in de authenticatiecontrole kunnen aanvallers onder bepaalde omstandigheden zonder geldige inloggegevens toegang krijgen tot bestaande gebruikersaccounts, waaronder beheerdersaccounts. De kwetsbaarheid heeft een CVSS-score van 9,8 en treft alle versies tot en met 2.0.6.2. Versie 2.0.6.3 verhelpt het beveiligingsprobleem.

De kwetsbaarheid werd op 26 oktober 2026 openbaar gemaakt via Wordfence. Op 27 oktober verscheen tevens een beveiligingsadvies in de Patchstack Vulnerability Database.

Vservs adviseert websitebeheerders en webbureaus die Qode Membership gebruiken om onmiddellijk te controleren welke versie is geïnstalleerd.

Wat is de Qode Membership kwetsbaarheid?

De Qode Membership kwetsbaarheid bevindt zich in de verwerking van sociale aanmeldingen via Facebook.

De plugin maakt gebruik van een authenticatiemechanisme waarmee bezoekers via hun sociale account kunnen inloggen op een WordPress-website.

Onder normale omstandigheden moet de plugin controleren of een aangeboden authenticatietoken daadwerkelijk geldig is.

Bij de getroffen versies bevat de functie voor sociale authenticatie echter een programmeerfout.

Door een foutief gespelde variabelenaam wordt een belangrijke beveiligingscontrole niet correct uitgevoerd.

Hierdoor kan de verwerking van een aanmeldverzoek uiteindelijk leiden tot het aanmaken van een geldige WordPress-beheerderssessie zonder dat de identiteit van de aanvrager voldoende is gecontroleerd.

De kwetsbaarheid wordt geregistreerd als CVE-2026-92885.

Hoe kan een aanvaller een WordPress-account overnemen?

Volgens de technische analyse van Wordfence kan een aanvaller misbruik maken van de AJAX-functionaliteit voor Facebook-aanmeldingen.

De kwetsbare functionaliteit verwerkt gegevens waarmee een bestaand WordPress-gebruikersaccount kan worden opgezocht.

Door de ontbrekende effectieve tokencontrole kan een aanvaller onder de juiste omstandigheden als een bestaande gebruiker worden aangemeld.

Daarvoor moet de aanvaller onder meer beschikken over een geldige nonce voor de betreffende aanmeldfunctionaliteit.

Deze nonce kan beschikbaar zijn op openbare pagina’s waarop de Qode Membership-login- of registratiefunctionaliteit wordt weergegeven.

Wanneer de gebruikersnaam van een beheerder bekend is, kan een succesvolle aanval daardoor leiden tot toegang met beheerdersrechten.

Belangrijk: de aanwezigheid van Qode Membership betekent niet automatisch dat iedere installatie via dezelfde omstandigheden kan worden aangevallen. De bereikbaarheid en configuratie van de betreffende loginfunctionaliteit zijn eveneens relevant.

Welke versies zijn getroffen?

• Plugin: Qode Membership.
• CVE: CVE-2026-92885.
• Ernst: Kritiek.
• CVSS-score: 9,8.
• Getroffen versies: 2.0.6.2 en ouder.
• Opgelost vanaf: 2.0.6.3.
• Authenticatie vereist: Nee, onder de beschreven exploitvoorwaarden.

Websitebeheerders moeten minimaal versie 2.0.6.3 installeren.

Wanneer de plugin wordt geleverd als onderdeel van een commercieel WordPress-thema, moet ook worden gecontroleerd of de betreffende themaleverancier de bijgewerkte plugin beschikbaar stelt.

Wat zijn de mogelijke gevolgen?

Wanneer een aanvaller erin slaagt een beheerdersaccount over te nemen, kan dit ernstige gevolgen hebben voor de getroffen website.

Een WordPress-beheerder beschikt doorgaans over uitgebreide rechten om instellingen, gebruikers, thema’s en plugins te beheren.

Een succesvolle compromittering kan daardoor onder meer leiden tot:

• Ongeautoriseerde toegang tot het WordPress-dashboard.
• Overname van bestaande gebruikersaccounts.
• Wijziging van beheerderswachtwoorden.
• Installatie van kwaadaardige WordPress-plugins.
• Manipulatie van websitebestanden en inhoud.
• Injectie van schadelijke JavaScript-code.
• Onbevoegde toegang tot persoonsgegevens.
• Misbruik van de website voor phishing of malwareverspreiding.

De precieze gevolgen zijn afhankelijk van de beschikbare beheerdersrechten en de beveiliging van de hostingomgeving.

Wordt CVE-2026-92885 actief aangevallen?

Op 27 oktober 2026 is geen onafhankelijk bevestigde grootschalige exploitatiecampagne vastgesteld op basis van de geraadpleegde beveiligingsadviezen.

Patchstack beoordeelt de kwetsbaarheid echter als zeer gevaarlijk en verwacht dat deze kan worden misbruikt.

De combinatie van een kritieke ernstscore, ontbrekende authenticatie en mogelijke beheerdersovername maakt snelle installatie van de beveiligingsupdate noodzakelijk.

Het ontbreken van bevestigde aanvallen betekent niet dat kwetsbare websites veilig zijn.

Hoe controleert u uw WordPress-website?

Vservs adviseert de volgende controles:

1. Log in op het WordPress-dashboard.
2. Open Plugins → Geïnstalleerde plugins.
3. Controleer of Qode Membership aanwezig is.
4. Controleer de geïnstalleerde versie.
5. Installeer versie 2.0.6.3 of nieuwer.
6. Controleer of de sociale aanmeldfunctionaliteit nog correct werkt.
7. Bekijk de lijst met WordPress-beheerdersaccounts.
8. Onderzoek onbekende gebruikers of ongebruikelijke accountwijzigingen.

Wanneer de plugin niet rechtstreeks via WordPress kan worden bijgewerkt, moet de update mogelijk via de ontwikkelaar van het gebruikte thema worden verkregen.

Controleer op mogelijke compromittering

Het installeren van de update voorkomt misbruik van de verholpen kwetsbaarheid, maar verwijdert niet automatisch eventuele gevolgen van een eerdere aanval.

Controleer daarom bij vermoedens van misbruik:

• Onbekende WordPress-beheerdersaccounts.
• Onverwachte wijzigingen aan bestaande gebruikersprofielen.
• Ongebruikelijke aanmeldingen in beschikbare beveiligingslogs.
• Verdachte verzoeken naar WordPress AJAX-endpoints.
• Recent geïnstalleerde plugins die niet worden herkend.
• Onverwachte wijzigingen aan thema- of pluginbestanden.
• Nieuwe PHP-bestanden in upload- of cachemappen.

Deze controles zijn algemene indicatoren van mogelijke accountovername en vormen geen bevestigde lijst van aanvalssignaturen specifiek voor CVE-2026-92885.

Wanneer misbruik wordt vermoed, moeten relevante logbestanden worden veiliggesteld en bestaande beheerderssessies worden ingetrokken.

Managed WordPress en VPS Hosting bij Vservs

Beveiligingsproblemen zoals CVE-2026-92885 laten zien hoe belangrijk het is om WordPress-plugins en commerciële thema’s regelmatig te controleren.

Vservs biedt professionele hosting- en serveroplossingen voor bedrijven, webdesignbureaus en organisaties.

Onze Managed VPS Hosting combineert professioneel serverbeheer met monitoring, onderhoud en beveiligingsupdates voor de onderliggende infrastructuur.

Beveiliging van WordPress vereist daarnaast tijdige updates van de applicatie, plugins en thema’s.

Volg regelmatig onze Security- en Beveiligingsupdates voor nieuwe beveiligingsmeldingen.

Conclusie

De Qode Membership kwetsbaarheid CVE-2026-92885 is een kritiek beveiligingsprobleem dat onder specifieke omstandigheden volledige overname van WordPress-gebruikersaccounts mogelijk maakt.

Alle versies tot en met 2.0.6.2 zijn getroffen.

Vservs adviseert beheerders om onmiddellijk versie 2.0.6.3 of nieuwer te installeren en bestaande gebruikersaccounts op verdachte wijzigingen te controleren.

Bronnen

• Wordfence – Qode Membership CVE-2026-92885
• Patchstack – Qode Membership Security Advisory

YOOtheme Pro 5 kwetsbaarheid CVE-2026-102785 vormt een kritiek beveiligingsrisico voor websites die gebruikmaken van YOOtheme Pro 5. De kwetsbaarheid maakt het onder bepaalde omstandigheden mogelijk om zonder inloggegevens kwaadaardige code op de server uit te voeren. Het beveiligingsprobleem bevindt zich in de verwerking van afbeeldingen en kan leiden tot volledige compromittering van een getroffen website. YOOtheme heeft op 21 oktober 2026 beveiligingsupdate 5.0.53 uitgebracht. Alle YOOtheme Pro 5-versies tot en met 5.0.52 moeten worden bijgewerkt.

De kwetsbaarheid is bijzonder relevant voor organisaties die WordPress- of Joomla-websites beheren. YOOtheme Pro wordt op beide platforms gebruikt voor het ontwerpen en beheren van websites.

De officiële CVE-registratie beschrijft de kwetsbaarheid specifiek voor de Joomla-implementatie en kent een kritieke CVSS 4.0-score van 10,0 toe.

Volgens YOOtheme zijn versies 4 en ouder niet getroffen door deze specifieke beveiligingskwetsbaarheid.

Wat is de YOOtheme Pro 5 kwetsbaarheid?

De YOOtheme Pro 5 kwetsbaarheid is geregistreerd als CVE-2026-102785 en betreft een beveiligingsprobleem in de image handler van YOOtheme Pro.

Deze component verwerkt afbeeldingen die door websites worden gebruikt. Afhankelijk van de configuratie kan de image handler onder andere afbeeldingen aanpassen, optimaliseren en in verschillende formaten beschikbaar stellen.

De kwetsbaarheid ontstaat doordat bepaalde afbeeldingsbewerkingen en uitvoerlocaties onvoldoende worden gekoppeld aan de beveiligingshandtekening van een verzoek.

Hierdoor kan een aanvaller onder de beschreven omstandigheden een bestaande geldige afbeeldings-URL gebruiken om aanvullende bewerkingen uit te laten voeren.

De officiële kwetsbaarheidsbeschrijving vermeldt dat dit kan leiden tot het schrijven van een kwaadaardig bestand buiten de bedoelde cachedirectory.

Wanneer het bestand terechtkomt op een locatie waar PHP-uitvoering mogelijk is, kan dit uiteindelijk leiden tot Remote Code Execution.

Hoe ernstig is CVE-2026-102785?

De kwetsbaarheid heeft volgens de gepubliceerde CVE-registratie een CVSS 4.0-score van 10,0 en wordt daarmee als kritiek beoordeeld.

Een belangrijk risico is dat de beschreven aanval geen geldig gebruikersaccount vereist.

Een externe aanvaller kan onder specifieke omstandigheden misbruik maken van de publiek toegankelijke afbeeldingsverwerking.

Een succesvolle aanval kan leiden tot:

• Ongeautoriseerde uitvoering van PHP-code op de server.
• Het plaatsen van kwaadaardige bestanden of webshells.
• Het aanpassen of verwijderen van websitebestanden.
• Het uitlezen van configuratiebestanden en mogelijk databasegegevens.
• Het verkrijgen van toegang tot gevoelige informatie.
• Het installeren van aanvullende malware.
• Het verstoren van de beschikbaarheid van de website.

De daadwerkelijke gevolgen zijn afhankelijk van de webserverconfiguratie, de rechten van het PHP-proces en de beveiligingsmaatregelen op de server.

Welke YOOtheme Pro-versies zijn getroffen?

De volgende informatie is bevestigd:

• Software: YOOtheme Pro 5.
• CVE: CVE-2026-102785.
• Ernst: Kritiek.
• CVSS 4.0: 10,0 volgens de gepubliceerde CVE-registratie voor Joomla.
• Getroffen versies: YOOtheme Pro 5.0.0 tot en met 5.0.52.
• Eerste beveiligde versie: 5.0.53.
• Beveiligingsupdate: 21 oktober 2026.
• Authenticatie vereist: Nee, volgens de beschreven aanval.
• YOOtheme Pro 4 en ouder: Niet getroffen volgens YOOtheme.

De ontwikkelaar heeft in versie 5.0.53 de beveiliging van de image handler aangepast.

Beheerders moeten minimaal versie 5.0.53 installeren. Bij voorkeur wordt de nieuwste beschikbare compatibele release gebruikt.

Wordt de YOOtheme Pro 5 kwetsbaarheid actief misbruikt?

Op 26 oktober 2026 is op basis van de geraadpleegde officiële informatie geen onafhankelijk bevestigde grootschalige exploitatiecampagne vastgesteld voor CVE-2026-102785.

De technische aanvalsmogelijkheid is inmiddels wel publiek beschreven.

Dat betekent dat aanvallers informatie hebben over de kwetsbare functionaliteit en de mogelijke gevolgen.

Het ontbreken van bevestigde succesvolle aanvallen betekent daarom niet dat kwetsbare installaties veilig zijn.

Vservs adviseert alle beheerders van YOOtheme Pro 5 om de beschikbare beveiligingsupdate onmiddellijk te installeren.

Hoe controleer je de geïnstalleerde YOOtheme Pro-versie?

De geïnstalleerde versie kan rechtstreeks vanuit de YOOtheme Pro-interface worden gecontroleerd.

Open YOOtheme Pro en ga naar het onderdeel Instellingen → Over.

Hier wordt het actuele versienummer weergegeven.

Wanneer versie 5.0.52 of ouder uit de 5.x-reeks wordt gebruikt, moet de installatie worden bijgewerkt.

Na het installeren van de update moet het versienummer opnieuw worden gecontroleerd.

De installatie moet minimaal versie 5.0.53 gebruiken.

YOOtheme Pro bijwerken op WordPress

WordPress-beheerders kunnen YOOtheme Pro via het reguliere updatesysteem bijwerken wanneer de benodigde updateconfiguratie correct is ingesteld.

1. Maak een volledige back-up van de website en database.
2. Log in op het WordPress-dashboard.
3. Open het onderdeel Dashboard → Updates.
4. Controleer of een update voor YOOtheme Pro beschikbaar is.
5. Installeer de nieuwste compatibele beveiligingsversie.
6. Controleer na de update de werking van de website.
7. Open YOOtheme Pro en controleer het versienummer onder Instellingen → Over.

Controleer ook of het YOOtheme-updateaccount correct is gekoppeld wanneer geen update wordt aangeboden.

Test na de update belangrijke onderdelen van de website, waaronder navigatie, afbeeldingen, formulieren en eventuele webshopfunctionaliteit.

YOOtheme Pro bijwerken op Joomla

Voor Joomla-installaties geldt eveneens dat de beveiligingsupdate zo snel mogelijk moet worden geïnstalleerd.

1. Maak een volledige back-up van de Joomla-website en database.
2. Log in op het Joomla-beheerdersgedeelte.
3. Open het onderdeel Systeem → Bijwerken → Extensies.
4. Controleer of de nieuwe YOOtheme Pro-versie beschikbaar is.
5. Installeer de beveiligingsupdate.
6. Controleer de frontend en het Joomla-beheerdersgedeelte.
7. Controleer in YOOtheme Pro of minimaal versie 5.0.53 actief is.

Wanneer de update niet zichtbaar is, controleer dan de update-instellingen en de configuratie van het YOOtheme-account.

Wat kunnen hostingbeheerders controleren?

Naast het installeren van de beveiligingsupdate kunnen serverbeheerders aanvullende controles uitvoeren.

Omdat de kwetsbaarheid verband houdt met afbeeldingsverwerking en het schrijven van bestanden, verdienen vooral publiek toegankelijke media- en cachedirectories extra aandacht.

Controleer onder andere:

• Onverwachte PHP-bestanden in media- en uploaddirectories.
• Recent gewijzigde bestanden in afbeeldingscachemappen.
• Verdachte verzoeken naar afbeeldingsverwerkingsfuncties.
• Ongebruikelijke URL-parameters en afwijkende afbeeldingsbewerkingen.
• Onverwachte bestandswijzigingen binnen de website.
• Onbekende beheerdersaccounts.
• Afwijkende PHP-processen en uitgaande netwerkverbindingen.

Deze controles zijn algemene aanwijzingen voor mogelijke compromittering. Ze vormen geen volledige lijst van bevestigde indicatoren voor CVE-2026-102785.

Controleer op mogelijke compromittering

Het installeren van YOOtheme Pro 5.0.53 of een nieuwere versie voorkomt misbruik van de verholpen kwetsbaarheid, maar verwijdert niet automatisch eventuele malware die eerder is geplaatst.

Wanneer een website gedurende langere tijd een kwetsbare versie heeft gebruikt, kan aanvullend onderzoek verstandig zijn.

Vergelijk belangrijke websitebestanden met betrouwbare back-ups en controleer op onverwachte wijzigingen.

Onderzoek onbekende PHP-bestanden, verdachte gebruikersaccounts en afwijkingen in webserverlogs.

Controleer daarnaast of PHP-uitvoering in media- en uploaddirectories waar mogelijk wordt beperkt.

Bij aanwijzingen voor een daadwerkelijke compromittering moeten relevante logbestanden en andere bewijsmiddelen worden veiliggesteld voordat uitgebreide herstelwerkzaamheden worden uitgevoerd.

Een beveiligingsupdate alleen is dan niet voldoende om de betrouwbaarheid van de volledige website te herstellen.

Is deze kwetsbaarheid gerelateerd aan PHP2Shell?

Nee. De beveiligingskwetsbaarheid in YOOtheme Pro 5 staat los van de recent bekendgemaakte PHP2Shell-kwetsbaarheden.

YOOtheme heeft bevestigd dat het om een afzonderlijk beveiligingsprobleem gaat.

Een PHP-update verhelpt de kwetsbaarheid in YOOtheme Pro niet.

Omgekeerd beschermt een YOOtheme-update de server niet automatisch tegen kwetsbaarheden in de geïnstalleerde PHP-runtime.

Websitebeheerders moeten daarom zowel de gebruikte applicaties als de onderliggende serveromgeving actueel houden.

Professionele WordPress- en Joomla-hosting bij Vservs

Beveiligingsproblemen zoals CVE-2026-102785 laten zien hoe belangrijk het is om zowel websitesoftware als de onderliggende hostingomgeving goed te onderhouden.

Vservs levert professioneel beheerde serveromgevingen voor zakelijke WordPress- en Joomla-websites.

Onze Managed VPS-servers bieden een professioneel beheerde infrastructuur met aandacht voor beveiligingsupdates, monitoring, serverbeheer en stabiliteit.

Naast serverbeveiliging blijft het noodzakelijk om WordPress, Joomla, thema’s, plugins en extensies tijdig bij te werken.

Door applicatiebeveiliging en professioneel serverbeheer te combineren, kunnen organisaties hun beveiligingsrisico’s beperken.

Conclusie

De YOOtheme Pro 5 kwetsbaarheid CVE-2026-102785 is een ernstig beveiligingsprobleem dat onder bepaalde omstandigheden ongeauthenticeerde Remote Code Execution mogelijk maakt.

Alle YOOtheme Pro 5-installaties tot en met versie 5.0.52 moeten worden bijgewerkt naar minimaal versie 5.0.53.

Volgens YOOtheme zijn versie 4 en oudere versies niet getroffen door deze specifieke kwetsbaarheid.

Hoewel actieve exploitatie niet onafhankelijk is bevestigd, rechtvaardigen de technische impact en de kritieke beveiligingsscore onmiddellijke actie.

Vservs adviseert websitebeheerders om de beveiligingsupdate direct te installeren en kwetsbare installaties waar nodig te controleren op verdachte bestanden en ongeautoriseerde wijzigingen.

Bronnen

• YOOtheme – Officieel changelog, versie 5.0.53
• NIST National Vulnerability Database – CVE-2026-102785
• GitHub Advisory Database – CVE-2026-102785
• YOOtheme – Joomla Update Documentation
• YOOtheme – WordPress Settings Documentation

PHP2Shell kwetsbaarheden vormen een ernstig beveiligingsrisico voor websites en hostingservers die gebruikmaken van PHP. Op 21 oktober 2026 heeft het PHP Security Team twee kritieke kwetsbaarheden verholpen die onder bepaalde omstandigheden uitvoering van willekeurige code op afstand mogelijk maken. De beveiligingsproblemen zijn geregistreerd als CVE-2026-109618 en CVE-2026-109619 en hebben beide een CVSS 4.0-score van 9,2. Op 23 oktober volgde bovendien een aanvullende waarschuwing voor CVE-2026-115560, waarvoor een tijdelijke beveiligingsmaatregel wordt geadviseerd.

De kwetsbaarheden zijn bijzonder relevant voor hostingomgevingen waarop WordPress, Joomla, Magento, WooCommerce en andere PHP-applicaties worden uitgevoerd.

Beheerders moeten niet alleen controleren of de nieuwste PHP-beveiligingsupdates zijn geïnstalleerd, maar ook nagaan of aanvullende beveiligingsinstellingen correct zijn toegepast.

Wat zijn de PHP2Shell kwetsbaarheden?

PHP2Shell is de naam die wordt gebruikt voor twee kritieke kwetsbaarheden in de verwerking van HTTP-verzoeken door PHP.

Het gaat om beveiligingsproblemen in het geheugenbeheer van de PHP-runtime. Hierdoor kunnen onder specifieke omstandigheden ongeldige geheugenstructuren ontstaan.

Wanneer een aanvaller erin slaagt deze fouten gecontroleerd te misbruiken, kan mogelijk willekeurige code worden uitgevoerd met de rechten van het betreffende PHP-proces.

De kwetsbaarheden bevinden zich in PHP zelf en zijn daardoor niet beperkt tot één specifiek contentmanagementsysteem.

Een volledig bijgewerkte WordPress- of Joomla-installatie kan nog steeds risico lopen wanneer de onderliggende PHP-runtime kwetsbaar is.

CVE-2026-109618: geheugenbeschadiging bij Out-of-Memory

De eerste kwetsbaarheid is geregistreerd als CVE-2026-109618.

Het beveiligingsprobleem ontstaat wanneer PHP tijdens de verwerking van een HTTP-verzoek onvoldoende geheugen beschikbaar heeft.

Onder bepaalde omstandigheden wordt de verwerking onderbroken terwijl interne gegevensstructuren nog niet volledig zijn geïnitialiseerd.

Wanneer PHP vervolgens probeert deze gegevens op te ruimen, kan geheugenbeschadiging optreden.

Een aanvaller kan proberen deze situatie te veroorzaken door speciaal samengestelde HTTP-verzoeken naar een kwetsbare server te sturen.

De kwetsbaarheid heeft een CVSS 4.0-score van 9,2 en kan onder specifieke omstandigheden leiden tot remote code execution.

CVE-2026-109619: Use-After-Free door achterblijvende gegevens

De tweede kritieke kwetsbaarheid betreft CVE-2026-109619.

Bij deze kwetsbaarheid kan interne statusinformatie achterblijven nadat het bijbehorende geheugen is vrijgegeven.

Wanneer een volgend verzoek door hetzelfde PHP-proces wordt verwerkt, kan deze achtergebleven informatie opnieuw worden gebruikt.

Dit kan leiden tot een zogenoemde Use-After-Free-situatie.

Ook deze kwetsbaarheid heeft een CVSS 4.0-score van 9,2.

Het PHP Security Team bevestigt dat misbruik onder bepaalde omstandigheden uitvoering van willekeurige code mogelijk kan maken.

Welke PHP-versies zijn kwetsbaar?

Het PHP Security Team heeft op 21 oktober 2026 beveiligingsupdates uitgebracht voor de ondersteunde PHP-versies.

De eerste versies met de beveiligingscorrecties zijn:

• PHP 8.2: versie 8.2.35
• PHP 8.3: versie 8.3.36
• PHP 8.4: versie 8.4.27
• PHP 8.5: versie 8.5.12

Oudere versies binnen deze ondersteunde releasebranches moeten worden bijgewerkt.

PHP 8.1 en oudere versies ontvangen geen reguliere beveiligingsupdates meer vanuit het PHP-project.

Voor bepaalde oudere versies en Linux-distributies zijn aanvullende backports beschikbaar. Beheerders moeten daarom controleren of hun leverancier een aantoonbaar gepatchte versie aanbiedt.

Een lager versienummer betekent bij distributiepakketten met beveiligingsbackports niet automatisch dat de installatie kwetsbaar is.

Extra beveiligingswaarschuwing: CVE-2026-115560

Op 23 oktober 2026 heeft het PHP Security Team een aanvullende beveiligingswaarschuwing gepubliceerd.

Deze betreft CVE-2026-115560, een afzonderlijke kwetsbaarheid die verband houdt met de verwerking van PHP-sessies en de uploadvoortgang van bestanden.

Volgens PHP kan deze kwetsbaarheid onder een ongebruikelijke combinatie van instellingen en applicatiecode mogelijk leiden tot remote code execution.

Het probleem vereist onder andere dat een applicatie tijdens de uitvoering wisselt tussen specifieke PHP-session-serialisatieformaten.

Omdat deze combinatie relatief ongebruikelijk is, wordt de definitieve correctie opgenomen in een reguliere toekomstige PHP-release.

De beveiligingsupdates van 21 oktober bevatten deze aanvullende correctie nog niet.

Welke tijdelijke beveiligingsmaatregel adviseert PHP?

Het PHP Security Team adviseert om de volgende instelling uit te schakelen:

session.upload_progress.enabled = Off

Deze instelling bepaalt of PHP informatie bijhoudt over de voortgang van bestandsuploads binnen sessies.

Door de functie uit te schakelen, wordt de door PHP beschreven aanvalsmogelijkheid voor CVE-2026-115560 weggenomen.

De instelling kan worden toegepast via de PHP-configuratie of een passende PHP-FPM-poolconfiguratie.

Serverbeheerders moeten controleren of de instelling daadwerkelijk actief is binnen de PHP-runtime waarmee de website wordt uitgevoerd.

Na het aanpassen van de configuratie moeten de betreffende PHP-processen gecontroleerd opnieuw worden gestart.

Belangrijk: het uitschakelen van session.upload_progress.enabled is geen volledige oplossing voor CVE-2026-109618 en CVE-2026-109619. Daarvoor blijven de beveiligingsupdates noodzakelijk.

Welke hostingservers kunnen getroffen zijn?

Volgens het PHP Security Team zijn verschillende PHP-uitvoeringsmethoden relevant voor de kwetsbaarheden.

Daaronder vallen:

• PHP-FPM in combinatie met Nginx of Apache.
• Apache met mod_php.
• PHP-CGI.
• LiteSpeed-webservers met PHP.
• FrankenPHP.

Het risico verschilt per configuratie.

PHP geeft aan dat Apache-installaties met mod_php een bijzonder hoog risico kunnen lopen, omdat voor deze configuratie een aanval is aangetoond die kan plaatsvinden voordat applicatiecode wordt uitgevoerd.

Ook PHP-FPM-installaties moeten worden bijgewerkt, hoewel de praktische exploitatievoorwaarden anders kunnen zijn.

Voor hostingproviders betekent dit dat alle gebruikte PHP-versies en uitvoeringsmethoden moeten worden geïnventariseerd.

Worden de PHP2Shell kwetsbaarheden actief aangevallen?

Beveiligingsbedrijven hebben aanvalspogingen tegen de PHP2Shell-kwetsbaarheden waargenomen.

Onderzoekers van onder andere Cloudflare en Amazon hebben verdachte activiteiten gemeld die verband houden met pogingen om de beveiligingsproblemen te misbruiken.

Er zijn daarnaast technische demonstraties en proof-of-concept-aanvallen beschikbaar gekomen.

Dit betekent echter niet dat iedere aanvalspoging succesvol is geweest.

De praktische exploitatie hangt onder andere af van de PHP-configuratie, het geheugenbeheer en de mogelijkheid om de kwetsbare codepaden betrouwbaar te bereiken.

De waargenomen aanvallen onderstrepen wel het belang van onmiddellijke beveiligingsupdates.

Wat moeten websitebeheerders doen?

Vservs adviseert websitebeheerders en hostingproviders om de volgende maatregelen uit te voeren:

1. Controleer welke PHP-versies op de hostingomgeving beschikbaar zijn.
2. Controleer welke PHP-versie daadwerkelijk door iedere website wordt gebruikt.
3. Installeer de toepasselijke beveiligingsupdates of aantoonbaar gepatchte leverancierspakketten.
4. Controleer of oudere PHP-versies nog actief worden gebruikt.
5. Schakel session.upload_progress.enabled uit als aanvullende beveiligingsmaatregel.
6. Controleer de effectieve instellingen van PHP-FPM en andere PHP-uitvoeringsmethoden.
7. Start de betrokken PHP-processen gecontroleerd opnieuw op.
8. Controleer na de wijzigingen of websites en applicaties correct functioneren.
9. Onderzoek serverlogs op verdachte verzoeken en onverwachte PHP-fouten.
10. Controleer of back-ups beschikbaar en herstelbaar zijn.

Voor zakelijke websites is het verstandig om belangrijke applicaties na een PHP-update te testen op compatibiliteit.

Daarbij verdienen onder andere formulieren, betalingen, API-koppelingen, bestandsuploads en administratieve functies aandacht.

Hoe controleer je de geïnstalleerde PHP-versie?

Serverbeheerders met SSH-toegang kunnen de standaard PHP CLI-versie controleren met:

php -v

Dit commando toont uitsluitend de PHP-versie die via de commandline wordt gebruikt.

Op servers met meerdere PHP-versies kan een website een andere PHP-runtime gebruiken.

Controleer daarom ook de PHP-versie binnen het gebruikte hostingpaneel en de configuratie van de betreffende website.

Bij DirectAdmin, Plesk en CloudPanel kunnen verschillende websites gebruikmaken van afzonderlijke PHP-FPM-processen en PHP-versies.

De daadwerkelijke beveiligingsstatus moet daarom per actieve PHP-runtime worden vastgesteld.

Controleer op mogelijke compromittering

Het installeren van beveiligingsupdates voorkomt nieuwe aanvallen via de verholpen kwetsbaarheden, maar verwijdert geen eventuele schade die eerder is ontstaan.

Bij mogelijk kwetsbare servers adviseert Vservs om aanvullende controles uit te voeren.

• Controleer webserverlogs op ongebruikelijke HTTP-verzoeken en afwijkende POST-aanvragen.
• Onderzoek onverwachte PHP-crashes, geheugenfouten en herstarts van PHP-processen.
• Controleer op onbekende PHP-bestanden en mogelijke webshells.
• Onderzoek onverwachte wijzigingen aan websitebestanden.
• Controleer op onbekende beheerdersaccounts.
• Onderzoek verdachte cronjobs en ongebruikelijke serverprocessen.
• Controleer uitgaande netwerkverbindingen op onbekende bestemmingen.
• Onderzoek mogelijke toegang tot configuratiebestanden en gevoelige gegevens.

Deze controles zijn algemene indicatoren voor mogelijke compromittering en vormen geen sluitend bewijs dat PHP2Shell daadwerkelijk is misbruikt.

Wanneer een beveiligingsincident wordt vermoed, moeten relevante logs en bewijsmaterialen worden veiliggesteld voordat uitgebreide herstelwerkzaamheden plaatsvinden.

Waarom PHP-beveiliging belangrijk is voor hostingklanten

PHP vormt de basis van een groot aantal websites en webapplicaties.

WordPress, WooCommerce, Joomla, Magento en diverse zakelijke applicaties maken gebruik van PHP voor het verwerken van dynamische inhoud en gebruikersverzoeken.

Wanneer een kwetsbaarheid zich in de PHP-runtime bevindt, kan deze gevolgen hebben voor meerdere applicaties die op dezelfde server worden uitgevoerd.

Daarom is het belangrijk om niet uitsluitend WordPress, plugins of thema’s bij te werken, maar ook de onderliggende serveromgeving goed te onderhouden.

Een actuele PHP-versie, veilige configuratie, monitoring en tijdige beveiligingsupdates vormen samen een belangrijk onderdeel van een betrouwbare hostingomgeving.

Managed VPS Hosting bij Vservs

Vservs levert professioneel beheerde VPS-servers voor zakelijke websites, webshops en applicaties.

Bij een Managed VPS ligt de nadruk op serverbeheer, beveiligingsupdates, monitoring en een stabiele hostingomgeving.

Voor organisaties die afhankelijk zijn van PHP-applicaties is het belangrijk dat de onderliggende serveromgeving zorgvuldig wordt onderhouden.

Meer informatie over onze dienstverlening vind je op de pagina Managed VPS Hosting bij Vservs.

Conclusie

De PHP2Shell kwetsbaarheden CVE-2026-109618 en CVE-2026-109619 vormen een ernstig beveiligingsrisico voor hostingservers waarop kwetsbare PHP-versies worden gebruikt.

De beveiligingsupdates van 21 oktober 2026 verhelpen beide kritieke kwetsbaarheden.

Daarnaast heeft het PHP Security Team op 23 oktober een aanvullende waarschuwing gepubliceerd voor CVE-2026-115560.

Voor deze derde kwetsbaarheid wordt voorlopig geadviseerd om session.upload_progress.enabled uit te schakelen.

Vservs adviseert websitebeheerders en hostingproviders om alle actieve PHP-installaties te controleren, beschikbare beveiligingsupdates toe te passen en aanvullende beveiligingsinstellingen te verifiëren.

Bronnen

• PHP Security Team – Kritieke PHP-beveiligingsupdate van 21 oktober 2026
• PHP Security Team – Aanvullende waarschuwing over session upload progress
• Red Hat – PHP2Shell Security Bulletin RHSB-2026-013
• Qualys – PHP2Shell kwetsbaarheden en beveiligingsonderzoek

Printcart Store kwetsbaarheid CVE-2026-93388 is een kritiek beveiligingslek in de WooCommerce-plugin Printcart Store. De kwetsbaarheid heeft een CVSS-score van 9.8 en maakt het onder bepaalde omstandigheden mogelijk om zonder authenticatie kwaadaardige PHP-bestanden naar de webserver te uploaden. Wanneer deze bestanden kunnen worden uitgevoerd, kan een aanvaller de volledige WordPress-installatie compromitteren. Alle versies tot en met 2.9.1 zijn kwetsbaar. De ontwikkelaar heeft het beveiligingsprobleem verholpen in versie 2.9.2.

Het beveiligingslek is geregistreerd als CVE-2026-93388 en heeft een CVSS-score van 9.8.

De kwetsbaarheid kan leiden tot remote code execution wanneer een aanvaller erin slaagt een kwaadaardig PHP-bestand te plaatsen op een locatie waar de webserver dit bestand kan uitvoeren.

Wat is Printcart Store?

Printcart Store is een WooCommerce-plugin waarmee webshops gepersonaliseerde producten kunnen aanbieden.

Klanten kunnen via een online ontwerptool bijvoorbeeld afbeeldingen, teksten en ontwerpen toevoegen aan producten zoals kleding, drukwerk en promotieartikelen.

De plugin ondersteunt het verwerken en importeren van afbeeldingsbestanden en andere ontwerpbestanden.

Juist in deze functionaliteit is een ernstig beveiligingsprobleem ontdekt.

Wat is CVE-2026-93388?

Volgens Wordfence bevindt de kwetsbaarheid zich in de verwerking van externe afbeeldingsbestanden.

De betrokken functie nbdesigner_copy_image_from_url kan ook door niet-aangemelde bezoekers worden aangeroepen.

Bij een specifieke verwerkingsroute voor Google Drive-bestanden werd onvoldoende gecontroleerd of een opgegeven bestandsnaam veilig was.

Daardoor kon een aanvaller onder de beschreven omstandigheden een bestand met een gevaarlijke extensie laten opslaan.

De bestanden konden terechtkomen in de volgende directory:

wp-content/uploads/nbdesigner/temp/

Wanneer PHP-uitvoering in deze directory is toegestaan, kan een geüpload kwaadaardig PHP-bestand worden uitgevoerd.

Hierdoor kan een aanvaller mogelijk controle krijgen over de WordPress-installatie en toegang verkrijgen tot gegevens die voor het webserverproces beschikbaar zijn.

Welke versies zijn getroffen?

• Plugin: Printcart Store – Web to Print Product Designer for WooCommerce
• CVE: CVE-2026-93388
• CVSS-score: 9.8
• Ernst: Kritiek
• Kwetsbare versies: 2.9.1 en ouder
• Veilige versie: 2.9.2 en nieuwer
• Publicatiedatum: 13 oktober 2026

De ontwikkelaar heeft op 28 september 2026 versie 2.9.2 uitgebracht met aanvullende beveiligingscontroles voor externe afbeeldingsimports.

Ook zijn er maatregelen toegevoegd om het uitvoeren van scripts vanuit de tijdelijke artwork-directory te beperken.

Hoe ernstig is de Printcart Store kwetsbaarheid?

De Printcart Store kwetsbaarheid vormt een ernstig beveiligingsrisico voor WooCommerce-webshops die gebruikmaken van de online productontwerper.

Het beveiligingsprobleem maakt misbruik mogelijk van de functionaliteit waarmee externe afbeeldingen worden geïmporteerd. Wanneer onvoldoende wordt gecontroleerd welke bestanden worden opgeslagen, kan een aanvaller proberen uitvoerbare PHP-bestanden op de server te plaatsen.

De gevolgen zijn afhankelijk van de webserverconfiguratie. Wanneer PHP-uitvoering in de betreffende uploaddirectory is toegestaan, kan een aanvaller mogelijk schadelijke code uitvoeren met de rechten van het PHP-proces.

Voor webshops kan dit leiden tot ongeautoriseerde wijzigingen aan producten, websitebestanden of configuratiegegevens. Ook kunnen gevoelige gegevens toegankelijk worden voor aanvallers.

Een belangrijke aanvullende beveiligingsmaatregel is het blokkeren van PHP-uitvoering binnen WordPress-uploaddirectories. Dit moet op webserverniveau worden afgedwongen en mag niet uitsluitend afhankelijk zijn van de beveiligingsmaatregelen van een WordPress-plugin.

Vservs adviseert beheerders om naast het installeren van versie 2.9.2 ook de webserverconfiguratie en bestaande bestanden in de tijdelijke afbeeldingsdirectory te controleren.

Extra aandacht voor Nginx-webservers

De ontwikkelaar vermeldt expliciet dat de in versie 2.9.2 toegevoegde bescherming voor de tijdelijke artwork-directory gericht is op Apache-compatibele webservers.

Voor Nginx-omgevingen moet equivalent gedrag via de webserverconfiguratie worden afgedwongen.

Hostingbeheerders moeten daarom controleren of PHP-uitvoering vanuit de betreffende uploads-directory daadwerkelijk onmogelijk is.

Het uitsluitend vertrouwen op configuratiebestanden zoals .htaccess is bij een zelfstandige Nginx-configuratie onvoldoende.

Wordt de kwetsbaarheid actief misbruikt?

De technische kwetsbaarheid is publiekelijk gedocumenteerd door Wordfence.

Op 15 oktober 2026 is er geen voldoende onderbouwde publieke bevestiging gevonden dat CVE-2026-93388 momenteel op grote schaal actief wordt misbruikt.

Omdat de kwetsbaarheid potentieel kan leiden tot het uitvoeren van kwaadaardige code, adviseren wij getroffen webshops de beschikbare update onmiddellijk te installeren.

Wat moeten WooCommerce-beheerders doen?

1. Controleer of Printcart Store is geïnstalleerd.
2. Werk de plugin bij naar versie 2.9.2 of nieuwer.
3. Onderzoek de directory wp-content/uploads/nbdesigner/temp/ op onbekende PHP-bestanden.
4. Controleer of uitvoerbare scripts vanuit WordPress-uploaddirectories worden geblokkeerd.
5. Controleer webserverlogs op ongebruikelijke verzoeken naar de betrokken bestandsimportfunctionaliteit.
6. Controleer WordPress op onbekende administratoraccounts en onverwachte bestandswijzigingen.
7. Voer bij aanwijzingen voor compromittering een volledig beveiligingsonderzoek uit.

Houd er rekening mee dat het installeren van een beveiligingsupdate eventuele eerder geplaatste malware niet automatisch verwijdert.

Managed VPS Hosting bij Vservs

De beveiliging van een WooCommerce-webshop is afhankelijk van zowel de gebruikte software als de configuratie van de webserver.

Vservs biedt Managed VPS-oplossingen met serverbeheer, monitoring, beveiligingsupdates en ondersteuning bij het veilig configureren van hostingomgevingen.

Bekijk onze Managed VPS Hosting-oplossingen voor zakelijke WordPress-websites en WooCommerce-webshops.

Conclusie

CVE-2026-93388 is een kritieke kwetsbaarheid in Printcart Store voor WooCommerce.

Het beveiligingslek kan onder bepaalde omstandigheden worden gebruikt voor het uploaden en uitvoeren van kwaadaardige PHP-bestanden.

Beheerders moeten versie 2.9.2 of nieuwer installeren en controleren of hun webserverconfiguratie voldoende bescherming biedt tegen scriptuitvoering in uploaddirectories.

Bronnen

• Wordfence – CVE-2026-93388
• WordPress.org – Printcart Store en beveiligingschangelog

JTL-Connector kwetsbaarheid CVE-2026-87855 vormt een kritiek beveiligingsrisico voor WooCommerce-webshops die gebruikmaken van JTL-Connector. De kwetsbaarheid heeft een CVSS-score van 9.8 en kan onder bepaalde omstandigheden leiden tot ongeautoriseerde bestandsuploads en uitvoering van kwaadaardige code. Daarnaast is een tweede kwetsbaarheid ontdekt, CVE-2026-78193, die SQL-injectie mogelijk maakt. Versies tot en met 2.4.3 zijn getroffen. Een aantoonbaar veilige versie is op dit moment nog niet bevestigd.

De ernstigste kwetsbaarheid heeft een CVSS-score van 9.8 en kan onder bepaalde omstandigheden leiden tot het uitvoeren van kwaadaardige code op de webserver.

De beveiligingsproblemen zijn op 13 oktober 2026 gepubliceerd door Wordfence Intelligence.

Hoe ernstig is de JTL-Connector kwetsbaarheid?

De JTL-Connector kwetsbaarheid is bijzonder ernstig omdat de connector toegang heeft tot belangrijke gegevens binnen WooCommerce-webshops. Via de koppeling met JTL-Wawi worden onder andere productinformatie, voorraadgegevens en bestellingen uitgewisseld.

Wanneer een aanvaller erin slaagt de kwetsbaarheid te misbruiken, kan dit gevolgen hebben voor zowel de webshop als de onderliggende serveromgeving. Vooral de mogelijkheid om uitvoerbare bestanden te uploaden vormt een aanzienlijk beveiligingsrisico.

Omdat er nog geen onafhankelijk bevestigde veilige versie beschikbaar is, adviseert Vservs om de connector voorlopig uit te schakelen totdat de ontwikkelaar een aantoonbaar veilige oplossing heeft bevestigd.

Controleer daarnaast of er onbekende PHP-bestanden zijn geplaatst en onderzoek recente verzoeken naar de connector op verdachte activiteiten. Het ontbreken van zichtbare problemen betekent niet automatisch dat een webshop niet is aangevallen.

Wat is JTL-Connector for WooCommerce?

JTL-Connector wordt gebruikt om WooCommerce-webshops te koppelen aan JTL-Wawi, een systeem voor onder meer voorraadbeheer, productbeheer en orderverwerking.

Via de koppeling kunnen gegevens tussen de webshop en het achterliggende administratiesysteem worden uitgewisseld.

Omdat deze functionaliteit toegang heeft tot belangrijke webshopgegevens, kunnen beveiligingsproblemen in de connector aanzienlijke gevolgen hebben.

CVE-2026-87855: ongeautoriseerde bestandsuploads

De eerste kwetsbaarheid is geregistreerd als CVE-2026-87855 en heeft een CVSS-score van 9.8.

Volgens Wordfence accepteert de functie startSession() onder bepaalde omstandigheden een lege authenticatieparameter als geldige aanmelding.

Dit beveiligingsprobleem wordt gecombineerd met onvoldoende controle op bestandstypen tijdens de verwerking van afbeeldingen via de connector.

Daardoor kan een aanvaller zonder geldige gebruikersgegevens mogelijk bestanden uploaden die op de server uitvoerbaar zijn.

Wanneer dergelijke bestanden door de webserver worden uitgevoerd, kan dit leiden tot remote code execution.

CVE-2026-78193: SQL-injectie

Naast de kritieke bestandsuploadkwetsbaarheid is een tweede beveiligingslek ontdekt.

CVE-2026-78193 heeft een CVSS-score van 7.5 en betreft SQL-injectie tijdens de verwerking van productgegevens.

De kwetsbaarheid bevindt zich in de verwerking van gegevens via het product.push-onderdeel van de connector.

Door onvoldoende veilige verwerking van gebruikersinvoer kan een externe aanvaller onder bepaalde omstandigheden SQL-instructies beïnvloeden.

Dit kan worden gebruikt om gevoelige informatie uit de achterliggende database te achterhalen.

Welke versies zijn kwetsbaar?

• Plugin: JTL-Connector for WooCommerce
• CVE-2026-87855: CVSS 9.8
• CVE-2026-78193: CVSS 7.5
• Bevestigd kwetsbare versies: 2.4.3 en ouder
• Veilige versie: Nog niet bevestigd door Wordfence
• Publicatiedatum: 13 oktober 2026

WordPress.org vermeldt inmiddels ook versie 2.4.4 in de plugininformatie.

Op het moment van publicatie is echter niet bevestigd dat deze versie beide nieuw gemelde kwetsbaarheden verhelpt.

De plugin staat bovendien sinds 7 oktober 2026 als gesloten geregistreerd in de officiële WordPress-plugindirectory.

Worden de kwetsbaarheden actief misbruikt?

De technische kwetsbaarheden zijn door beveiligingsonderzoekers gedocumenteerd.

Op 15 oktober 2026 is er geen voldoende onderbouwde publieke bevestiging gevonden van actieve grootschalige exploitatie.

Dit neemt niet weg dat vooral de mogelijkheid om zonder geldige authenticatie uitvoerbare bestanden te uploaden een ernstig risico vormt.

Wat moeten webshopbeheerders doen?

1. Controleer of JTL-Connector for WooCommerce is geïnstalleerd.
2. Schakel de kwetsbare connector uit zolang geen aantoonbaar veilige oplossing beschikbaar is.
3. Neem contact op met de ontwikkelaar of leverancier voor een bevestigde beveiligingspatch.
4. Controleer de WordPress-uploads-directory en andere schrijfbare directories op onbekende uitvoerbare bestanden.
5. Onderzoek recente API-verzoeken naar de connector op afwijkende patronen.
6. Controleer of er onverwachte wijzigingen zijn aangebracht in producten, gebruikersaccounts of bestellingen.
7. Beoordeel bij mogelijke compromittering ook de veiligheid van gebruikte API-sleutels en andere toegangsgegevens.

Omdat de connector mogelijk essentieel is voor voorraad- en orderverwerking, moet het uitschakelen zorgvuldig worden afgestemd met de webshopbeheerder.

Bij zakelijke webshops is het verstandig om de koppeling pas opnieuw te activeren nadat de veiligheid van de gebruikte versie is bevestigd.

Extra aandacht voor hostingproviders

Hostingbeheerders kunnen aanvullende bescherming toepassen door verdachte bestandsuploads te monitoren en PHP-uitvoering in uploaddirectories waar mogelijk te blokkeren.

Ook het beperken van onnodig toegankelijke API-endpoints kan onderdeel zijn van een tijdelijke risicobeperking, mits dit de noodzakelijke koppelingen niet verstoort.

Deze maatregelen vervangen geen beveiligingspatch.

Managed VPS Hosting bij Vservs

Voor webshops met externe koppelingen is een goed beheerde serveromgeving belangrijk.

Vservs ondersteunt bedrijven met professionele Managed VPS-omgevingen, monitoring, back-ups en beveiligingsbeheer op serverniveau.

Meer informatie is beschikbaar op onze pagina Managed VPS Hosting.

Conclusie

De kwetsbaarheden CVE-2026-87855 en CVE-2026-78193 vormen een ernstig beveiligingsrisico voor WooCommerce-webshops die JTL-Connector gebruiken.

Zolang geen aantoonbaar veilige versie beschikbaar is, adviseren wij de getroffen connector uit te schakelen en de webshop te controleren op mogelijke ongeautoriseerde wijzigingen.

Bronnen

• Wordfence – CVE-2026-87855
• Wordfence – CVE-2026-78193
• WordPress.org – JTL-Connector pluginstatus

Abandoned Cart Pro kwetsbaarheid: in de populaire WooCommerce-plugin zijn drie ernstige beveiligingslekken ontdekt, waaronder twee kritieke kwetsbaarheden met een CVSS-score van 9.8. De beveiligingsproblemen kunnen onder bepaalde omstandigheden leiden tot accountovername, SQL-injectie en het verkrijgen van administratorrechten. Alle versies tot en met 10.8.0 zijn kwetsbaar. De ontwikkelaar heeft de problemen verholpen in versie 10.8.1.

De kwetsbaarheden kunnen onder bepaalde omstandigheden worden gebruikt om gebruikersaccounts over te nemen, databasegegevens uit te lezen en administratorrechten te verkrijgen.

Voor WooCommerce-webshops die deze plugin gebruiken, is onmiddellijke controle en installatie van de beveiligingsupdate noodzakelijk.

Hoe ernstig is de Abandoned Cart Pro kwetsbaarheid?

De Abandoned Cart Pro kwetsbaarheid vormt een aanzienlijk beveiligingsrisico voor WooCommerce-webshops. De combinatie van authenticatieomzeiling, SQL-injectie en mogelijke privilege-escalatie kan aanvallers onder bepaalde omstandigheden toegang geven tot gevoelige webshopgegevens en administratieve functies.

Voor webshops die klantgegevens, bestellingen en betaalgerelateerde informatie verwerken, is het belangrijk om de beveiligingsupdate zo snel mogelijk te installeren. Controleer daarnaast of er onbekende administratoraccounts zijn aangemaakt of onverwachte wijzigingen in de WordPress-database hebben plaatsgevonden.

Drie beveiligingslekken in Abandoned Cart Pro

De kwetsbaarheden zijn op 13 oktober 2026 publiekelijk bekendgemaakt via Wordfence Intelligence.

Het gaat om de volgende beveiligingsproblemen:

• CVE-2026-97657: Authenticatieomzeiling en accountovername – CVSS 9.8.
• CVE-2026-97668: SQL-injectie via opgeslagen gegevens van verlaten winkelwagens – CVSS 9.8.
• CVE-2026-102251: SQL-injectie via gemanipuleerde herstellinks – CVSS 7.5.

Alle drie de kwetsbaarheden treffen versies tot en met 10.8.0 van Abandoned Cart Pro.

CVE-2026-97657: overname van WooCommerce-accounts

Abandoned Cart Pro biedt functionaliteit om bezoekers die hun winkelwagen verlaten automatisch herinneringen te sturen.

Deze herinneringen bevatten links waarmee klanten hun eerdere winkelwagen kunnen herstellen.

Volgens Wordfence bevatte de beveiliging van deze herstellinks een combinatie van cryptografische en authenticatieproblemen.

Hierdoor kan een aanvaller met een eigen geldige herstellink onder bepaalde omstandigheden een aangepaste link vervaardigen waarmee een ander gebruikersaccount wordt geopend.

De kwetsbaarheid kan ook accounts met administratorrechten treffen wanneer die aan de voorwaarden van de aanval voldoen.

Dit maakt CVE-2026-97657 bijzonder ernstig voor webshops waarin beheerders eveneens met de winkelwagenfunctionaliteit hebben gewerkt.

CVE-2026-97668: SQL-injectie en privilege-escalatie

De tweede kritieke kwetsbaarheid bevindt zich in de verwerking van gegevens van verlaten winkelwagens.

Door onvoldoende veilige verwerking van gebruikersinvoer kan een aanvaller ongewenste SQL-instructies laten uitvoeren.

Wordfence meldt dat deze kwetsbaarheid niet alleen kan worden gebruikt voor het uitlezen van databasegegevens, maar ook voor het aanpassen van gegevens in de WordPress-database.

Bij beveiligingsonderzoek is aangetoond dat het onder specifieke omstandigheden mogelijk is om gebruikersrechten te manipuleren en administratorrechten te verkrijgen.

Hierdoor kan een aanvaller mogelijk volledige controle over de WordPress-installatie krijgen.

CVE-2026-102251: aanvullende SQL-injectie

De derde kwetsbaarheid bevindt zich eveneens in de verwerking van winkelwagenherstellinks.

Door een combinatie van manipuleerbare versleutelde gegevens en onvoldoende veilige SQL-verwerking kan een externe aanvaller database-informatie proberen te achterhalen.

Deze kwetsbaarheid heeft een CVSS-score van 7.5 en wordt als hoog risico geclassificeerd.

Welke versies zijn getroffen?

• Software: Abandoned Cart Pro for WooCommerce
• Kwetsbare versies: 10.8.0 en ouder
• Veilige versie: 10.8.1 en nieuwer
• Hoogste CVSS-score: 9.8
• Publicatiedatum: 13 oktober 2026

Ontwikkelaar Tyche Softwares heeft de beveiligingsproblemen verholpen in versie 10.8.1, uitgebracht op 8 oktober 2026.

Worden deze kwetsbaarheden actief misbruikt?

De beveiligingsproblemen zijn technisch gedocumenteerd en er zijn exploitatiemogelijkheden aangetoond tijdens beveiligingsonderzoek.

Dit betekent echter niet automatisch dat er momenteel sprake is van actieve aanvallen op grote schaal.

Op 15 oktober 2026 is daarvoor geen voldoende onderbouwde publieke bevestiging beschikbaar.

Vanwege de mogelijkheid tot accountovername en privilege-escalatie moeten de kwetsbaarheden wel als urgent worden behandeld.

Wat moeten WooCommerce-beheerders doen?

1. Controleer welke versie van Abandoned Cart Pro is geïnstalleerd.
2. Installeer onmiddellijk versie 10.8.1 of nieuwer.
3. Controleer alle WordPress-accounts met administratorrechten.
4. Onderzoek of er onverwachte wijzigingen in gebruikersrollen zijn aangebracht.
5. Controleer de database op afwijkende gebruikersmetadata, waaronder ongebruikelijke records met capabilities-informatie.
6. Bekijk recente WooCommerce- en webserverlogs op verdachte verzoeken naar winkelwagenherstellinks.
7. Controleer bij aanwijzingen voor compromittering ook de integriteit van de websitebestanden.

Wanneer een webshop mogelijk is overgenomen, is het verstandig om actieve sessies ongeldig te maken en relevante toegangsgegevens opnieuw in te stellen.

Bij een daadwerkelijke compromittering moet daarnaast worden onderzocht of persoonsgegevens of bestelgegevens zijn ingezien of gewijzigd.

Waarom dit belangrijk is voor webshops

WooCommerce-webshops verwerken doorgaans klantgegevens, bestellingen en betalingsgerelateerde informatie.

Een aanvaller die administratorrechten verkrijgt, kan mogelijk toegang krijgen tot deze gegevens en wijzigingen aanbrengen in de webshop.

Daarom is het belangrijk om beveiligingsupdates voor webshopplugins net zo serieus te nemen als beveiligingsupdates voor WordPress zelf.

Professionele WooCommerce-hosting bij Vservs

Voor zakelijke webshops is een goed beheerde hostingomgeving een belangrijke aanvullende beveiligingslaag.

Vservs levert Managed VPS-oplossingen met serverbeheer, monitoring, back-ups en ondersteuning bij de beveiliging van zakelijke hostingomgevingen.

Bekijk onze mogelijkheden voor Managed VPS Hosting.

Conclusie

De drie beveiligingsproblemen in Abandoned Cart Pro vormen een ernstig risico voor WooCommerce-webshops die nog versie 10.8.0 of ouder gebruiken.

Met name de mogelijkheid om gebruikersaccounts over te nemen en administratorrechten te verkrijgen maakt deze kwetsbaarheden kritiek.

Installeer versie 10.8.1 of nieuwer en controleer de webshop op aanwijzingen voor ongeautoriseerde toegang.

Bronnen

• Wordfence – CVE-2026-97657
• Wordfence – CVE-2026-97668
• Wordfence – CVE-2026-102251
• Tyche Softwares – officiële changelog

In de populaire WordPress-plugin 10Web Booster is een kritieke beveiligingskwetsbaarheid ontdekt. Het beveiligingslek, geregistreerd als CVE-2026-108587, heeft een CVSS-score van 9.8 op een schaal van 10.

De kwetsbaarheid kan aanvallers onder bepaalde omstandigheden in staat stellen om zonder gebruikersaccount kwaadaardige bestanden naar een WordPress-server te uploaden. Wanneer deze bestanden vervolgens als PHP-code kunnen worden uitgevoerd, kan dit leiden tot volledige compromittering van de website.

10Web Booster wordt volgens de officiële WordPress-plugindirectory gebruikt op meer dan 60.000 actieve WordPress-installaties.

Hoe ernstig is de 10Web Booster kwetsbaarheid?

De 10Web Booster kwetsbaarheid is bijzonder ernstig omdat de plugin wordt gebruikt voor het optimaliseren van WordPress-websites en daarbij toegang heeft tot verschillende onderdelen van de websiteomgeving.

Door onvoldoende controle op bestandsuploads kunnen aanvallers onder specifieke omstandigheden proberen uitvoerbare bestanden op de server te plaatsen.

Wanneer de webserver toestaat dat deze bestanden als PHP-code worden uitgevoerd, kan dit leiden tot ongeautoriseerde toegang tot websitebestanden, configuratiegegevens en mogelijk de achterliggende database.

Voor zakelijke websites kan een succesvolle aanval gevolgen hebben voor de beschikbaarheid van de website, de integriteit van gegevens en de veiligheid van bezoekers.

Vservs adviseert daarom om kwetsbare installaties onmiddellijk bij te werken naar versie 2.34.11 of nieuwer. Controleer daarnaast of er onbekende PHP-bestanden zijn geplaatst in de WordPress-uploaddirectories en onderzoek eventuele verdachte activiteiten in de webserverlogs.

Wat is CVE-2026-108587?

De kwetsbaarheid bevindt zich in de functie compressCustom() van 10Web Booster. Deze functie verwerkt onder andere gegevens die via de parameter page_id worden aangeleverd.

Volgens beveiligingsonderzoekers van Wordfence ontbreekt in kwetsbare versies voldoende controle op bestandstypen en bestandsextensies.

Daarnaast speelt een beveiligingsprobleem met een WordPress REST API-nonce een belangrijke rol.

Onder specifieke omstandigheden kan tijdens een onderbroken optimalisatieproces een nonce worden opgeslagen in een publiek toegankelijk bestand binnen de WordPress-uploads-directory.

Omdat deze nonce vanuit een proces zonder aangemelde gebruiker kan worden gegenereerd, kan een aanvaller deze onder de beschreven omstandigheden gebruiken om bepaalde beveiligingscontroles te omzeilen.

Door deze combinatie ontstaat het risico dat een externe aanvaller bestanden kan uploaden die op de webserver uitvoerbaar zijn.

Welke WordPress-websites zijn kwetsbaar?

De volgende versies zijn getroffen:

• Plugin: 10Web Booster – Website speed optimization, Cache & Page Speed optimizer
• CVE: CVE-2026-108587
• Ernst: Kritiek
• CVSS-score: 9.8
• Kwetsbare versies: 2.34.10 en ouder
• Veilige versie: 2.34.11 en nieuwer
• Publicatiedatum kwetsbaarheid: 14 oktober 2026

10Web Booster kwetsbaarheid CVE-2026-108587 vormt een kritiek beveiligingsrisico voor WordPress-websites die gebruikmaken van de populaire optimalisatieplugin 10Web Booster. De kwetsbaarheid heeft een CVSS-score van 9.8 en maakt het onder bepaalde omstandigheden mogelijk om zonder authenticatie kwaadaardige bestanden naar de webserver te uploaden. Wanneer deze bestanden kunnen worden uitgevoerd, kan een aanvaller de WordPress-installatie compromitteren. Alle versies tot en met 2.34.10 zijn kwetsbaar. De ontwikkelaar heeft het probleem verholpen in versie 2.34.11.

Wat zijn de mogelijke gevolgen?

Wanneer een aanvaller erin slaagt kwaadaardige PHP-bestanden te uploaden en uit te voeren, kan dit ernstige gevolgen hebben.

Denk hierbij aan het aanpassen van websitebestanden, het plaatsen van webshells, het uitlezen van configuratiegegevens of het verkrijgen van toegang tot de WordPress-database.

Ook kunnen aanvallers proberen extra administratoraccounts aan te maken of de website te gebruiken voor het verspreiden van malware.

De daadwerkelijke impact is afhankelijk van de serverconfiguratie, bestandsrechten en de aanwezige beveiligingsmaatregelen.

Wordt de kwetsbaarheid actief misbruikt?

Op 15 oktober 2026 is de kwetsbaarheid publiekelijk gedocumenteerd door Wordfence.

Er is op het moment van deze publicatie geen onafhankelijk bevestigde informatie beschikbaar waaruit blijkt dat CVE-2026-108587 op grote schaal actief wordt misbruikt.

De technische ernst van de kwetsbaarheid maakt het desondanks noodzakelijk om de beveiligingsupdate met hoge prioriteit te installeren.

Wat moeten WordPress-beheerders doen?

1. Controleer of de plugin 10Web Booster op de website is geïnstalleerd.
2. Werk kwetsbare installaties onmiddellijk bij naar versie 2.34.11 of nieuwer.
3. Controleer de WordPress-uploads-directory op onbekende PHP-bestanden.
4. Controleer of er onverwachte administratoraccounts zijn aangemaakt.
5. Onderzoek recente toegangslogs op verdachte verzoeken naar WordPress REST API-endpoints en optimalisatiebestanden.
6. Controleer of PHP-uitvoering in uploaddirectories correct wordt beperkt.

Wanneer aanwijzingen voor compromittering worden gevonden, is alleen het installeren van de update onvoldoende. In dat geval moet ook worden onderzocht welke bestanden, gebruikersaccounts en gegevens mogelijk zijn gewijzigd.

Extra aandacht voor hostingbeheerders

Voor hostingproviders en serverbeheerders is het verstandig om WordPress-installaties gericht te controleren op kwetsbare versies van 10Web Booster.

Daarnaast verdienen verdachte PHP-bestanden in uploaddirectories, onverwachte wijzigingen in WordPress-bestanden en afwijkende webserverlogs extra aandacht.

Een webapplication firewall kan aanvullende bescherming bieden, maar vervangt het installeren van de beveiligingsupdate niet.

Managed hosting bij Vservs

Een goed beveiligde WordPress-website begint bij tijdige software-updates en een zorgvuldig beheerde hostingomgeving.

Vservs ondersteunt bedrijven en ontwikkelaars met professionele serveromgevingen, monitoring, beveiligingsupdates op serverniveau en aanvullende beveiligingsmaatregelen.

Meer informatie over onze oplossingen vind je op de pagina Managed VPS Hosting bij Vservs.

Conclusie

CVE-2026-108587 vormt een ernstig beveiligingsrisico voor WordPress-websites die kwetsbare versies van 10Web Booster gebruiken.

Beheerders wordt dringend geadviseerd om versie 2.34.11 of nieuwer te installeren en hun website te controleren op aanwijzingen voor eerdere ongeautoriseerde toegang.

Bronnen

• Wordfence Intelligence – CVE-2026-108587
• WordPress.org – 10Web Booster en changelog

The Events Calendar CVE-2026-95606 is een kritieke beveiligingskwetsbaarheid in de populaire WordPress-plugin The Events Calendar. Het beveiligingsprobleem maakt PHP Object Injection mogelijk zonder authenticatie en heeft een CVSS-score van 9.8. Alle pluginversies tot en met 6.17.4 zijn kwetsbaar. De ontwikkelaar heeft het probleem verholpen in versie 6.17.4.1.

The Events Calendar wordt gebruikt op meer dan 600.000 WordPress-websites. Organisaties die de plugin gebruiken, wordt geadviseerd onmiddellijk te controleren of een veilige versie is geïnstalleerd.

Wat is CVE-2026-95606?

CVE-2026-95606 betreft een kwetsbaarheid in de verwerking van niet-vertrouwde geserialiseerde gegevens.

Dit type beveiligingsprobleem wordt aangeduid als PHP Object Injection.

Bij PHP Object Injection kan een aanvaller invloed uitoefenen op objecten die door de applicatie worden aangemaakt of verwerkt.

Wanneer dergelijke objecten onveilig worden verwerkt, kunnen bepaalde functies onbedoeld worden uitgevoerd.

Hoe gevaarlijk is deze kwetsbaarheid?

Patchstack kent de kwetsbaarheid een CVSS-score van 9.8 toe.

Het beveiligingsprobleem kan zonder authenticatie worden aangesproken.

De mogelijke gevolgen zijn afhankelijk van de overige software die op de WordPress-website is geïnstalleerd.

Volgens de beschikbare kwetsbaarheidsinformatie bevat The Events Calendar zelf geen bekende bruikbare PHP Object Injection-gadgetketen.

Wanneer een andere geïnstalleerde plugin of een thema wel een bruikbare gadgetketen beschikbaar stelt, kan misbruik mogelijk leiden tot:

• Het uitlezen van gevoelige bestanden.
• Het verwijderen of manipuleren van bestanden.
• Het uitvoeren van ongewenste applicatiehandelingen.
• Onder bepaalde omstandigheden Remote Code Execution.
• Verdere compromittering van de WordPress-installatie.

Het is daarom belangrijk om de kwetsbaarheid niet uitsluitend op basis van de gebruikte kalenderfunctionaliteit te beoordelen.

Welke versies zijn kwetsbaar?

• Getroffen: The Events Calendar versie 6.17.4 en ouder.
• Eerste veilige versie: 6.17.4.1.
• Aanbevolen: update naar de nieuwste compatibele versie, momenteel 6.18.1.
• CVE: CVE-2026-95606.
• CVSS: 9.8 – kritiek.
• Authenticatie: niet vereist.

De ontwikkelaar heeft de beveiliging van de verwerking van gekopieerde widgetgegevens aangescherpt.

Wordt CVE-2026-95606 actief misbruikt?

Op 14 oktober 2026 is geen betrouwbare bevestiging aangetroffen dat deze specifieke kwetsbaarheid actief wordt misbruikt bij aanvallen op WordPress-websites.

Het ontbreken van bevestigde aanvallen betekent echter niet dat uitstel van beveiligingsupdates verstandig is.

De kwetsbaarheid is publiek bekend en er is een beveiligingsupdate beschikbaar.

Wat moeten websitebeheerders doen?

1. Controleer of The Events Calendar op de website is geïnstalleerd.
2. Controleer welke pluginversie momenteel actief is.
3. Werk de plugin bij naar minimaal versie 6.17.4.1.
4. Installeer bij voorkeur de nieuwste compatibele versie.
5. Controleer na de update of kalenderpagina’s, evenementen en gekoppelde extensies correct functioneren.
6. Controleer ook andere plugins en het actieve thema op bekende kwetsbaarheden.

Wanneer bijwerken niet onmiddellijk mogelijk is, kan de plugin tijdelijk worden uitgeschakeld totdat een veilige versie geïnstalleerd kan worden.

Controleer op mogelijke compromittering

Omdat de kwetsbaarheid verband houdt met de verwerking van geserialiseerde PHP-objecten, kunnen beheerders serverlogs onderzoeken op opvallende verzoeken met ongebruikelijke geserialiseerde gegevens.

Let daarnaast op:

• Onverwachte wijzigingen aan PHP-bestanden.
• Onbekende WordPress-gebruikers met administratieve rechten.
• Verdachte bestanden in schrijfbare directories.
• Ongebruikelijke serverprocessen.
• Onverklaarbare uitgaande netwerkverbindingen.
• Afwijkingen in WordPress- en serverlogs.

Deze controles zijn algemeen van aard. Er zijn geen specifieke, bevestigde indicatoren van actieve exploitatie vastgesteld die iedere aanval op CVE-2026-95606 herkenbaar maken.

Professioneel WordPress-serverbeheer

Veel WordPress-beveiligingsproblemen ontstaan in plugins en thema’s. De impact daarvan kan toenemen wanneer meerdere kwetsbare onderdelen op dezelfde website aanwezig zijn.

Daarom is het belangrijk om niet alleen de WordPress-installatie, maar ook de onderliggende serveromgeving zorgvuldig te onderhouden.

Met Managed VPS-hosting van Vservs beschikken organisaties over een professioneel beheerde hostingomgeving waarin serverbeveiliging, stabiliteit en prestaties centraal staan.

Bronnen

• Patchstack – CVE-2026-95606
• CVE.org – CVE-2026-95606
• WordPress.org – The Events Calendar

Hoe controleer je of The Events Calendar kwetsbaar is?

Beheerders kunnen eenvoudig controleren of hun WordPress-installatie getroffen is door The Events Calendar CVE-2026-95606. De belangrijkste controle is het vaststellen van de geïnstalleerde pluginversie.

Log hiervoor in op het WordPress-dashboard en open het onderdeel Plugins. Zoek The Events Calendar en controleer het versienummer. Wanneer versie 6.17.4 of ouder is geïnstalleerd, moet de plugin worden bijgewerkt.

Serverbeheerders met SSH-toegang kunnen de geïnstalleerde versie ook controleren via WP-CLI:

wp plugin get the-events-calendar --field=version

Voor het bijwerken van de plugin kan het volgende commando worden gebruikt:

wp plugin update the-events-calendar

Controleer na het uitvoeren van de update opnieuw het versienummer. Gebruik minimaal versie 6.17.4.1, maar bij voorkeur de nieuwste compatibele release.

Het is daarnaast verstandig om de overige WordPress-plugins en thema’s te controleren. PHP Object Injection kan extra risico’s opleveren wanneer andere geïnstalleerde componenten kwetsbare functies beschikbaar stellen.

Een beveiligingsupdate voorkomt nieuwe aanvallen via de verholpen kwetsbaarheid, maar verwijdert niet automatisch eventuele achterdeuren of schadelijke bestanden die eerder zijn geplaatst.

Click to Chat CVE-2026-92097 is een beveiligingskwetsbaarheid in de populaire WordPress-plugin Click to Chat – HoliThemes. Door onvoldoende filtering kunnen aanvallers zonder authenticatie ongeautoriseerd WordPress-shortcodes uitvoeren. De kwetsbaarheid treft pluginversies tot en met 4.44. Meer dan 600.000 WordPress-websites gebruiken deze plugin. Versie 4.45 verhelpt het beveiligingsprobleem.

De ontwikkelaar heeft het probleem verholpen in versie 4.45. Websitebeheerders wordt geadviseerd hun installatie zo snel mogelijk bij te werken.

Wat is CVE-2026-92097?

Click to Chat is een WordPress-plugin waarmee bezoekers eenvoudig via WhatsApp contact kunnen opnemen met een bedrijf of websitebeheerder.

De plugin ondersteunt onder meer interactieve welkomstvensters en dynamische berichten waarin gegevens van de huidige webpagina worden verwerkt.

Onderzoekers ontdekten dat deze verwerking onvoldoende bescherming bood tegen ongewenste WordPress-shortcodes.

Het probleem bevindt zich onder meer in de verwerking van de variabele {url} binnen bepaalde welkomstvensters.

Hoe werkt de kwetsbaarheid?

De kwetsbaarheid ontstaat doordat de plugin gegevens uit de aangevraagde URL verwerkt en deze vervolgens door de WordPress-functie do_shortcode() laat interpreteren.

De functie is bedoeld om geregistreerde WordPress-shortcodes uit te voeren.

Door onvoldoende filtering kunnen aanvallers onder bepaalde omstandigheden zelf aangeleverde shortcode-instructies laten verwerken.

Volgens Wordfence kan deze aanval zonder authenticatie plaatsvinden.

De kwetsbaarheid heeft betrekking op de verwerking van de URL binnen de Greetings-1- en Greetings-2-templates.

Wat zijn de mogelijke gevolgen?

De directe impact bestaat uit ongeautoriseerde uitvoering van geregistreerde WordPress-shortcodes.

De gevolgen zijn afhankelijk van de shortcodes die op de betreffende website beschikbaar zijn.

Wanneer andere plugins of thema’s krachtige shortcodes registreren, kan dit onder bepaalde omstandigheden leiden tot:

• Ongeautoriseerde uitvoering van applicatiefuncties.
• Onbedoelde openbaarmaking van gegevens.
• Manipulatie van websitefunctionaliteit.
• Misbruik van kwetsbare of onvoldoende beveiligde shortcodes uit andere extensies.

Het beveiligingsprobleem betekent niet automatisch dat iedere getroffen installatie kwetsbaar is voor directe uitvoering van willekeurige PHP-code.

Welke versies zijn kwetsbaar?

• Getroffen: Click to Chat versie 4.44 en ouder.
• Veilige versie: Click to Chat 4.45 of nieuwer.
• CVE: CVE-2026-92097.
• Ernst: Wordfence CVSS 9.1; Patchstack CVSS 5.3.
• Authenticatie: niet vereist.

De verschillende ernstscores weerspiegelen een verschil in beoordeling van de mogelijke gevolgen.

Wordt de kwetsbaarheid actief misbruikt?

Op 14 oktober 2026 is geen ondubbelzinnige bevestiging aangetroffen dat CVE-2026-92097 actief wordt misbruikt bij aanvallen op WordPress-websites.

Wel zijn de technische details openbaar en is een beveiligingsupdate beschikbaar.

Vanwege het grote aantal installaties is tijdig bijwerken verstandig.

Wat moeten WordPress-beheerders doen?

1. Controleer of Click to Chat – HoliThemes op de website is geïnstalleerd.
2. Controleer de actieve pluginversie.
3. Update onmiddellijk naar versie 4.45 of nieuwer.
4. Controleer na de update of de WhatsApp-knoppen en welkomstvensters correct functioneren.
5. Controleer of overige plugins en thema’s eveneens actueel zijn.
6. Schakel ongebruikte shortcodes en functionaliteit waar mogelijk uit.

Wanneer de update niet direct kan worden uitgevoerd, kan het tijdelijk uitschakelen van de kwetsbare plugin de aanvalsmogelijkheid wegnemen.

Controleer op verdachte activiteit

Beheerders kunnen serverlogs controleren op ongebruikelijke aanvragen naar archiefpagina’s en URL’s met onverwachte shortcode-achtige inhoud.

Let bijvoorbeeld op ongebruikelijke URL-encoding, vierkante haken in onverwachte contexten en verzoeken die afwijkende applicatiefunctionaliteit activeren.

Controleer daarnaast op onbekende gebruikersaccounts, gewijzigde instellingen en onverwachte wijzigingen aan websitebestanden.

Deze signalen vormen op zichzelf geen bewijs van exploitatie, maar kunnen aanleiding zijn voor nader onderzoek.

WordPress-beveiliging en Managed Hosting

Kwetsbaarheden in veelgebruikte WordPress-plugins onderstrepen het belang van zorgvuldig updatebeheer.

Naast WordPress en plugins moet ook de onderliggende hostingomgeving goed worden beveiligd en onderhouden.

Vservs biedt Managed VPS-hosting voor organisaties die behoefte hebben aan professioneel serverbeheer, beveiligingsupdates en een stabiele hostingomgeving.

Bronnen

• Wordfence Intelligence – CVE-2026-92097
• Patchstack – Click to Chat vulnerability
• WordPress.org – Click to Chat

Hoe controleer je of Click to Chat kwetsbaar is?

Websitebeheerders kunnen eenvoudig controleren of hun WordPress-installatie getroffen is door Click to Chat CVE-2026-92097. Hiervoor moet eerst de geïnstalleerde pluginversie worden vastgesteld.

Open het WordPress-dashboard en ga naar Plugins. Zoek naar Click to Chat – HoliThemes en controleer het versienummer.

Wanneer versie 4.44 of ouder is geïnstalleerd, moet de plugin worden bijgewerkt naar minimaal versie 4.45.

Serverbeheerders met SSH-toegang kunnen de geïnstalleerde versie ook controleren via WP-CLI:

wp plugin get click-to-chat-for-whatsapp --field=version

De plugin kan vervolgens worden bijgewerkt met:

wp plugin update click-to-chat-for-whatsapp

Controleer na de update of de WhatsApp-knoppen, welkomstvensters en vooraf ingevulde berichten correct functioneren.

Wanneer is een WordPress-website daadwerkelijk kwetsbaar?

De kwetsbaarheid heeft specifiek betrekking op de verwerking van de URL-placeholder binnen bepaalde welkomstvensters van Click to Chat.

Wanneer een kwetsbare pluginversie wordt gebruikt in combinatie met de betreffende welkomstvensters en URL-verwerking, kunnen aanvallers proberen ongeautoriseerde shortcodes uit te voeren.

De gevolgen zijn afhankelijk van de shortcodes die door WordPress, het actieve thema en andere geïnstalleerde plugins beschikbaar worden gesteld.

Het uitschakelen van de betreffende welkomstvensters of het verwijderen van de URL-placeholder kan de aanvalsmogelijkheid tijdelijk beperken. Dit is echter geen vervanging voor het installeren van de beveiligingsupdate.

Advies van Vservs: installeer versie 4.45 of nieuwer en controleer tegelijkertijd of andere WordPress-plugins en thema’s volledig zijn bijgewerkt.