Auteur: Vincent Zeilmaker – Vservs B.V.

De GiveWP kwetsbaarheid CVE-2026-104405 maakt privilege-escalatie mogelijk zonder dat een aanvaller vooraf over een WordPress-account hoeft te beschikken. De kwetsbaarheid treft GiveWP-versies tot en met 4.17.0 en heeft een CVSS-score van 8,1 High.

De beveiligingscorrectie is opgenomen in GiveWP 4.18.0. Op het moment van deze publicatie is via WordPress.org inmiddels een nog nieuwere 4.18.0.x-release beschikbaar. Vservs adviseert daarom de meest recente stabiele GiveWP-versie te installeren.

Wat is de GiveWP kwetsbaarheid CVE-2026-104405?

CVE-2026-104405 betreft een unauthenticated privilege escalation in GiveWP, een WordPress-plugin voor donaties en fondsenwerving.

De kwetsbaarheid is geclassificeerd als CWE-266: Incorrect Privilege Assignment. Dit betekent dat de software onder bepaalde omstandigheden onjuiste of te hoge rechten aan een actor kan toekennen.

Het officiële CVE-record vermeldt:

• Attack Vector: Network;
• Attack Complexity: High;
• Privileges Required: None;
• User Interaction: None;
• Confidentiality Impact: High;
• Integrity Impact: High;
• Availability Impact: High.

De totale CVSS 3.1-score bedraagt 8,1.

Welke GiveWP-versies zijn kwetsbaar?

• GiveWP 4.17.0 en ouder – kwetsbaar
• GiveWP 4.18.0 en nieuwer – niet kwetsbaar volgens het CVE-record

Omdat inmiddels nieuwere 4.18.0.x-releases beschikbaar zijn, adviseert Vservs niet om bewust op de minimale fixversie te blijven staan maar om de actuele stabiele GiveWP-release te installeren.

Meer dan 100.000 WordPress-websites gebruiken GiveWP

Volgens WordPress.org heeft GiveWP meer dan 100.000 actieve installaties.

GiveWP wordt veel gebruikt door goede doelen, stichtingen, verenigingen en andere organisaties voor het verwerken van donaties en donorinformatie. Een privilege-escalatie in deze plugin is daardoor extra relevant voor websites waarop persoonsgegevens of financiële administratie aanwezig zijn.

Wat kan privilege-escalatie betekenen?

Privilege-escalatie betekent dat een aanvaller rechten kan verkrijgen die volgens het normale autorisatiemodel niet beschikbaar zouden mogen zijn.

De publiek beschikbare CVE-informatie beschrijft op dit moment niet volledig welke interne GiveWP-functie wordt misbruikt of welk exact WordPress-rechtenniveau bij iedere succesvolle exploitatie wordt bereikt.

Het is daarom belangrijk niet verder te gaan dan wat technisch is bevestigd.

Wel geeft de officiële CVSS-vector een hoge mogelijke impact op vertrouwelijkheid, integriteit en beschikbaarheid aan. Een succesvolle privilege-escalatie moet daarom als een potentieel ernstig beveiligingsincident worden behandeld.

Geen WordPress-account vereist

Voor CVE-2026-104405 is volgens het officiële CVE-record geen vooraf bestaande gebruikersaccount vereist.

Ook is geen interactie van een WordPress-gebruiker nodig.

De aanval heeft wel een hoge attack complexity. Dat betekent dat voor succesvolle exploitatie aanvullende omstandigheden of een specifieke request-flow nodig kunnen zijn. Het exacte technische exploitpad is op het moment van deze publicatie niet volledig openbaar gedocumenteerd.

Wordt CVE-2026-104405 actief misbruikt?

Op het moment van publicatie is geen actieve exploitatie van CVE-2026-104405 bevestigd.

Er is eveneens geen betrouwbaar publiek proof-of-concept aangetroffen en de kwetsbaarheid staat niet in de CISA Known Exploited Vulnerabilities Catalog.

De CISA SSVC-data bij het CVE-record vermeldt momenteel eveneens dat geen exploitatie is waargenomen.

Door het ontbreken van authenticatie, de hoge potentiële impact en de grote installed base van GiveWP is uitstel van de beschikbare update desondanks niet verstandig.

Wat moeten GiveWP-gebruikers doen?

1. controleer welke GiveWP-versie op de WordPress-website actief is;
2. update GiveWP minimaal naar versie 4.18.0;
3. installeer bij voorkeur de meest recente stabiele GiveWP-release;
4. controleer na de update of de correcte versie daadwerkelijk actief is;
5. verwijder oude of ongebruikte GiveWP-componenten en add-ons wanneer deze niet meer nodig zijn;
6. controleer WordPress-gebruikers en gebruikersrollen op onverwachte wijzigingen;
7. controleer security- en webserverlogs op afwijkende activiteit.

Controle op mogelijke compromittering

Websites waarop GiveWP 4.17.0 of ouder publiek bereikbaar was, kunnen aanvullend worden gecontroleerd op tekenen van ongeautoriseerde privilegewijzigingen.

Let onder andere op:

• nieuwe of onbekende WordPress-gebruikers;
• bestaande gebruikers die onverwacht Administrator- of andere verhoogde rechten hebben gekregen;
• administratorlogins vanaf onbekende IP-adressen;
• onverklaarbare wijzigingen in GiveWP-instellingen;
• onverwachte exports of toegang tot donorinformatie;
• onbekende plugins of themes;
• recent toegevoegde PHP-bestanden of wijzigingen in WordPress-bestanden;
• afwijkende requests naar GiveWP-endpoints in webserver- of WAF-logs.

Omdat de precieze exploitdetails niet volledig openbaar zijn, is het op dit moment niet verantwoord één specifiek HTTP-request als definitieve indicator van CVE-2026-104405 te presenteren.

Wat te doen bij verdachte privilegewijzigingen?

Wanneer onverwachte administratoraccounts, rechtenwijzigingen of andere aanwijzingen voor compromittering worden aangetroffen, moet niet alleen GiveWP worden bijgewerkt.

Controleer in dat geval ook WordPress Core, plugins, themes, must-use plugins, database en beschikbare logbestanden.

Wijzig relevante administratorwachtwoorden en andere credentials vanuit een vertrouwde omgeving nadat de website is onderzocht en opgeschoond. Vernieuw daarnaast de WordPress authentication salts wanneer een beheerderssessie of account mogelijk is gecompromitteerd.

Omdat GiveWP donorinformatie kan verwerken, moet bij bevestigde ongeautoriseerde toegang tevens worden beoordeeld of persoonsgegevens zijn ingezien en of aanvullende AVG-maatregelen noodzakelijk zijn.

Managed WordPress Hosting bij Vservs

WordPress-beveiliging vereist continue controle van WordPress Core, plugins en themes. Vooral veelgebruikte plugins kunnen kort na de publicatie van een kwetsbaarheid aantrekkelijk worden voor geautomatiseerde aanvallen.

Met Vservs Managed WordPress Hosting verzorgen wij onder andere updates, security hardening, monitoring, malwarecontrole, back-ups en technisch WordPress-beheer.

Samenvatting

• Plugin: GiveWP
• CVE: CVE-2026-104405
• Type: privilege-escalatie
• CWE: CWE-266 – Incorrect Privilege Assignment
• CVSS: 8,1 – High
• Kwetsbare versies: GiveWP 4.17.0 en ouder
• Gepatcht: GiveWP 4.18.0 of nieuwer
• Actieve installaties: 100.000+
• Authenticatie vereist: nee
• Gebruikersinteractie vereist: nee
• Attack complexity: High
• Actieve exploitatie: niet bevestigd
• Advies: direct naar de actuele stabiele GiveWP-versie bijwerken

Bronnen

• CVE Program – CVE-2026-104405
• NIST NVD – CVE-2026-104405
• Patchstack – GiveWP privilege escalation CVE-2026-104405
• WordPress.org – GiveWP Donation Plugin and Fundraising Platform

Een Ninja Forms kwetsbaarheid en een beveiligingslek in WPC Product Bundles for WooCommerce worden actief misbruikt om WordPress-websites over te nemen. Beveiligingsonderzoekers van Patchstack hebben een aanvalscampagne waargenomen waarbij stored cross-site scripting wordt gebruikt om via de actieve sessie van een WordPress-beheerder kwaadaardige plugins, administratoraccounts en meerdere backdoors te installeren.

De aanvallen richten zich op CVE-2026-94504 in Ninja Forms en CVE-2026-93836 in WPC Product Bundles for WooCommerce. De kwetsbaarheden zijn afzonderlijk gepatcht, maar websites waarop de aanval al succesvol is uitgevoerd moeten aanvullend op compromittering worden onderzocht.

Welke WordPress-plugins worden aangevallen?

Patchstack heeft actieve exploitatie bevestigd van de volgende twee kwetsbaarheden:

• Ninja Forms – CVE-2026-94504: versies tot en met 3.15.3 zijn kwetsbaar; versie 3.15.4 bevat de fix.
• WPC Product Bundles for WooCommerce – CVE-2026-93836: versies tot en met 8.6.6 zijn kwetsbaar; versie 8.6.7 bevat de fix.

Beide kwetsbaarheden betreffen stored cross-site scripting en hebben een CVSS-score van 7,1.

Ninja Forms wordt op meer dan 500.000 WordPress-websites gebruikt. WPC Product Bundles for WooCommerce heeft meer dan 30.000 actieve installaties.

Hoe werkt de aanval?

De aanval begint met gegevens die zonder WordPress-login naar de kwetsbare plugin kunnen worden gestuurd.

Bij WPC Product Bundles wordt de kwaadaardige JavaScript-code opgeslagen in WooCommerce-ordergegevens. Bij Ninja Forms wordt de code via een normale formulierinzending opgeslagen.

De code wordt niet noodzakelijk direct uitgevoerd. De aanval wacht totdat een ingelogde WordPress-beheerder de betreffende WooCommerce-order of Ninja Forms-inzending opent.

Op dat moment draait de opgeslagen JavaScript-code binnen de beveiligingscontext van de WordPress-beheeromgeving.

De aanvaller misbruikt de bestaande administratorsessie

De malware hoeft het WordPress-wachtwoord of de sessiecookie van de beheerder niet te stelen.

Omdat de JavaScript-code binnen het eigen WordPress-domein wordt uitgevoerd, worden requests naar wp-admin automatisch met de reeds aangemelde administratorsessie uitgevoerd.

De aanval gebruikt die sessie om onder andere WordPress-nonces op te vragen en normale administratieve WordPress-functies aan te roepen.

Volgens de analyse van Patchstack kan de aanval vervolgens:

• een kwaadaardige WordPress-plugin installeren;
• een zichtbaar administratoraccount aanmaken;
• een tweede administratoraccount aanmaken dat uit de WordPress-gebruikerslijst wordt verborgen;
• een geheime loginroute installeren;
• een onbeveiligde file manager installeren;
• aanvullende persistence via must-use plugins aanbrengen.

Kwaadaardige plugin doet zich voor als WP Smart Thumbnails

De campagne installeert een plugin met de naam WP Smart Thumbnails, versie 1.2.4, zogenaamd ontwikkeld door “MediaPress Labs”.

De plugin wordt geplaatst onder:

/wp-content/plugins/wp-smart-thumbnails/

Patchstack heeft vastgesteld dat deze plugin geen legitieme thumbnailfunctionaliteit bevat, maar onder andere een dropper, persistence-installer en onbeveiligde file manager.

Verborgen administrator is niet zichtbaar in wp-admin

Een belangrijk onderdeel van deze campagne is dat de aanvaller een WordPress-administrator kan creëren die bewust uit de normale gebruikerslijst wordt verborgen.

Daarvoor worden onder andere must-use plugins aangemaakt onder:

/wp-content/mu-plugins/class-wp-query-*.php

en:

/wp-content/mu-plugins/class-wp-token-validate.php

Deze code manipuleert de WordPress-gebruikersquery zodat het kwaadaardige administratoraccount niet zichtbaar is onder Gebruikers → Alle gebruikers en ook niet wordt meegerekend in de weergegeven aantallen.

Alleen de gebruikerslijst in wp-admin bekijken is daardoor onvoldoende om deze compromittering uit te sluiten.

Geheime WordPress-login blijft bestaan

De malware kan daarnaast een geheime loginroute creëren via:

/wp-login.php?_wplogin=<token>

Hiermee kan een aanvaller zonder normaal loginproces een WordPress-sessie verkrijgen als een bestaand administratoraccount.

De bijbehorende tokens worden opgeslagen in de WordPress-optie:

fz_emer_login_tokens

Het verwijderen of updaten van Ninja Forms of WPC Product Bundles verwijdert deze persistence niet automatisch.

Actieve exploitatie bevestigd

Dit is geen theoretische kwetsbaarheid waarvoor alleen een proof-of-concept beschikbaar is.

Patchstack heeft daadwerkelijke exploitatie waargenomen:

• 4 oktober 2026: eerste waargenomen aanvallen via CVE-2026-93836 in WPC Product Bundles;
• 5 oktober 2026: dezelfde payload waargenomen via CVE-2026-94504 in Ninja Forms.

In beide gevallen werd JavaScript geladen vanaf dezelfde aanvallersinfrastructuur op imgcdn1.com.

Patchstack beschrijft de omvang van de momenteel waargenomen exploitatie nog als beperkt, maar heeft actieve aanvallen ondubbelzinnig bevestigd.

Welke versies moeten worden geïnstalleerd?

• Ninja Forms: update naar versie 3.15.4 of nieuwer.
• WPC Product Bundles for WooCommerce: update naar versie 8.6.7 of nieuwer.

Installeer bij voorkeur altijd de meest recente stabiele versie die door de leverancier wordt aangeboden.

Alleen updaten is bij een getroffen website niet voldoende

Een update voorkomt nieuwe exploitatie via de betreffende kwetsbaarheid, maar verwijdert geen backdoors die al tijdens een eerdere succesvolle aanval zijn geïnstalleerd.

Websites die een kwetsbare versie hebben gebruikt en waarop beheerders WooCommerce-orders of Ninja Forms-inzendingen hebben bekeken, moeten daarom ook op indicatoren van compromittering worden gecontroleerd.

Controleer op deze indicatoren

Controleer in ieder geval op de volgende bestanden en paden:

• /wp-content/plugins/wp-smart-thumbnails/
• /wp-content/plugins/wp-smart-thumbnails/wp-smart-thumbnails.php
• /wp-content/plugins/wp-smart-thumbnails/emer-run.php
• /wp-content/mu-plugins/class-wp-token-validate.php
• /wp-content/mu-plugins/class-wp-query-*.php

Controleer daarnaast de WordPress-database op de opties:

• fz_emer_done_v1
• fz_emer_login_tokens

Doorzoek webserver- en securitylogs naar onder andere:

• imgcdn1.com
• /fz/x.js
• /fz/c.php
• _wplogin in requests naar wp-login.php.

Controleer administratoraccounts rechtstreeks in de database

Omdat de malware administratoraccounts uit wp-admin kan verbergen, moet bij een concrete verdenking ook de WordPress-database rechtstreeks worden gecontroleerd.

Controleer welke gebruikers daadwerkelijk administratorrechten hebben en vergelijk dit met de accounts die zichtbaar zijn in de WordPress-beheeromgeving.

Extra verdacht zijn onbekende accounts met algemene namen zoals support, updater, maintenance of backup, zeker wanneer daarbij een ongebruikelijk @wordpress.org-adres is geregistreerd.

Let niet alleen op recent gewijzigde bestanden

Bij deze campagne worden kwaadaardige bestanden bewust voorzien van oude wijzigingsdatums.

De malware zoekt naar oude bestanden binnen de WordPress-installatie en gebruikt die datum vervolgens voor de nieuw aangemaakte backdoorbestanden.

Een controle waarbij alleen wordt gezocht naar bestanden die in de afgelopen dagen zijn gewijzigd, kan deze malware daarom missen.

Wat doen bij bevestigde compromittering?

Wanneer een van de beschreven indicatoren wordt aangetroffen, moet de website als mogelijk volledig gecompromitteerd worden beschouwd.

Vservs adviseert dan minimaal:

1. de getroffen website tijdelijk af te schermen wanneer dit nodig is om verdere schade te voorkomen;
2. Ninja Forms en/of WPC Product Bundles naar een veilige versie bij te werken;
3. ongeautoriseerde plugins en must-use plugins te verwijderen;
4. alle administratoraccounts rechtstreeks via database en WordPress te controleren;
5. de kwaadaardige WordPress-opties en persistence-mechanismen te verwijderen;
6. WordPress Core, plugins en themes op integriteit te controleren;
7. administratorwachtwoorden en andere bevoorrechte credentials te wijzigen;
8. WordPress authentication salts opnieuw te genereren;
9. API-keys en andere secrets te roteren wanneer er aanleiding is om aan te nemen dat deze toegankelijk waren;
10. webserver-, PHP-, database- en securitylogs te bewaren en te onderzoeken.

Herstel bij voorkeur vanuit een aantoonbaar schone situatie wanneer de omvang van de compromittering niet betrouwbaar kan worden vastgesteld.

Managed WordPress Hosting bij Vservs

Kwetsbaarheden zoals deze laten zien waarom uitsluitend automatisch updaten niet voldoende is voor bedrijfskritische WordPress-websites. Bij actieve exploitatie zijn monitoring, logging, malwarecontrole en incidentonderzoek minstens zo belangrijk.

Met Vservs Managed WordPress Hosting verzorgen wij technisch WordPress-beheer, security hardening, monitoring, updates, malwarecontrole en back-ups.

Samenvatting

• Ninja Forms CVE: CVE-2026-94504
• Ninja Forms kwetsbaar: tot en met 3.15.3
• Ninja Forms veilig: 3.15.4 of nieuwer
• WPC Product Bundles CVE: CVE-2026-93836
• WPC Product Bundles kwetsbaar: tot en met 8.6.6
• WPC Product Bundles veilig: 8.6.7 of nieuwer
• Type: stored cross-site scripting
• CVSS: 7,1
• Authenticatie voor initiële injectie: niet vereist
• Uitvoering: wanneer een ingelogde beheerder de geïnjecteerde gegevens bekijkt
• Actieve exploitatie: bevestigd
• Mogelijke impact: administratoraccounts, backdoors, verborgen persistence en file manager
• Advies: direct updaten én kwetsbaar blootgestelde websites op compromittering controleren

Bronnen

• Patchstack – Four ways back in: the WordPress XSS campaign that hides its own admin account
• Patchstack – CVE-2026-94504
• Patchstack – CVE-2026-93836
• BleepingComputer – Ninja Forms plugin flaw exploited to hack WordPress sites

De WordPress 7.1.3 security update verhelpt zeven beveiligingskwetsbaarheden in WordPress Core, waaronder stored cross-site scripting, een second-order SQL-injection, een denial-of-serviceprobleem en een informatielek zonder authenticatie. WordPress heeft versie 7.1.3 op 6 oktober 2026 uitgebracht en adviseert websitebeheerders om direct bij te werken.

Naast de zeven securityfixes bevat WordPress 7.1.3 vier reguliere bugfixes. Een van de beveiligingsproblemen wordt inmiddels gevolgd als CVE-2026-66666 en maakt het mogelijk om zonder WordPress-account reacties op private en nog niet gepubliceerde berichten op te vragen.

Welke beveiligingsproblemen verhelpt WordPress 7.1.3?

Volgens het officiële WordPress Security Team bevat WordPress 7.1.3 oplossingen voor zeven afzonderlijke beveiligingsproblemen:

• stored cross-site scripting op de Comments-beheerpagina via pending comments;
• een denial-of-serviceprobleem in WP_Http::make_absolute_url();
• een second-order SQL-injection in de WordPress WXR-exportfunctie;
• een authorization-probleem waardoor gebruikers met de Author-rol berichten sticky konden maken;
• ongeauthenticeerde openbaarmaking van reacties op private en ongepubliceerde berichten;
• cross-site scripting via Imgur-embeds;
• manipuleerbare parameters voor de {status}_{type}-hook die tot een action-name collision kunnen leiden.

Niet ieder probleem heeft dezelfde aanvalsvector of impact. WordPress heeft daarom geen algemene CVSS-score voor de volledige 7.1.3-release gepubliceerd.

CVE-2026-66666: reacties op private berichten zonder login uitleesbaar

Voor een van de kwetsbaarheden is CVE-2026-66666 toegewezen. Hierbij kunnen reacties die behoren bij private of nog niet gepubliceerde WordPress-berichten onder bepaalde omstandigheden via een comment feed worden opgevraagd zonder authenticatie.

De kwetsbaarheid heeft een CVSS 4.0-score van 6,9 en wordt als Medium geclassificeerd.

Voor deze specifieke kwetsbaarheid zijn onder andere de volgende WordPress-versies getroffen:

• WordPress 7.1 tot en met 7.1.2;
• WordPress 7.0 tot en met 7.0.6;
• WordPress 6.9 tot en met 6.9.9;
• WordPress 6.8 tot en met 6.8.10;
• WordPress 6.7 tot en met 6.7.9;
• WordPress 6.6 tot en met 6.6.9.

Voor CVE-2026-66666 zijn respectievelijk WordPress 7.1.3, 7.0.7, 6.9.10, 6.8.11, 6.7.10 en 6.6.10 als niet-kwetsbare releases geregistreerd.

Vservs adviseert waar mogelijk rechtstreeks naar de actuele WordPress-versie 7.1.3 te gaan. WordPress benadrukt zelf dat alleen de meest recente WordPress-release actief wordt ondersteund.

Stored XSS via reacties

Een tweede belangrijk probleem betreft stored cross-site scripting op de WordPress Comments-beheerpagina.

Een aanvaller kan kwaadaardige inhoud opslaan in een pending comment. Wanneer een bevoegde WordPress-beheerder deze reactie vervolgens in de beheeromgeving bekijkt, kan de opgeslagen JavaScript-code binnen de context van de WordPress-beheeromgeving worden uitgevoerd.

Stored XSS is met name relevant omdat kwaadaardige invoer blijft opgeslagen totdat een beheerder deze bekijkt. De aanvaller hoeft daardoor niet noodzakelijk een beheerder naar een speciaal geprepareerde externe URL te lokken.

Second-order SQL-injection in WXR-export

WordPress 7.1.3 verhelpt daarnaast een second-order SQL-injection in de WordPress WXR-exportfunctionaliteit.

Bij een second-order SQL-injection wordt kwaadaardige invoer niet noodzakelijk direct als SQL uitgevoerd. De data wordt eerst opgeslagen en kan later, wanneer deze door een andere functie wordt verwerkt, in een onveilige databasequery terechtkomen.

Omdat het probleem zich binnen de exportfunctionaliteit bevindt, verschilt het aanvalspad van een traditionele rechtstreeks vanaf internet bereikbare SQL-injection.

Denial-of-service in WordPress HTTP-verwerking

Ook WP_Http::make_absolute_url() bevatte een beveiligingsprobleem waarmee een denial-of-service kan worden veroorzaakt.

De precieze impact hangt af van de manier waarop een WordPress-installatie de betreffende HTTP-functionaliteit gebruikt. Het probleem is in WordPress 7.1.3 opgelost.

WordPress 7.1.3 zo snel mogelijk installeren

WordPress classificeert 7.1.3 expliciet als een Maintenance and Security Release en adviseert beheerders om websites onmiddellijk bij te werken.

Vservs adviseert daarom:

1. maak of controleer een actuele back-up van website en database;
2. update WordPress Core naar versie 7.1.3 of een nieuwere beschikbare release;
3. controleer na de update of de juiste Core-versie daadwerkelijk actief is;
4. controleer tevens plugins en themes op beschikbare beveiligingsupdates;
5. test belangrijke website-, formulier- en webshopfunctionaliteit na de update.

WordPress-installaties controleren op verdachte activiteit

Een kwetsbare WordPress-versie betekent niet automatisch dat een website is aangevallen. Bij websites waarop WordPress 7.1.2 of ouder publiek bereikbaar was, kan een aanvullende controle echter verstandig zijn.

Let daarbij onder andere op:

• opvallende of ongebruikelijke pending comments;
• HTML- of JavaScript-constructies in reacties die daar functioneel niet thuishoren;
• ongebruikelijke requests naar comment feeds en private of ongepubliceerde content;
• onverwachte WordPress-exportactiviteiten;
• onverklaarbare pieken in PHP- of webserverbelasting;
• onverwachte wijzigingen aan berichten, gebruikers of gebruikersrollen;
• nieuwe of onbekende administratoraccounts;
• afwijkingen in webserver-, PHP- of securitylogs.

Het aantreffen van een afwijkend request is op zichzelf geen bewijs dat een kwetsbaarheid succesvol is misbruikt. Loggegevens en wijzigingen binnen WordPress moeten in samenhang worden beoordeeld.

Wordt WordPress 7.1.3 uitgebracht vanwege actieve aanvallen?

Op het moment van deze publicatie is er geen betrouwbare bevestiging dat de zeven in WordPress 7.1.3 opgeloste kwetsbaarheden als geheel actief op grote schaal worden misbruikt.

Voor CVE-2026-66666 vermeldt de CISA SSVC-beoordeling momenteel expliciet dat geen exploitatie is waargenomen. Deze CVE staat eveneens niet in de CISA Known Exploited Vulnerabilities Catalog.

Dat is geen reden om de update uit te stellen. De kwetsbaarheden zijn publiek bekend en de officiële beveiligingsupdate is beschikbaar.

Managed WordPress Hosting bij Vservs

WordPress Core is slechts één onderdeel van de beveiliging van een WordPress-omgeving. Plugins, themes, PHP, databaseconfiguratie, serverbeveiliging, monitoring en back-ups zijn minstens zo belangrijk.

Met Vservs Managed WordPress Hosting verzorgen wij onder andere WordPress Core-, plugin- en theme-updates, security hardening, monitoring, malwarecontrole en back-ups.

Samenvatting

• Product: WordPress Core
• Release: WordPress 7.1.3
• Publicatiedatum: 6 oktober 2026
• Securityfixes: 7
• Onder andere: stored XSS, second-order SQL-injection, DoS en informatielek
• CVE: onder andere CVE-2026-66666
• CVE-2026-66666 CVSS: 6,9 – Medium
• Actieve exploitatie: niet bevestigd
• Aanbevolen versie: WordPress 7.1.3 of nieuwer
• Advies: direct bijwerken

Bronnen

• WordPress.org – WordPress 7.1.3 Maintenance and Security Release
• WordPress.org – WordPress 7.1.3 documentation
• Patchstack – CVE-2026-66666
• CVE Program / CISA ADP – CVE-2026-66666

De WordPress File Upload kwetsbaarheid CVE-2026-62071 maakt SQL-injectie mogelijk zonder dat een aanvaller hoeft in te loggen. De kritieke beveiligingsfout treft de WordPress-plugin die tegenwoordig als Iptanus File Upload wordt uitgebracht en heeft een CVSS-score van 9,3.

De WordPress File Upload kwetsbaarheid treft versies tot en met 5.1.10. De beveiligingscorrectie is opgenomen in versie 5.2.0. Vservs adviseert gebruikers om direct naar versie 5.2.0 of een nieuwere beschikbare versie te updaten.

De plugin heeft volgens WordPress.org meer dan 10.000 actieve installaties.

Wat is de WordPress File Upload kwetsbaarheid CVE-2026-62071?

CVE-2026-62071 is een unauthenticated SQL Injection-kwetsbaarheid in WordPress File Upload.

De plugin wordt gebruikt om bezoekers bestanden naar een WordPress-website te laten uploaden en biedt daarnaast functionaliteit voor het beheren van geüploade bestanden.

Volgens de officiële plugin-changelog bevond de beveiligingsfout zich in de verwerking van een upload identifier die niet volledig werd gesanitized voordat deze in een databasequery werd verwerkt.

Een externe aanvaller kan daardoor speciaal geprepareerde invoer gebruiken om de structuur van een SQL-query te beïnvloeden.

Welke versies zijn getroffen?

• WordPress File Upload / Iptanus File Upload 5.1.10 en ouder – kwetsbaar
• Versie 5.2.0 en nieuwer – beveiligingscorrectie aanwezig

De ontwikkelaar bevestigt in de changelog van versie 5.2.0 expliciet dat een SQL-injectieprobleem is verholpen in een upload identifier die onvoldoende werd gesanitized.

Geen WordPress-account nodig

Een belangrijk aspect van CVE-2026-62071 is dat voor exploitatie geen WordPress-account nodig is.

De CVSS-vector vermeldt:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L

Dit betekent onder andere:

• de aanval kan via het netwerk plaatsvinden;
• de attack complexity is laag;
• geen privileges zijn vereist;
• geen user interaction is vereist;
• de impact op vertrouwelijkheid is hoog.

Wat kan een SQL-injectie veroorzaken?

SQL-injectie ontstaat wanneer invoer van een gebruiker onvoldoende wordt gescheiden van een databasequery.

Een aanvaller kan hierdoor delen van een query beïnvloeden die normaal uitsluitend door de applicatie zelf zouden moeten worden bepaald.

Voor CVE-2026-62071 geeft de officiële CVSS-vector een hoge impact op vertrouwelijkheid, geen directe integriteitsimpact en een lage beschikbaarheidsimpact aan.

Het belangrijkste bevestigde risico is daarom het ongeautoriseerd uitlezen van gevoelige informatie uit de WordPress-database.

Afhankelijk van de database en website kunnen daar onder andere onder vallen:

• WordPress-gebruikersgegevens;
• wachtwoordhashes;
• e-mailadressen;
• websiteconfiguratie;
• plugininstellingen;
• WooCommerce- of formuliergegevens indien deze zich in dezelfde database bevinden;
• andere informatie die plugins in de WordPress-database opslaan.

SQL-injectie betekent niet automatisch server-RCE

Het is belangrijk CVE-2026-62071 niet automatisch als Remote Code Execution te omschrijven.

De bevestigde kwetsbaarheid is SQL-injectie. De officiële CVSS-data beschrijft vooral een hoge confidentiality-impact.

Of een SQL-injectie in een specifieke omgeving kan worden gecombineerd met andere zwakke plekken hangt af van onder andere databaseprivileges, serverconfiguratie en aanwezige software.

Vservs classificeert dit probleem daarom als een kritieke unauthenticated SQL Injection en niet als een bevestigde serverovername.

Wordt CVE-2026-62071 actief misbruikt?

Op het moment van publicatie is geen bevestigde actieve exploitatie van CVE-2026-62071 aangetoond.

CISA’s vulnerability enrichment registreerde bij publicatie geen waargenomen exploitatie. De kwetsbaarheid staat op dit moment ook niet bekend als een CISA Known Exploited Vulnerability.

Patchstack classificeert de kwetsbaarheid wel als High Priority en waarschuwt dat unauthenticated SQL-injecties geschikt kunnen zijn voor geautomatiseerde aanvallen.

De afwezigheid van bevestigde actieve exploitatie is daarom geen reden om het updateproces uit te stellen.

Wat moeten WordPress-beheerders nu doen?

1. Controleer of WordPress File Upload of Iptanus File Upload is geïnstalleerd.
2. Controleer de exacte pluginversie.
3. Update direct naar versie 5.2.0 of nieuwer.
4. Controleer na het updaten of versie 5.2.0 of een latere versie daadwerkelijk actief is.
5. Verwijder de plugin volledig wanneer deze niet meer wordt gebruikt.
6. Controleer of publieke uploadfunctionaliteit daadwerkelijk noodzakelijk is.
7. Controleer webserverlogs op verdachte requests naar de uploadfunctionaliteit.

Tijdelijke mitigatie wanneer updaten niet mogelijk is

Kan versie 5.2.0 niet onmiddellijk worden geïnstalleerd, schakel de plugin dan tijdelijk uit.

Wanneer dat functioneel niet mogelijk is, moet publieke toegang tot de betreffende uploadfunctionaliteit zoveel mogelijk worden beperkt totdat de update is uitgevoerd.

Een Web Application Firewall kan generieke SQL-injectionpogingen blokkeren, maar vormt geen vervanging voor de officiële beveiligingsupdate.

Controleren op mogelijke exploitatie

Websites waarop versie 5.1.10 of ouder publiek bereikbaar was, kunnen aanvullend worden gecontroleerd.

Let onder andere op:

• ongebruikelijke requests naar pagina’s waarop de uploadfunctionaliteit actief is;
• lange of afwijkende waarden in uploadparameters en identifiers;
• requests met SQL-gerelateerde syntax of ongebruikelijke encoding;
• grote aantallen vergelijkbare requests vanaf één of meerdere IP-adressen;
• databasefouten rond hetzelfde tijdstip;
• plotselinge databasebelasting zonder functionele verklaring;
• onverwachte toegang tot grote hoeveelheden databasegegevens;
• applicatie- of PHP-errors na verdachte uploadrequests.

Een enkele vreemde request bewijst niet dat informatie daadwerkelijk is buitgemaakt.

Bij een concreet vermoeden moeten webserverlogs, databaseactiviteit, WordPress-logs en eventuele WAF-logs gezamenlijk worden onderzocht.

Wat te doen wanneer database-exfiltratie wordt vermoed?

Wanneer er aanwijzingen zijn dat een aanvaller daadwerkelijk databasegegevens heeft kunnen uitlezen, moet worden vastgesteld welke informatie toegankelijk was.

Afhankelijk van de opgeslagen gegevens kunnen vervolgstappen nodig zijn, waaronder:

• wachtwoorden resetten;
• WordPress salts wijzigen;
• API-keys vervangen;
• databasecredentials wijzigen;
• gebruikersaccounts controleren;
• WooCommerce- en formulierdata beoordelen;
• nagaan of persoonsgegevens mogelijk zijn ingezien;
• de noodzaak van verdere AVG/GDPR-acties beoordelen.

Wijzig credentials pas vanuit een omgeving waarvan redelijkerwijs kan worden vastgesteld dat deze schoon is.

Managed WordPress bij Vservs

Veel ernstige WordPress-incidenten ontstaan niet door WordPress Core zelf, maar door kwetsbare plugins die na publicatie van een beveiligingsupdate te lang actief blijven.

Met Vservs Managed WordPress verzorgen wij onder andere WordPress Core-, plugin- en theme-updates, hardening, monitoring, back-ups en relevante beveiligingscontroles.

Samenvatting

• Plugin: WordPress File Upload / Iptanus File Upload
• CVE: CVE-2026-62071
• Kwetsbaarheid: SQL Injection
• Severity: Critical
• CVSS: 9,3
• Actieve installaties: 10.000+
• Getroffen versies: 5.1.10 en ouder
• Veilige versie: 5.2.0 of nieuwer
• Authenticatie vereist: Nee
• User interaction: Nee
• Belangrijkste impact: ongeautoriseerde toegang tot gevoelige databasegegevens
• Actieve exploitatie: op het moment van publicatie niet bevestigd
• Advies: direct updaten naar 5.2.0 of nieuwer

Bronnen

• Patchstack – CVE-2026-62071
• NVD – CVE-2026-62071
• CISA ADP Vulnrichment – CVE-2026-62071
• WordPress.org – Iptanus File Upload changelog

De ACPT Premium kwetsbaarheid CVE-2026-105701 maakt het mogelijk voor een geauthenticeerde WordPress-gebruiker met slechts Subscriber-rechten om willekeurige code op de webserver uit te voeren. De beveiligingsfout heeft een CVSS-score van 8,8 en kan leiden tot Remote Code Execution.

De ACPT Premium kwetsbaarheid treft versies tot en met 2.0.66. De beveiligingscorrectie is opgenomen in versie 2.0.67. Vservs adviseert gebruikers van ACPT Premium om direct naar de meest recente beschikbare versie te updaten.

Wat is CVE-2026-105701?

CVE-2026-105701 is een Remote Code Execution-kwetsbaarheid in ACPT Premium, een WordPress-plugin voor het beheren van onder andere custom post types, meta fields, formulieren en dynamische content.

Volgens Wordfence ontstaat de kwetsbaarheid door een combinatie van twee beveiligingsproblemen:

• een ontbrekende capability-check op een REST API-endpoint waarmee ACPT-formulieren kunnen worden aangemaakt;
• het verwerken van e-mailtemplates via een niet voldoende afgeschermde Twig-templateomgeving.

Hierdoor kan een aanvaller met een geldig WordPress-account vanaf Subscriber-niveau een speciaal geprepareerd formulier aanmaken en kwaadaardige Twig-expressies in de configuratie opnemen.

Wanneer het betreffende formulier vervolgens wordt verwerkt, kunnen deze expressies server-side worden uitgevoerd.

Welke versies treft de ACPT Premium kwetsbaarheid?

• ACPT Premium 2.0.66 en ouder – kwetsbaar
• ACPT Premium 2.0.67 en nieuwer – beveiligingscorrectie aanwezig

De ACPT-ontwikkelaar heeft inmiddels meerdere nieuwere releases uitgebracht. Alleen naar 2.0.67 updaten is daarom niet noodzakelijk de beste keuze: installeer bij voorkeur de meest recente stabiele versie die voor uw website beschikbaar is.

Een Subscriber-account is voldoende

De kwetsbaarheid is niet volledig zonder authenticatie te misbruiken. Een aanvaller moet beschikken over een geldig WordPress-account met minimaal de rol Subscriber.

Dat verlaagt het risico ten opzichte van een volledig unauthenticated RCE, maar maakt de kwetsbaarheid nog steeds ernstig.

Subscriber is de WordPress-rol met de minste standaardrechten. Op websites waar publieke registratie is toegestaan, membershipsoftware wordt gebruikt of accounts automatisch worden aangemaakt, kan het verkrijgen van een Subscriber-account relatief eenvoudig zijn.

Ook een eerder gecompromitteerd gebruikersaccount kan als toegangspunt worden gebruikt.

Hoe werkt de kwetsbaarheid?

De aanval richt zich op functionaliteit voor het aanmaken van ACPT-formulieren via de REST API.

Door een onvoldoende capability-controle kan een gebruiker met beperkte rechten functionaliteit bereiken die niet voor Subscriber-gebruikers beschikbaar zou moeten zijn.

Een aanvaller kan vervolgens een formulier aanmaken waarbij kwaadaardige inhoud wordt opgenomen in de email_settings.

ACPT gebruikt Twig voor het renderen van bepaalde templates. De getroffen versie verwerkt deze templates in een omgeving waarin onvoldoende beperkingen worden toegepast.

Wanneer het formulier daarna wordt verzonden, kunnen de geïnjecteerde Twig-expressies worden geëvalueerd. Dit kan uiteindelijk leiden tot het uitvoeren van willekeurige code op de server.

Waarom is Remote Code Execution ernstig?

Bij succesvolle exploitatie draait de kwaadaardige code binnen de context van het PHP- of webserverproces waaronder WordPress wordt uitgevoerd.

Een aanvaller kan daardoor mogelijk:

• WordPress-bestanden wijzigen;
• malware of webshells plaatsen;
• configuratiebestanden en databasegegevens uitlezen;
• WordPress-credentials en andere secrets buitmaken;
• nieuwe administratoraccounts toevoegen;
• plugins of themes aanpassen;
• data uit de WordPress-database uitlezen of wijzigen;
• persistente toegang tot de website creëren;
• vanuit de website verdere aanvallen uitvoeren.

Op een correct gescheiden hostingomgeving betekent een WordPress-RCE niet automatisch root-toegang tot de volledige server. De betreffende website zelf moet echter wel als volledig compromitteerbaar worden beschouwd.

Wordt CVE-2026-105701 actief misbruikt?

Op het moment van publicatie heeft Vservs geen ondubbelzinnige publieke bevestiging gevonden dat CVE-2026-105701 actief in het wild wordt misbruikt.

Patchstack classificeert de kwetsbaarheid wel als High Priority en waarschuwt dat dit type Remote Code Execution-kwetsbaarheid aantrekkelijk is voor geautomatiseerde aanvallen.

Dat is geen bewijs dat er al aanvallen plaatsvinden. Het betekent wel dat uitstel van de beschikbare beveiligingsupdate onverstandig is.

Wat moeten WordPress-beheerders nu doen?

1. Controleer of ACPT Premium op de website is geïnstalleerd.
2. Controleer de exacte pluginversie.
3. Update minimaal naar ACPT Premium 2.0.67.
4. Installeer bij voorkeur de meest recente stabiele ACPT-versie.
5. Verwijder ongebruikte Subscriber- en andere gebruikersaccounts.
6. Controleer of publieke gebruikersregistratie noodzakelijk is.
7. Controleer ACPT-formulieren en formulierconfiguraties op onverwachte wijzigingen.
8. Voer bij verdachte activiteit aanvullende malware- en integriteitscontroles uit.

Tijdelijke mitigatie wanneer updaten niet direct mogelijk is

Wanneer een update niet onmiddellijk kan worden uitgevoerd, is het verstandig ACPT tijdelijk uit te schakelen indien de functionaliteit niet bedrijfskritisch is.

Beperk daarnaast het aanmaken van nieuwe WordPress-accounts en schakel publieke registratie tijdelijk uit wanneer deze niet noodzakelijk is.

Een Web Application Firewall kan aanvullende bescherming bieden, maar vervangt het installeren van de beveiligingsupdate niet.

Controleren op mogelijke compromise

Websites waarop ACPT Premium 2.0.66 of ouder actief is geweest, kunnen worden gecontroleerd op aanwijzingen voor misbruik.

Let onder andere op:

• onbekende of onverwachte WordPress-gebruikers;
• nieuwe Subscriber-accounts rond het tijdstip van verdachte activiteit;
• onverwacht aangemaakte ACPT-formulieren;
• verdachte waarden in formulier- of e-mailtemplate-instellingen;
• REST API-requests die betrekking hebben op het aanmaken of wijzigen van ACPT-formulieren;
• onverwachte PHP-bestanden in wp-content of andere schrijfbare directories;
• gewijzigde plugin- of themebestanden;
• nieuwe administratoraccounts;
• onbekende cronjobs of geplande WordPress-taken;
• uitgaande netwerkverbindingen die niet bij de website horen.

Een onbekende REST API-request is op zichzelf geen bewijs van succesvolle exploitatie. De activiteit moet worden gecorreleerd met WordPress-users, ACPT-formulierdata, filesystemwijzigingen en webserverlogs.

Wat te doen bij bevestigde Remote Code Execution?

Wanneer daadwerkelijk willekeurige code is uitgevoerd, is alleen het installeren van de ACPT-update niet voldoende.

De volledige WordPress-installatie moet dan als potentieel gecompromitteerd worden behandeld.

Controleer minimaal:

• WordPress Core-bestanden;
• plugins en themes;
• wp-config.php;
• WordPress-gebruikers en rollen;
• databasewijzigingen;
• uploads en tijdelijke directories;
• cronjobs;
• server- en applicatielogs;
• API-keys, databasecredentials en andere secrets.

Relevante wachtwoorden en credentials moeten na herstel vanuit een vertrouwde omgeving worden gewijzigd.

Managed WordPress bij Vservs

WordPress-beveiliging stopt niet bij het installeren van WordPress Core-updates. Plugins en themes vormen een groot deel van het aanvalsoppervlak en moeten continu worden gecontroleerd en onderhouden.

Met Vservs Managed WordPress verzorgen wij onder andere WordPress Core-, plugin- en theme-updates, hardening, monitoring, back-ups en relevante beveiligingscontroles.

Samenvatting

• Plugin: ACPT Premium
• CVE: CVE-2026-105701
• Kwetsbaarheid: Remote Code Execution
• CVSS: 8,8 High
• Getroffen versies: 2.0.66 en ouder
• Veilige versie: 2.0.67 of nieuwer
• Benodigde rechten: Subscriber of hoger
• User interaction: niet vereist
• Impact: willekeurige server-side code-uitvoering binnen de WordPress/webservercontext
• Actieve exploitatie: op het moment van publicatie niet bevestigd
• Advies: direct updaten naar de meest recente ACPT-versie

Bronnen

• Wordfence Intelligence – CVE-2026-105701
• Patchstack – ACPT Premium Remote Code Execution
• ACPT – officiële changelog

De Plesk kwetsbaarheid CVE-2026-68489 maakt het mogelijk dat een geauthenticeerde Plesk-gebruiker via kwetsbare versies van de Node.js Toolkit- of Ruby-extensie willekeurige code uitvoert met root-rechten. Een succesvolle aanval kan daardoor leiden tot volledige overname van de onderliggende Plesk-server.

De kwetsbaarheid heeft een CVSS 4.0-score van 8,7 en wordt als High geclassificeerd.

Alleen Plesk for Linux is via deze extensies getroffen. Plesk for Windows is volgens de leverancier niet kwetsbaar voor CVE-2026-68489.

Wat is de Plesk kwetsbaarheid CVE-2026-68489?

CVE-2026-68489 is een Static Code Injection-kwetsbaarheid in de Plesk-extensies Node.js Toolkit en Ruby.

De kwetsbaarheid bevindt zich in de verwerking van door een hostinggebruiker instelbare custom environment variables.

Deze waarden werden in kwetsbare versies onvoldoende veilig verwerkt voordat zij terechtkwamen in configuratie of code die met verhoogde rechten wordt uitgevoerd.

Hierdoor kan een normale geauthenticeerde Plesk-gebruiker onder kwetsbare omstandigheden willekeurige commando’s laten uitvoeren als root.

Welke Plesk-extensieversies zijn kwetsbaar?

• Plesk Node.js Toolkit 2.4.11 en ouder – kwetsbaar
• Plesk Node.js Toolkit 2.5.0 of nieuwer – gepatcht
• Plesk Ruby extension 1.6.5 en ouder – kwetsbaar
• Plesk Ruby extension 1.6.6 of nieuwer – gepatcht
• Plesk for Windows – niet getroffen door deze kwetsbaarheid

Controleer de extensieversies via Extensions > My Extensions binnen Plesk.

Waarom is deze kwetsbaarheid bijzonder ernstig voor hostingservers?

Plesk-hostingservers zijn ontworpen om meerdere hostingaccounts van elkaar en van het onderliggende besturingssysteem te scheiden.

Een gewone hostinggebruiker hoort alleen toegang te hebben tot resources die aan zijn eigen abonnement of hostingaccount zijn toegewezen.

CVE-2026-68489 doorbreekt deze beveiligingsgrens doordat code uiteindelijk met root-rechten kan worden uitgevoerd.

Een root-gebruiker kan in principe toegang krijgen tot vrijwel de volledige Linux-server, waaronder:

• andere hostingaccounts;
• websitebestanden;
• databases en databaseconfiguraties;
• e-maildata;
• webserver- en PHP-configuratie;
• SSL-private keys;
• systeemgebruikers;
• firewall- en netwerkconfiguratie;
• back-up- en beheerconfiguratie;
• andere secrets en credentials die op de server beschikbaar zijn.

Een bevestigde exploitatie van CVE-2026-68489 moet daarom als een mogelijke volledige servercompromittering worden behandeld.

Welke toegang heeft een aanvaller nodig?

Dit is geen unauthenticated internet-RCE.

De aanvaller moet beschikken over geldige Plesk-toegang met beperkte gebruikersrechten en de mogelijkheid hebben om functionaliteit van de kwetsbare Node.js Toolkit- of Ruby-extensie te gebruiken.

De CVSS-vector classificeert de vereiste privileges als Low en vereist geen verdere gebruikersinteractie.

In een hostingomgeving is dat nog steeds een serieus risico. Een gecompromitteerd hostingaccount of een kwaadwillende klant mag nooit kunnen escaleren van een normaal Plesk-account naar root op de volledige server.

Wordt CVE-2026-68489 actief misbruikt?

Op het moment van publicatie heeft Vservs geen betrouwbare bevestiging gevonden van actieve exploitatie van CVE-2026-68489 in het wild.

De kwetsbaarheid staat momenteel niet in de CISA Known Exploited Vulnerabilities Catalog en in de geraadpleegde bronnen is geen bevestigd publiek werkend exploit aangetroffen.

Door de root-impact is het desondanks noodzakelijk om de kwetsbare extensies zo snel mogelijk bij te werken.

Wat moeten Plesk-beheerders doen?

1. Log in op Plesk als Administrator.
2. Ga naar Extensions > My Extensions.
3. Controleer of Node.js Toolkit is geïnstalleerd.
4. Update Node.js Toolkit naar 2.5.0 of nieuwer.
5. Controleer of de Ruby-extensie is geïnstalleerd.
6. Update Ruby naar 1.6.6 of nieuwer.
7. Controleer na de update opnieuw de daadwerkelijk geïnstalleerde versies.
8. Controleer hostingaccounts die Node.js- of Ruby-functionaliteit gebruiken.

Tijdelijke mitigatie wanneer updaten niet direct mogelijk is

Plesk heeft een officiële tijdelijke mitigatie gepubliceerd voor situaties waarin de extensies niet onmiddellijk kunnen worden bijgewerkt.

Ga voor ieder actief serviceplan naar de permissions en schakel de volgende rechten uit:

• Node.js support management
• Ruby support management

Een andere tijdelijke mogelijkheid is het verwijderen van de Node.js Toolkit- en/of Ruby-extensie totdat een gepatchte versie kan worden geïnstalleerd.

Let op: toepassingen die afhankelijk zijn van deze extensies kunnen na verwijdering niet meer functioneren.

Dit is uitsluitend een tijdelijke workaround. Het installeren van de beveiligde extensieversies blijft de structurele oplossing.

Controleren op mogelijke compromittering

Op Plesk for Linux-servers waarop kwetsbare extensieversies actief waren, adviseren wij onder andere controle op:

• onverwachte wijzigingen aan custom environment variables van Node.js- of Ruby-applicaties;
• onbekende applicatieconfiguratiewijzigingen door normale Plesk-gebruikers;
• root-processen die rond dergelijke wijzigingen zijn gestart;
• verdachte entries in Plesk panel- en systeemlogs;
• nieuwe systeemgebruikers;
• onverwachte wijzigingen aan SSH authorized keys;
• nieuwe cronjobs of systemd-services;
• onverklaarbare firewallwijzigingen;
• nieuwe executables of scripts in tijdelijke directories;
• wijzigingen aan websites of hostingaccounts van andere klanten;
• webshells of andere onbekende PHP-, shell- of scriptbestanden.

Controleer bij verdachte activiteit niet uitsluitend de betreffende website. Omdat succesvolle exploitatie root-rechten oplevert, moet de volledige server worden onderzocht.

Wat doen bij bevestigde root-compromittering?

Wanneer er bewijs bestaat dat een aanvaller via deze kwetsbaarheid code als root heeft uitgevoerd, kan niet meer worden aangenomen dat alleen één hostingaccount geraakt is.

Alle data en credentials waartoe root toegang had, kunnen potentieel zijn ingezien of gewijzigd.

Controleer dan onder andere systeemintegriteit, gebruikersaccounts, SSH-sleutels, firewallregels, services, databases, SSL-private keys, Plesk-configuratie en websites van andere tenants.

Afhankelijk van de ernst van het incident kan een schone herinstallatie en migratie van gecontroleerde data betrouwbaarder zijn dan proberen een gecompromitteerd systeem volledig schoon te maken.

Managed VPS bij Vservs

Met een Vservs Managed VPS verzorgen wij onder andere relevante besturingssysteem- en beveiligingsupdates, monitoring en server hardening.

Bij controlpanelsoftware zoals Plesk is het belangrijk niet alleen het Plesk-hoofdpakket te onderhouden, maar ook geïnstalleerde extensies en aanvullende toolkits actueel te houden.

Samenvatting

• Software: Plesk for Linux
• Getroffen componenten: Node.js Toolkit en Ruby extension
• CVE: CVE-2026-68489
• Severity: High
• CVSS 4.0: 8,7
• Kwetsbare Node.js Toolkit: 2.4.11 en ouder
• Veilige Node.js Toolkit: 2.5.0 of nieuwer
• Kwetsbare Ruby extension: 1.6.5 en ouder
• Veilige Ruby extension: 1.6.6 of nieuwer
• Plesk for Windows: niet getroffen
• Benodigde toegang: geauthenticeerde Plesk-gebruiker met lage privileges
• Impact: willekeurige code-uitvoering als root en mogelijke volledige serverovername
• Actieve exploitatie: niet bevestigd
• Aanbevolen actie: extensies direct updaten

Bronnen

• Plesk – officiële CVE-2026-68489 security advisory
• CVE/NVD – CVE-2026-68489
• WebPros/Plesk vulnerability information

De All in One SEO kwetsbaarheid CVE-2026-100152 maakt het mogelijk dat een niet-ingelogde aanvaller onder specifieke omstandigheden willekeurige WordPress-shortcodes laat uitvoeren. De kwetsbaarheid heeft een CVSS-score van 6,5 en treft All in One SEO-versies tot en met 5.0.2.

All in One SEO, vaak afgekort tot AIOSEO, wordt op meer dan 2 miljoen WordPress-websites gebruikt. Door deze grote installed base is de kwetsbaarheid relevant, ondanks de Medium CVSS-classificatie.

De beveiligingscorrectie is opgenomen in All in One SEO 5.0.2.1, die op 1 oktober 2026 is uitgebracht.

Wat is de All in One SEO kwetsbaarheid CVE-2026-100152?

CVE-2026-100152 bevindt zich in de verwerking van zoekresultaten en AIOSEO-breadcrumbs.

In kwetsbare versies wordt onvoldoende gecontroleerd welke shortcode-inhoud afkomstig is uit door bezoekers beïnvloedbare zoekinvoer voordat WordPress de betreffende inhoud via do_shortcode() verwerkt.

Hierdoor kan een externe aanvaller zonder WordPress-account onder de juiste omstandigheden een op de website geregistreerde shortcode laten uitvoeren.

Welke All in One SEO-versies zijn kwetsbaar?

• All in One SEO 5.0.2 en ouder – kwetsbaar
• All in One SEO 5.0.2.1 of nieuwer – beveiligingsfix aanwezig

De officiële AIOSEO-changelog vermeldt bij versie 5.0.2.1 expliciet verbeterde beveiligingsmaatregelen voor shortcodes op zoekpagina’s.

Niet iedere AIOSEO-installatie is via deze aanvalsketen bereikbaar

Voor de gedocumenteerde aanval is een specifieke configuratie vereist.

De AIOSEO breadcrumb-functionaliteit moet op een WordPress-zoekresultatenpagina worden weergegeven, bijvoorbeeld via:

• het AIOSEO breadcrumb-block;
• een widget;
• een shortcode;
• een template tag in het gebruikte theme of template.

Wanneer AIOSEO-breadcrumbs niet op zoekresultatenpagina’s worden gerenderd, is de beschreven aanvalsketen niet rechtstreeks toepasbaar.

Dat is echter geen reden om versie 5.0.2 of ouder te laten staan. De structurele oplossing blijft het installeren van de beveiligde versie.

Wat betekent arbitrary shortcode execution?

WordPress-shortcodes zijn kleine commando’s die door WordPress Core, plugins of themes worden geregistreerd en vervolgens dynamische inhoud of functionaliteit kunnen uitvoeren.

Welke impact arbitrary shortcode execution heeft, verschilt daarom per website.

Op een eenvoudige WordPress-installatie kan een shortcode uitsluitend relatief onschuldige inhoud tonen. Andere plugins kunnen shortcodes registreren die bijvoorbeeld:

• gegevens uit de WordPress-database ophalen;
• formulieren of andere interactieve functies uitvoeren;
• server-side requests uitvoeren;
• gebruikers- of pluginfunctionaliteit activeren;
• vertrouwelijke informatie tonen die normaal niet via publieke zoekinvoer bereikbaar hoort te zijn.

CVE-2026-100152 moet daarom niet automatisch als volledige PHP Remote Code Execution worden beschreven. De uiteindelijke impact hangt af van de shortcodes die op de betreffende WordPress-installatie beschikbaar zijn.

Waarom is een Medium CVSS-score toch relevant?

De CVSS-score van 6,5 houdt rekening met de primaire impact van de kwetsbaarheid zelf.

Voor hostingomgevingen zijn daarnaast twee praktische factoren belangrijk:

• de aanval vereist geen WordPress-account;
• All in One SEO heeft een installed base van meer dan 2 miljoen websites.

Daardoor is het potentiële aantal bereikbare WordPress-installaties aanzienlijk en kan geautomatiseerde scanning aantrekkelijk worden wanneer technische details publiek beschikbaar zijn.

Let op: dezelfde kwetsbaarheid heeft mogelijk twee CVE-nummers

Voor deze onderliggende AIOSEO-shortcodekwetsbaarheid bestaan momenteel twee publieke CVE-records.

Wordfence publiceerde het probleem als CVE-2026-100152. WPScan publiceerde een zeer vergelijkbare beschrijving als CVE-2026-19856.

Patchstack heeft dit aangemerkt als een mogelijke CVE-collision. Beide beschrijvingen gaan over ongeauthenticeerde shortcode-uitvoering in All in One SEO vóór versie 5.0.2.1.

Vservs behandelt dit daarom als één onderliggend beveiligingsprobleem en niet als twee afzonderlijke kwetsbaarheidsartikelen.

Wordt CVE-2026-100152 actief misbruikt?

Op het moment van publicatie heeft Vservs geen betrouwbare bevestiging gevonden van actieve exploitatie van CVE-2026-100152 in het wild.

De kwetsbaarheid staat momenteel niet in de CISA Known Exploited Vulnerabilities Catalog.

Er is wel publieke technische informatie over de kwetsbaarheid beschikbaar. Het bestaan van technische exploitinformatie of een Proof of Concept is echter niet hetzelfde als bevestigde actieve exploitatie.

Wat moeten WordPress-beheerders doen?

1. Controleer of All in One SEO is geïnstalleerd.
2. Controleer de exacte pluginversie.
3. Update naar All in One SEO 5.0.2.1 of nieuwer.
4. Controleer of AIOSEO-breadcrumbs op WordPress-zoekresultatenpagina’s worden gebruikt.
5. Controleer custom themes en templates op AIOSEO breadcrumb-template-tags.
6. Leeg page cache, object cache en eventuele CDN-cache na de update indien noodzakelijk.

Tijdelijke mitigatie

Wanneer de beveiligingsupdate niet direct kan worden geïnstalleerd, verwijder of deactiveer dan tijdelijk de AIOSEO breadcrumb-output op zoekresultatenpagina’s.

Wanneer dit niet eenvoudig kan worden vastgesteld, is het tijdelijk deactiveren van de plugin veiliger dan een bekende kwetsbare versie publiek bereikbaar te houden.

Een Web Application Firewall kan bepaalde verdachte requestpatronen blokkeren, maar vervangt de pluginupdate niet.

Controleren op mogelijke exploitatie

Beheerders kunnen bij websites waarop AIOSEO 5.0.2 of ouder actief was onder andere controleren op:

• ongebruikelijke requests naar WordPress-zoekpagina’s;
• zoekparameters met onverwachte shortcode-achtige invoer;
• grote aantallen geautomatiseerde zoekrequests vanaf dezelfde of verwante IP-adressen;
• onverwachte WordPress- of pluginacties die samenvallen met dergelijke requests;
• onverklaarbare server-side requests naar externe of interne bestemmingen;
• nieuwe gebruikers, plugins of instellingen wanneer een krachtige shortcode misbruikt kan zijn;
• PHP- of applicatiefouten rond verdachte zoekrequests.

Een afwijkend zoekrequest is geen bewijs van succesvolle exploitatie. Controleer altijd of de gebruikte website daadwerkelijk kwetsbare breadcrumb-output bevatte en welke shortcodes beschikbaar waren.

Wat doen bij aanwijzingen voor vervolgmisbruik?

Wanneer uit logs blijkt dat een gevoelige shortcode daadwerkelijk is uitgevoerd, controleer dan welke functionaliteit die shortcode beschikbaar stelt.

Wanneer daarmee beheeracties, gegevensuitvoer of server-side functionaliteit kon worden bereikt, controleer aanvullend gebruikersaccounts, WordPress-sessies, plugins, themes, databasewijzigingen en het bestandssysteem.

Managed WordPress bij Vservs

Met Vservs Managed WordPress verzorgen wij onder andere plugin- en theme-updates, WordPress Core-onderhoud, hardening, monitoring, malwarecontroles en back-ups.

Een grote installed base in combinatie met een unauthenticated aanvalsvector maakt snelle patching belangrijk, ook wanneer de CVSS-score niet als Critical wordt geclassificeerd.

Samenvatting

• Plugin: All in One SEO
• Primaire CVE: CVE-2026-100152
• Mogelijk duplicaat: CVE-2026-19856
• Severity: Medium
• CVSS: 6,5
• Actieve installaties: 2 miljoen+
• Kwetsbare versies: 5.0.2 en ouder
• Veilige versie: 5.0.2.1 of nieuwer
• Impact: unauthenticated arbitrary shortcode execution
• Voorwaarde: AIOSEO-breadcrumbs worden op de zoekresultatenpagina gerenderd
• Actieve exploitatie: niet bevestigd
• Aanbevolen actie: direct updaten

Bronnen

• Wordfence / CVE – CVE-2026-100152
• AIOSEO – officiële changelog
• WordPress.org – All in One SEO
• WPScan – CVE-2026-19856

De Joomla 6.1.4 beveiligingsupdate en Joomla 5.4.9 dichten meerdere beveiligingsproblemen in Joomla Core, waaronder een SSRF-kwetsbaarheid, arbitrary directory deletion via path traversal, een MFA-bypass en onjuiste toegangscontroles in webservices. Het Joomla Project heeft beide beveiligde versies op 29 september 2026 uitgebracht.

Voor websites die op Joomla 5.4 draaien is het niet noodzakelijk om vanwege deze beveiligingsupdate direct naar Joomla 6 te migreren. Joomla 5.4.9 bevat dezelfde relevante securityfixes voor de 5.x-serie.

Joomla 5.4 blijft volgens het Joomla Project tot oktober 2027 beveiligingsupdates ontvangen.

Wat lost de Joomla 6.1.4 beveiligingsupdate op?

De securityrelease bevat meerdere Joomla Core-fixes. Tot de belangrijkste behoren:

• CVE-2026-90915: arbitrary directory deletion via path traversal in de cache purge-functionaliteit;
• CVE-2026-92222: Server-Side Request Forgery in verschillende Joomla Core-extensies;
• CVE-2026-92227: omzeilen van Multi-Factor Authentication via een te vroeg uitgegeven remember-me-cookie;
• CVE-2026-92226: onvoldoende ACL-controle bij verschillende webservice edit-acties;
• meerdere Cross-Site Scripting-problemen en aanvullende beveiligingscorrecties in Joomla Core.

De precieze getroffen versierange verschilt per kwetsbaarheid, maar de belangrijkste problemen treffen Joomla 4.x en Joomla 5.x tot en met 5.4.8 en Joomla 6.x tot en met 6.1.3.

CVE-2026-90915: willekeurige directories verwijderen

CVE-2026-90915 heeft volgens het Joomla Security Centre een High impact en High severity.

Het probleem bevindt zich in de cache purge-functionaliteit.

Een cache group name werd onvoldoende gevalideerd, waardoor path traversal mogelijk was. Hierdoor kon een aanvaller volgens Joomla directories buiten de bedoelde cachelocatie laten verwijderen.

De kans op succesvolle exploitatie wordt door Joomla als Low beoordeeld, maar de mogelijke impact is aanzienlijk.

CVE-2026-92222: SSRF in Joomla Core

CVE-2026-92222 is een Server-Side Request Forgery-kwetsbaarheid in verschillende core-extensies.

URL’s die Joomla gebruikt voor server-side requests werden onvoldoende gevalideerd.

Bij SSRF kan een aanvaller een webapplicatie ertoe bewegen vanaf de server zelf een request naar een andere bestemming uit te voeren.

Afhankelijk van de netwerkarchitectuur kan dat toegang geven tot diensten die niet rechtstreeks vanaf internet bereikbaar zijn, bijvoorbeeld interne HTTP-services of cloudmetadata-endpoints.

Joomla classificeert zowel de impact als severity van deze kwetsbaarheid als High en de exploit probability als Low.

CVE-2026-92227 kan MFA-beveiliging omzeilen

CVE-2026-92227 betreft een authenticatieprobleem waarbij Joomla een remember-me-cookie te vroeg kon uitgeven.

Hierdoor kon onder bepaalde omstandigheden de Multi-Factor Authentication-stap worden omzeild.

Dit is belangrijk voor beheerders die MFA juist gebruiken als extra beveiligingslaag wanneer een gebruikersnaam en wachtwoord onverhoopt bekend zijn geworden.

Joomla beoordeelt de impact als High, severity als Moderate en exploit probability als Moderate.

CVE-2026-92226: onvoldoende toegangscontrole in webservices

CVE-2026-92226 betreft incorrecte ACL-controles bij verschillende webservice edit-acties.

Een gebruiker kon daardoor wijzigingen uitvoeren op objecten waarvoor die gebruiker volgens de normale Joomla-toegangscontrole geen bewerkingsrechten hoorde te hebben.

Voor websites en integraties die de Joomla Web Services API gebruiken, is dit een extra reden om de update snel uit te voeren.

Welke Joomla-versies moeten worden bijgewerkt?

• Joomla 5.x tot en met 5.4.8 – getroffen door één of meerdere van de nieuwe core-kwetsbaarheden
• Joomla 5.4.9 – securityfixes aanwezig
• Joomla 6.x tot en met 6.1.3 – getroffen door één of meerdere van de nieuwe core-kwetsbaarheden
• Joomla 6.1.4 – securityfixes aanwezig

Sommige afzonderlijke kwetsbaarheden treffen ook oudere Joomla-versies. Joomla 4 wordt niet meer als actuele ondersteunde release onderhouden. Websites die nog op een dergelijke oudere branch draaien moeten daarom niet alleen één los securityprobleem oplossen, maar een migratie naar een ondersteunde Joomla-serie plannen.

Let op: bekende fout in Joomla 5.4.9 Web Services API

Het Joomla Project meldt een bekende functionele regressie in Joomla 5.4.9.

Web Services API PATCH-requests kunnen in 5.4.9 met een fatale fout mislukken wanneer via de API bijvoorbeeld een banner of gebruiker wordt bijgewerkt.

Joomla heeft hiervoor een officiële workaround gepubliceerd en meldt dat de structurele fix in Joomla 5.4.10 wordt opgenomen.

Sites die de Web Services API intensief gebruiken moeten de update daarom eerst op een stagingomgeving testen en indien nodig de officiële workaround toepassen.

Deze functionele regressie is geen reden om een kwetsbare Joomla 5.4.8-installatie onbeveiligd te laten staan.

Worden deze Joomla-kwetsbaarheden actief misbruikt?

Op het moment van publicatie heeft Vservs geen betrouwbare bevestiging gevonden dat de hierboven genoemde kwetsbaarheden actief in het wild worden misbruikt.

De door Joomla genoemde exploit probabilities zijn risico-inschattingen en mogen niet worden geïnterpreteerd als bewijs van daadwerkelijk waargenomen aanvallen.

Omdat de technische details en beveiligde versies openbaar beschikbaar zijn, blijft tijdig bijwerken noodzakelijk.

Wat moeten Joomla-beheerders doen?

1. Controleer de exacte Joomla-versie.
2. Update Joomla 5-installaties naar minimaal 5.4.9.
3. Update Joomla 6-installaties naar minimaal 6.1.4.
4. Maak vooraf een actuele backup van bestanden en database.
5. Test bedrijfskritische extensies en templates na de update.
6. Sites die Web Services API PATCH gebruiken moeten de bekende 5.4.9-regressie testen en zo nodig de officiële Joomla-workaround toepassen.
7. Controleer externe en interne requests wanneer de site kwetsbaar was voor de SSRF.
8. Controleer gebruikers, MFA-logins en webservicewijzigingen op afwijkende activiteiten.

Controleren op mogelijke compromittering

Bij Joomla-installaties die gedurende langere tijd op een kwetsbare versie draaiden, kan aanvullende controle zinvol zijn.

Let onder andere op:

• onverwachte uitgaande HTTP- of HTTPS-verbindingen vanaf de Joomla-server;
• requests naar interne IP-adressen of lokale services die niet bij normaal websitegebruik horen;
• onverwacht verwijderde directories of cache-gerelateerde filesystemfouten;
• verdachte remember-me-logins of sessies waarbij MFA normaal verwacht werd;
• onbekende gebruikers of onverwachte wijzigingen aan bestaande gebruikers;
• webservice edit-acties die niet overeenkomen met de rechten van de betreffende gebruiker;
• onverwachte wijzigingen aan Joomla-content of configuratie;
• vreemde scriptinhoud die kan wijzen op misbruik van een XSS-probleem.

Wanneer afwijkende activiteiten worden gevonden, combineer Joomla-logs waar beschikbaar met webserver-, reverse-proxy-, firewall- en systeemlogs om de volledige tijdlijn vast te stellen.

Managed VPS bij Vservs

Met een Vservs Managed VPS verzorgen wij onder andere relevante besturingssysteem- en beveiligingsupdates, monitoring en server hardening.

Voor Joomla zelf blijft applicatieonderhoud eveneens belangrijk: Joomla Core, extensies en templates moeten actueel worden gehouden en ondersteunde versies moeten tijdig worden gemigreerd.

Samenvatting

• Software: Joomla CMS
• Veilige 5.x-versie: Joomla 5.4.9
• Veilige 6.x-versie: Joomla 6.1.4
• Releasedatum: 29 september 2026
• Belangrijke CVE’s: CVE-2026-90915, CVE-2026-92222, CVE-2026-92227 en CVE-2026-92226
• Impact: path traversal en directory deletion, SSRF, MFA-bypass, incorrecte toegangscontrole en aanvullende XSS-problemen
• Actieve exploitatie: niet bevestigd
• Bekend probleem 5.4.9: Web Services API PATCH kan falen; officiële workaround beschikbaar
• Aanbevolen actie: direct naar 5.4.9 of 6.1.4 updaten en bedrijfskritische functionaliteit testen

Bronnen

• Joomla Project – Joomla 6.1.4 & 5.4.9 Security & Bugfix Release
• Joomla Security Centre – CVE-2026-90915
• Joomla Security Centre – CVE-2026-92222
• Joomla Security Centre – CVE-2026-92227
• Joomla Security Centre – CVE-2026-92226

De ModSecurity security update naar libmodsecurity3 3.0.17 en mod_security2 2.9.15 verhelpt acht beveiligingsproblemen in de veelgebruikte Web Application Firewall. Verschillende kwetsbaarheden kunnen ervoor zorgen dat beveiligingsregels worden omzeild, terwijl één probleem in libmodsecurity3 onder specifieke configuraties kan leiden tot geheugenbeschadiging en mogelijk beïnvloeding van de uitvoeringsstroom.

Welke problemen verhelpt de ModSecurity security update?

ModSecurity wordt wereldwijd gebruikt voor het inspecteren en filteren van HTTP-verkeer en vormt samen met bijvoorbeeld de OWASP Core Rule Set een belangrijke beveiligingslaag vóór websites en webapplicaties.

Een fout in de WAF betekent daardoor niet noodzakelijk dat ModSecurity zelf de uiteindelijke aanval uitvoert. Het gevaar is vooral dat verkeer dat normaal gesproken zou moeten worden herkend of geblokkeerd, alsnog de achterliggende website of applicatie bereikt.

Welke ModSecurity-versies zijn getroffen?

De acht advisories hebben niet allemaal exact hetzelfde versiebereik, maar voor beheerders geldt praktisch het volgende updatepad:

• libmodsecurity3 3.0.16 en ouder – getroffen door meerdere kwetsbaarheden
• libmodsecurity3 3.0.17 – bevat de beveiligingscorrecties
• mod_security2 2.9.14 en ouder – getroffen door zes van de acht problemen
• mod_security2 2.9.15 – bevat de beveiligingscorrecties

CVE-2026-73857 vormt een uitzondering binnen het algemene versiebereik en treft specifiek libmodsecurity3 3.0.15 en 3.0.16.

Acht beveiligingsproblemen in ModSecurity

Het ModSecurity-project heeft acht afzonderlijke security advisories gepubliceerd. Niet ieder probleem heeft op het moment van publicatie een eigen CVE-nummer gekregen.

De belangrijkste problemen zijn:

• CVE-2026-73856 – CVSS 8.6 High: bypass van response-body-inspectie door afwijkend hoofdlettergebruik in Content-Type;
• CVE-2026-73857 – CVSS 7.5 High: geheugenfout in de XML request-body parser die kan leiden tot denial of service, geheugenlekken of mogelijk beïnvloeding van de uitvoeringsstroom;
• GHSA-5pww-8rfg-9crf – CVSS 8.6 High: bypass van controles op bestandsnamen bij multipart file uploads via het RFC 2231 filename*-veld;
• CVE-2026-61812 – CVSS 5.3: incomplete HTML entity decoding waardoor WAF-regels kunnen worden omzeild;
• CVE-2026-61813 – CVSS 3.7: onvoldoende strikte TLS-hostnamecontrole bij bepaalde HTTPS-downloads;
• problemen in @rxGlobal-foutafhandeling;
• een bypass in de t:removeComments-transformatie;
• onjuiste verwerking van URL-safe Base64 door t:base64DecodeExt.

CVE-2026-73856: response-body-inspectie kan worden omzeild

CVE-2026-73856 heeft een CVSS-score van 8.6 en treft libmodsecurity3 tot en met versie 3.0.16.

ModSecurity vergeleek de Content-Type van een response hoofdlettergevoelig met de MIME-types die via SecResponseBodyMimeType waren geconfigureerd.

Een backend die bijvoorbeeld Text/Html retourneerde in plaats van text/html kon daardoor buiten de ingestelde inspectie vallen.

Hierdoor werden regels die afhankelijk zijn van RESPONSE_BODY niet uitgevoerd en kon informatie die normaal door een WAF-regel zou worden tegengehouden alsnog naar de bezoeker worden gestuurd.

ModSecurity noemt als mogelijke voorbeelden volledige SQL-foutmeldingen, stack traces en debug-informatie.

CVE-2026-73857: geheugenfout in XML-verwerking

CVE-2026-73857 treft libmodsecurity3 3.0.15 en 3.0.16 en heeft een CVSS-score van 7.5.

Een niet-ingelogde aanvaller kan met één speciaal opgebouwd HTTP-request een niet-geïnitialiseerde pointer laten dereferencen in de XML-parser.

Volgens het ModSecurity-project kan de impact variëren van denial of service en memory disclosure tot het beïnvloeden van de execution flow. In bepaalde omstandigheden kan dit mogelijk verder worden uitgebouwd richting code execution.

Deze kwetsbare code wordt alleen bereikt wanneer:

SecParseXmlIntoArgs On

of:

SecParseXmlIntoArgs OnlyArgs

is geconfigureerd.

De instelling staat standaard uit.

File-uploadregels kunnen worden omzeild met filename*

Een tweede High-severity probleem, GHSA-5pww-8rfg-9crf met CVSS 8.6, heeft betrekking op multipart file uploads.

HTTP multipart requests kunnen naast het traditionele filename-veld ook het volgens RFC 2231 gedefinieerde filename*-veld gebruiken.

ModSecurity herkende dit veld onvoldoende, terwijl verschillende backend-frameworks het wel volgens de standaard verwerken.

Een aanvaller kan daardoor een onschuldige bestandsnaam aan ModSecurity laten zien terwijl de achterliggende applicatie een andere bestandsnaam verwerkt.

Securityregels die bestandsuploads controleren op basis van onder andere MULTIPART_FILENAME of FILES kunnen hierdoor worden omzeild.

Ook SQL- en andere WAF-regels kunnen verkeerd worden genormaliseerd

Andere fixes hebben betrekking op transformaties die ModSecurity uitvoert voordat een waarde tegen beveiligingsregels wordt getest.

Zo kon de t:removeComments-transformatie bepaalde opeenvolgende comments verkeerd verwerken. Een constructie met inline comments kon daardoor anders bij de WAF terechtkomen dan bij de achterliggende applicatie.

Dit is relevant voor bijvoorbeeld regels die obfuscated SQL-injectiepogingen proberen te normaliseren voordat ze worden beoordeeld.

Ook de uitgebreide Base64-decoder behandelde de URL-safe tekens - en _ niet correct. Daardoor konden regels die encoded inhoud inspecteren, waaronder bepaalde JWT-gerelateerde controles, een payload missen.

Worden de ModSecurity-kwetsbaarheden actief misbruikt?

Tijdens onze controle hebben wij geen primaire bron gevonden die bevestigt dat deze nieuw gepubliceerde ModSecurity-kwetsbaarheden momenteel op grote schaal actief in het wild worden uitgebuit.

Dat betekent niet dat uitstel verstandig is. Een belangrijk deel van de problemen gaat juist over technieken waarmee de beveiligingslaag zelf kan worden omzeild.

Het ModSecurity-project adviseert voor meerdere advisories expliciet om direct naar een gepatchte release te upgraden.

Let op bij Debian-pakketten

Beheerders die ModSecurity via hun Linux-distributie installeren moeten niet uitsluitend het upstream versienummer vergelijken.

Op 2 oktober 2026 vermeldt de Debian Security Tracker voor CVE-2026-73857 de ModSecurity-pakketten in Debian Bookworm, Trixie en Sid nog als kwetsbaar en wordt nog geen fixed Debian-packageversie genoemd.

Controleer daarom altijd de actuele securitystatus van het gebruikte distributiepakket of het repository van het hostingcontrolpanel.

Zelf een upstream-versie over een door de distributie of het controlpanel beheerd pakket heen installeren is niet automatisch de juiste oplossing en kan toekomstige updates of integraties verstoren.

Tijdelijke mitigatie voor CVE-2026-73857

Wanneer libmodsecurity3 3.0.17 niet direct beschikbaar is en SecParseXmlIntoArgs niet noodzakelijk is voor de applicaties op de server, kan deze functionaliteit worden uitgeschakeld.

Dit voorkomt de specifieke kwetsbare codepath van CVE-2026-73857.

Deze maatregel beschermt echter niet tegen de andere in deze securityrelease gerepareerde WAF-bypasses.

Voor verschillende andere problemen bestaat geen equivalente configuratie-workaround. Updaten blijft daarom de structurele oplossing.

Wat moeten serverbeheerders nu doen?

1. Controleer welke ModSecurity-engine en versie op de server actief is.
2. Controleer of de installatie via het OS, controlpanel of een eigen build wordt beheerd.
3. Installeer libmodsecurity3 3.0.17 / mod_security2 2.9.15 zodra deze via het gebruikte updatekanaal beschikbaar zijn.
4. Controleer na de update of ModSecurity en de gebruikte rulesets correct laden.
5. Herstart of reload de betreffende webserver of WAF-stack waar nodig.
6. Controleer aangepaste ModSecurity-regels op compatibiliteit met de gewijzigde parser- en transformatielogica.
7. Controleer of SecParseXmlIntoArgs is ingeschakeld.
8. Controleer audit- en webserverlogs op afwijkende requests.

Waar moeten logs op worden gecontroleerd?

Veel van deze kwetsbaarheden zijn WAF-bypasses. Dat betekent dat een aanval mogelijk juist niet als een normale ModSecurity-block is vastgelegd.

Combineer daarom ModSecurity auditlogs met webserver- en applicatielogs.

Let onder andere op:

• multipart file uploads met filename*;
• requests met opvallende inline comments of encoded aanvalspayloads;
• URL-safe Base64 in onverwachte requestvelden;
• ongebruikelijke XML-requests wanneer XML-to-ARGS actief is;
• onverklaarde crashes of worker-process failures;
• SQL-injectie-, XSS- of file-uploadpayloads die door de applicatie zijn ontvangen maar niet door ModSecurity zijn geblokkeerd;
• onverwachte uploads of bestanden die na verdachte requests zijn ontstaan.

Een WAF is een extra beveiligingslaag

Deze beveiligingsproblemen laten opnieuw zien waarom een Web Application Firewall nooit de enige bescherming van een website of webshop mag zijn.

Een actuele applicatie, bijgewerkte plugins en extensies, correcte serverconfiguratie, least-privilege, monitoring en back-ups blijven noodzakelijk.

ModSecurity en de OWASP Core Rule Set vormen een belangrijke aanvullende beschermingslaag, maar een WAF kan een kwetsbare WordPress-, Joomla- of Magento-installatie niet vervangen door een veilige installatie.

Managed VPS bij Vservs

Bij een Managed VPS van Vservs verzorgen wij het technische serverbeheer, waaronder beveiligingsupdates, monitoring, hardening en het beheer van de serveromgeving.

Bij unmanaged VPS-servers blijft het controleren en installeren van server- en beveiligingsupdates de verantwoordelijkheid van de beheerder.

Samenvatting

• Software: ModSecurity / libmodsecurity
• Aantal security advisories: 8
• libmodsecurity3 kwetsbaar: meerdere problemen t/m 3.0.16
• libmodsecurity3 veilig: 3.0.17
• mod_security2 kwetsbaar: meerdere problemen t/m 2.9.14
• mod_security2 veilig: 2.9.15
• Belangrijke CVE’s: CVE-2026-73856, CVE-2026-73857, CVE-2026-61812 en CVE-2026-61813
• Hoogste gepubliceerde severity: High / CVSS 8.6
• Impact: WAF-bypasses, informatielekken, denial of service en onder specifieke omstandigheden mogelijke beïnvloeding van execution flow
• Exploitstatus: geen bevestigde grootschalige actieve exploitatie gevonden in de gecontroleerde primaire bronnen
• Actie: update via het juiste OS- of controlpanel-updatekanaal zodra de gepatchte packages beschikbaar zijn

Bronnen

• OWASP ModSecurity Project – September 2026 Security Update Digest
• Debian Security Tracker – CVE-2026-73857
• Varnish Software – Varnish WAF 1.3.2 release met ModSecurity 3.0.17

De W3 Total Cache kwetsbaarheid CVE-2026-87920 maakt het mogelijk dat een niet-ingelogde aanvaller kwaadaardige JavaScript-code opslaat in een WordPress-pagina. De kwetsbaarheid heeft een CVSS-score van 7.2 en wordt als High beoordeeld.

W3 Total Cache is met meer dan 900.000 actieve WordPress-installaties een van de meest gebruikte cachingplugins. Daardoor verdient een nieuwe ongeauthenticeerde kwetsbaarheid in deze plugin extra aandacht.

Versie 2.10.7 bevat de beveiligingscorrectie.

Welke versies van W3 Total Cache zijn kwetsbaar?

• W3 Total Cache 2.10.6 en ouder – kwetsbaar
• W3 Total Cache 2.10.7 en nieuwer – gepatcht voor CVE-2026-87920

WordPress.org vermeldt W3 Total Cache 2.10.7 als actuele release. In de changelog staat onder andere een correctie voor de Browser Cache-functionaliteit waarbij het herschrijven van niet-gequote URL’s bij het verwijderen van querystrings wordt beperkt.

Wat is CVE-2026-87920?

Het probleem zit in de manier waarop W3 Total Cache HTML-output kan herschrijven wanneer querystrings van statische resources worden verwijderd.

Door onvoldoende veilige verwerking van bepaalde HTML-inhoud kan een aanvaller kwaadaardige content via een WordPress-reactie opslaan. Tijdens de output-processing van W3 Total Cache kan deze content vervolgens op een manier worden herschreven waardoor de HTML-structuur wordt doorbroken.

Hierdoor kan door de aanvaller ingevoerde JavaScript-code worden uitgevoerd wanneer iemand de getroffen pagina bezoekt.

Geen WordPress-account vereist

Voor het plaatsen van de kwaadaardige invoer is volgens Wordfence geen WordPress-account vereist. Dit verhoogt het risico voor websites waarop bezoekers reacties kunnen plaatsen.

De kwetsbaarheid is echter niet onder iedere configuratie direct exploiteerbaar.

Specifieke W3 Total Cache-instelling vereist

CVE-2026-87920 kan volgens Wordfence alleen worden uitgebuit wanneer de optie Remove query strings from static resources binnen W3 Total Cache is ingeschakeld.

Deze functionaliteit verwerkt URL’s in de HTML-output om querystrings achter statische bestanden te verwijderen. Juist in dit herschrijfproces bevindt zich het probleem.

Websites waarop deze optie niet actief is, zijn niet via de door Wordfence beschreven aanvalsketen exploiteerbaar. Toch adviseren wij alle installaties met versie 2.10.6 of ouder te actualiseren.

Wat kan Stored Cross-Site Scripting veroorzaken?

Stored Cross-Site Scripting, vaak afgekort tot Stored XSS, betekent dat kwaadaardige JavaScript-code door de website wordt opgeslagen en later aan andere gebruikers wordt aangeboden.

Wanneer bijvoorbeeld een ingelogde WordPress-beheerder een getroffen pagina bekijkt, wordt de code uitgevoerd binnen de browsercontext van de website.

Afhankelijk van de payload kan XSS worden gebruikt voor onder andere:

• het uitvoeren van acties namens een ingelogde gebruiker;
• het wijzigen van website-instellingen;
• het manipuleren van pagina-inhoud;
• het doorsturen van bezoekers naar kwaadaardige websites;
• het verzamelen van informatie uit de browsersessie;
• het creëren van een verdere aanvalsketen richting website-overname.

Wordt CVE-2026-87920 actief misbruikt?

Op het moment van deze publicatie hebben wij geen betrouwbare primaire bron gevonden die bevestigt dat CVE-2026-87920 op grote schaal actief in het wild wordt uitgebuit.

De kwetsbaarheid is inmiddels wel publiek gedocumenteerd en de beveiligingsupdate is beschikbaar. Door de installed base van meer dan 900.000 websites is uitstel van de update daarom niet verstandig.

Wat moeten beheerders nu doen?

1. Controleer of W3 Total Cache is geïnstalleerd.
2. Controleer het geïnstalleerde versienummer.
3. Update naar W3 Total Cache 2.10.7 of nieuwer.
4. Controleer of Remove query strings from static resources actief was.
5. Wis na de update alle W3 Total Cache-caches.
6. Wis indien van toepassing ook reverse-proxy- en CDN-cache.
7. Controleer recente reacties op verdachte HTML- of JavaScript-inhoud.

Website controleren op mogelijk misbruik

Omdat de kwetsbaarheid via opgeslagen reactie-inhoud kan worden misbruikt, verdienen recente WordPress-reacties extra aandacht.

Controleer onder andere op:

• onbekende of opvallende HTML in reacties;
• <script-constructies;
• HTML-attributen zoals onerror, onload of vergelijkbare event handlers;
• javascript:-constructies;
• vreemde querystrings of bewust beschadigde HTML-attributen;
• reacties die kort na plaatsing onverwachte frontendproblemen veroorzaakten.

Een patroon in een reactie is niet automatisch bewijs van succesvolle exploitatie. Beoordeel verdachte inhoud samen met webserverlogs, het tijdstip waarop de reactie is geplaatst en eventuele wijzigingen aan gebruikers of websitebestanden.

Controleer ook op gevolgen van XSS

Wanneer een kwaadaardige payload daadwerkelijk is uitgevoerd terwijl een beheerder was ingelogd, kan de oorspronkelijke reactie slechts het begin van de aanval zijn geweest.

Controleer daarom bij concrete aanwijzingen voor misbruik ook:

• recent aangemaakte administratoraccounts;
• gewijzigde gebruikersrollen;
• onbekende plugins of thema’s;
• recent gewijzigde PHP-bestanden;
• onverwachte wijzigingen in WordPress-instellingen;
• verdachte loginactiviteiten.

Managed WordPress en Managed VPS bij Vservs

WordPress-beveiliging vraagt steeds vaker om snelle opvolging van plugin- en core-updates. Vooral veelgebruikte plugins zijn aantrekkelijk voor geautomatiseerde scans zodra details over een kwetsbaarheid openbaar worden.

Met een Managed VPS van Vservs verzorgen wij onder andere serverupdates, hardening, monitoring, back-ups en technisch serverbeheer.

Bij unmanaged hosting en unmanaged VPS-servers blijft het beheer en actualiseren van WordPress, plugins en thema’s de verantwoordelijkheid van de beheerder.

Samenvatting

• Plugin: W3 Total Cache
• CVE: CVE-2026-87920
• Severity: High
• CVSS: 7.2
• Kwetsbare versies: 2.10.6 en ouder
• Veilige versie: 2.10.7 of nieuwer
• Installed base: meer dan 900.000 actieve installaties
• Impact: ongeauthenticeerde Stored Cross-Site Scripting
• Voorwaarde: Remove query strings from static resources moet actief zijn
• Exploitstatus: geen bevestigde actieve exploitatie gevonden op het moment van publicatie
• Actie: updaten en caches volledig legen

Bronnen

• Wordfence Intelligence – CVE-2026-87920
• WordPress.org – W3 Total Cache pluginpagina en changelog