Auteur: Vincent Zeilmaker – Vservs B.V.

De WordPress Core-kwetsbaarheid CVE-2026-87902 maakt het voor een niet-ingelogde aanvaller onder bepaalde omstandigheden mogelijk om WordPress een gekozen lokaal PHP-bestand buiten de actieve theme-directory’s te laten includen. Wanneer daarnaast specifieke voorwaarden in het actieve theme en de serveromgeving aanwezig zijn, kan dit leiden tot remote code execution (RCE). WordPress heeft op 22 september 2026 versie 7.1.2 uitgebracht en adviseert websites onmiddellijk te updaten.

De kwetsbaarheid is bijzonder relevant omdat deze zich in WordPress Core bevindt en geen WordPress-account vereist. Patchstack heeft bovendien al enkele uren na het verschijnen van de beveiligingsupdate actieve probing naar kwetsbare websites waargenomen. Er is op dit moment echter geen bevestiging dat deze waargenomen scans daadwerkelijk tot succesvolle remote code execution of compromittering hebben geleid.

Wat is CVE-2026-87902?

CVE-2026-87902 bevindt zich in de verwerking van WordPress-paginatemplates. Een niet-geauthenticeerde aanvaller kan onder bepaalde voorwaarden de normale begrenzing van de template-resolutie omzeilen en WordPress een leesbaar lokaal PHP-bestand buiten de directory’s van het actieve theme laten includen.

Patchstack classificeert het probleem als path traversal die leidt tot Local File Inclusion (LFI) en, wanneer aanvullende voorwaarden aanwezig zijn, mogelijk tot Remote Code Execution.

De kwetsbaarheid heeft volgens Patchstack een CVSS 4.0-score van 9,2.

• CVE: CVE-2026-87902
• Software: WordPress Core
• Kwetsbaarheid: Path Traversal / Local File Inclusion
• Mogelijke impact: Remote Code Execution onder specifieke voorwaarden
• CVSS: 9,2 / Critical
• Authenticatie vereist: nee
• Gebruikersinteractie vereist: nee

Welke WordPress-versies zijn kwetsbaar?

Volgens de gepubliceerde beveiligingsinformatie treft CVE-2026-87902 WordPress vanaf versie 4.7.0 tot en met WordPress 7.1.1.

Voor de huidige WordPress 7.1-serie is de kwetsbaarheid opgelost in WordPress 7.1.2. De beveiligingsfix is daarnaast door WordPress teruggezet naar oudere branches die nog voor security-backports in aanmerking komen.

• WordPress 7.1: update naar 7.1.2
• WordPress 7.0: update naar 7.0.6
• WordPress 6.9: update naar 6.9.9
• WordPress 6.8: update naar 6.8.10
• WordPress 6.7: update naar 6.7.9
• WordPress 6.5: update naar 6.5.12
• WordPress 6.1: update naar 6.1.14
• WordPress 6.0: update naar 6.0.16
• WordPress 5.9: update naar 5.9.18
• WordPress 4.8: update naar 4.8.32
• WordPress 4.7: update naar 4.7.37

Voor productieomgevingen adviseert Vservs waar mogelijk de actuele ondersteunde WordPress-versie te gebruiken in plaats van langdurig op een oude WordPress-branch te blijven draaien.

Wanneer kan de kwetsbaarheid leiden tot remote code execution?

Het is belangrijk om CVE-2026-87902 technisch correct te duiden. De aanwezigheid van een kwetsbare WordPress-versie betekent niet automatisch dat een aanvaller direct willekeurige PHP-code kan uitvoeren.

WordPress bevestigt dat voor remote code execution relevante voorwaarden aanwezig moeten zijn in zowel de serveromgeving als het actieve theme.

Patchstack meldt onder andere dat succesvolle escalatie afhankelijk kan zijn van de structuur van het actieve parent- of child-theme en van de aanwezigheid van een geschikt lokaal PHP-bestand dat door de webserver kan worden gelezen.

De eerste stap van de aanval is daarmee een Local File Inclusion. Onder een geschikte combinatie van WordPress-, theme-, PHP- en serverconfiguratie kan deze worden gebruikt als onderdeel van een keten die uiteindelijk tot code execution leidt.

Actieve probing naar kwetsbare WordPress-websites waargenomen

De snelheid waarmee aanvallers op de beveiligingsupdate reageerden is opvallend.

Patchstack meldt dat het op 22 september 2026 om 17:44 UTC de eerste probing naar CVE-2026-87902 waarnam. Dat was minder dan vijf uur nadat WordPress 7.1.2 was gepubliceerd.

Volgens Patchstack komen de gebruikte requests overeen met de specifieke encoding die door de beveiligingspatch wordt aangepakt. Dit wijst erop dat aanvallers de wijzigingen in de WordPress-code snel hebben geanalyseerd en vervolgens internet-facing WordPress-installaties zijn gaan testen.

Dit is nog geen bevestiging van succesvolle exploitatie. Patchstack benadrukt dat de tot dusver waargenomen requests normale WordPress Core-bestanden probeerden te includen. De waarnemingen tonen actieve probing, maar bewijzen niet dat aanvallers via CVE-2026-87902 daadwerkelijk willekeurige code hebben uitgevoerd.

Wat moeten WordPress-beheerders nu doen?

Omdat de kwetsbaarheid zich in WordPress Core bevindt, geen authenticatie vereist en er al actieve probing is waargenomen, adviseert Vservs om niet met de update te wachten.

• Update WordPress zo snel mogelijk naar 7.1.2 of de beveiligde release binnen de gebruikte WordPress-branch.
• Controleer of automatische WordPress Core-updates succesvol zijn uitgevoerd.
• Maak waar nodig vooraf een actuele back-up van bestanden en database.
• Controleer na de update of de website en het actieve theme correct functioneren.
• Controleer verouderde parent- en child-themes en verwijder themes die niet meer worden gebruikt.
• Controleer de PHP- en webserverconfiguratie en voorkom dat onnodige PHP-bestanden buiten de website toegankelijk of bruikbaar zijn.
• Blijf niet onnodig op oude WordPress-versies draaien, ook wanneer daarvoor nog een security-backport beschikbaar is.

Controle op mogelijke compromittering

Websites die op 22 september of daarna nog een kwetsbare WordPress-versie gebruikten, kunnen aanvullend worden gecontroleerd op verdachte activiteit.

Let onder andere op:

• ongebruikelijke requests die betrekking hebben op paginatemplates of onverwachte bestandspaden;
• path-traversalconstructies of opvallende URL-encoding in accesslogs;
• onverwachte PHP-bestanden in WordPress-, upload- of tijdelijke directory’s;
• recent gewijzigde WordPress Core-bestanden die niet overeenkomen met de officiële release;
• onbekende WordPress-beheerdersaccounts;
• onverwachte wijzigingen aan themes of plugins;
• nieuwe cronjobs of geplande WordPress-taken zonder bekende oorsprong;
• onverwachte uitgaande netwerkverbindingen vanuit de website;
• PHP-processen of webserverrequests die bestanden buiten de gebruikelijke WordPress-directory’s proberen te benaderen.

Het aantreffen van een probe in een accesslog betekent niet automatisch dat een website is gecompromitteerd. Voor succesvolle remote code execution moeten aanvullende voorwaarden aanwezig zijn.

Waarom deze WordPress Core-kwetsbaarheid extra aandacht verdient

Veel ernstige WordPress-kwetsbaarheden bevinden zich in afzonderlijke plugins of themes. CVE-2026-87902 zit daarentegen in WordPress Core zelf.

Hierdoor is de potentiële installed base zeer groot. Bovendien is geen gebruikersaccount nodig om een kwetsbare website te benaderen en is inmiddels aangetoond dat externe partijen kort na publicatie actief naar de kwetsbaarheid zijn gaan zoeken.

Dat maakt snel patchen belangrijk, ook wanneer de specifieke serveromgeving uiteindelijk niet aan alle voorwaarden voor remote code execution blijkt te voldoen.

Managed WordPress en Managed VPS bij Vservs

Vservs volgt beveiligingsproblemen in WordPress Core, plugins, themes en onderliggende servercomponenten actief. Bij onze Managed WordPress-diensten verzorgen we onder andere beveiligingsupdates, hardening, monitoring, malwarecontrole, back-ups en technisch WordPress-beheer.

Voor websites en applicaties die een eigen serveromgeving nodig hebben, biedt Vservs ook Managed VPS. Daarbij verzorgen we onder andere technisch serverbeheer, relevante beveiligingsupdates, monitoring en server hardening.

Bij unmanaged hosting en unmanaged VPS-servers blijft het controleren en installeren van WordPress-, plugin-, theme- en serverupdates de verantwoordelijkheid van de beheerder.

Conclusie

De WordPress Core-kwetsbaarheid CVE-2026-87902 is een ernstige path traversal- en Local File Inclusion-kwetsbaarheid die zonder authenticatie kan worden benaderd. Wanneer daarnaast specifieke voorwaarden in het theme en de serveromgeving aanwezig zijn, kan de kwetsbaarheid leiden tot remote code execution.

WordPress heeft versie 7.1.2 op 22 september 2026 uitgebracht om het probleem te verhelpen en adviseert websites onmiddellijk te actualiseren.

Patchstack heeft minder dan vijf uur na publicatie van de beveiligingsupdate al actieve probing naar de kwetsbaarheid waargenomen. Er is op het moment van deze publicatie echter geen bevestiging dat de waargenomen probes daadwerkelijk tot succesvolle remote code execution of compromittering hebben geleid.

Vservs adviseert WordPress-beheerders daarom WordPress direct naar 7.1.2 of de beveiligde versie van hun gebruikte branch bij te werken.

Bronnen

• WordPress.org – WordPress 7.1.2 Security Release, 22 september 2026
• WordPress.org – WordPress Release Archive
• Patchstack – WordPress 7.1.2 Security Release: Unauthenticated LFI to RCE
• Patchstack – CVE-2026-87902: Attackers Started Probing WordPress Sites Hours After the Patch

De GiveWP-kwetsbaarheid CVE-2026-85113 maakt het mogelijk dat aanvallers zonder WordPress-account willekeurige geregistreerde WordPress-shortcodes laten uitvoeren. De kwetsbaarheid heeft een CVSS-score van 6,5 en treft GiveWP-versies vóór 4.16.9. GiveWP wordt op meer dan 100.000 WordPress-websites gebruikt.

De GiveWP-kwetsbaarheid ontstaat doordat door donoren aangeleverde gegevens op openbare pagina’s kunnen worden weergegeven zonder shortcode-syntax voldoende te neutraliseren. Door shortcodes op een specifieke manier te nesten, kan deze beveiliging worden omzeild en kan WordPress de ingevoerde shortcode alsnog uitvoeren.

Voor succesvolle exploitatie is geen WordPress-account of andere authenticatie nodig. De daadwerkelijke impact verschilt echter per website en is afhankelijk van de shortcodes die door WordPress, het thema en geïnstalleerde plugins op de website zijn geregistreerd.

Wat is CVE-2026-85113?

CVE-2026-85113 betreft een injectiekwetsbaarheid in GiveWP waarbij door een donor ingevoerde gegevens later op een openbare pagina worden verwerkt.

GiveWP probeert shortcode-syntax uit deze gegevens te verwijderen. Volgens de beveiligingsmelding kan deze controle echter worden omzeild door shortcodeconstructies te nesten. Wanneer de betreffende donorinformatie vervolgens door WordPress wordt weergegeven, kan de ingesloten shortcode alsnog door WordPress worden geïnterpreteerd en uitgevoerd.

De kwetsbaarheid is ingedeeld als CWE-74: onvoldoende neutralisatie van speciale elementen voordat gegevens door een volgende component worden verwerkt.

Welke versies van GiveWP zijn kwetsbaar?

Volgens de CVE-informatie zijn GiveWP-versies ouder dan 4.16.9 kwetsbaar voor CVE-2026-85113.

• Kwetsbaar: GiveWP-versies vóór 4.16.9
• Gepatcht: GiveWP 4.16.9 of nieuwer
• CVE: CVE-2026-85113
• CVSS: 6.5 / Medium
• Authenticatie vereist: nee
• Gebruikersinteractie vereist: nee

Op het moment van deze publicatie vermeldt de officiële WordPress.org-pagina nog versie 4.16.8 als beschikbare release. Wanneer GiveWP 4.16.9 nog niet via het WordPress-dashboard of het gebruikte updatekanaal wordt aangeboden, controleer dan opnieuw bij de leverancier voordat de plugin opnieuw actief wordt gebruikt.

Waarom kan arbitrary shortcode execution gevaarlijk zijn?

Een WordPress-shortcode is op zichzelf geen willekeurige PHP-code. De ernst van deze kwetsbaarheid wordt daarom sterk bepaald door de shortcodes die op een specifieke WordPress-installatie beschikbaar zijn.

Veel plugins registreren eigen shortcodes waarmee gegevens worden opgevraagd, content wordt gegenereerd of bepaalde functies worden uitgevoerd. Wanneer een aanvaller zonder authenticatie zo’n shortcode kan aanroepen met zelfgekozen parameters, kunnen daardoor onbedoelde acties of informatielekken ontstaan.

Op een eenvoudige WordPress-installatie kan de praktische impact beperkt zijn. Op een uitgebreide website met veel plugins, maatwerkcode of krachtige shortcodes kan de impact aanzienlijk groter worden.

Geen bevestiging van actieve aanvallen

Er zijn op dit moment geen betrouwbare aanwijzingen dat CVE-2026-85113 actief op grote schaal wordt misbruikt.

De kwetsbaarheid staat momenteel ook niet in de Known Exploited Vulnerabilities Catalog van CISA. De beschikbaarheid van technische informatie over een kwetsbaarheid betekent bovendien niet automatisch dat daadwerkelijke aanvallen zijn waargenomen.

Vservs adviseert daarom om de kwetsbaarheid serieus te nemen en tijdig te patchen, maar er is op dit moment geen aanleiding om te spreken van een actieve wereldwijde aanvalscampagne.

Wat moeten GiveWP-gebruikers doen?

Controleer eerst welke versie van GiveWP op de WordPress-website actief is.

• Update GiveWP naar versie 4.16.9 of nieuwer zodra deze versie via het gebruikte updatekanaal beschikbaar is.
• Maak vooraf een actuele back-up van de website en database.
• Controleer na de update of donatieformulieren en betaalintegraties correct functioneren.
• Gebruik je nog een versie ouder dan 4.16.9 en is een veilige update niet beschikbaar, overweeg dan GiveWP tijdelijk uit te schakelen.
• Controleer welke plugins en maatwerkcode extra shortcodes op de website registreren.
• Verwijder plugins en functionaliteit die niet langer worden gebruikt.

Controle op mogelijke compromittering

Omdat de kwetsbaarheid misbruik maakt van door donoren aangeleverde waarden, is het verstandig recente donor- en formuliergegevens te controleren op onverwachte shortcode-syntax.

Let daarbij onder andere op:

• vierkante haken of geneste shortcodeconstructies in namen of andere door donoren ingevulde velden;
• onverwachte wijzigingen aan pagina’s of berichten waarop donorgegevens worden weergegeven;
• onbekende WordPress-gebruikers of gewijzigde beheerdersaccounts;
• onverwachte plugininstallaties of gewijzigde pluginbestanden;
• onverklaarbare requests naar GiveWP-formulieren in webserver- en accesslogs;
• onverwachte databasewijzigingen rond verdachte donatie- of formulierverzoeken.

Het aantreffen van shortcode-syntax in invoervelden is niet automatisch bewijs van succesvolle compromittering. De daadwerkelijke impact hangt af van de shortcode die werd aangeroepen en de functionaliteit die deze shortcode beschikbaar stelt.

Extra risico door combinaties met andere plugins

WordPress-websites bestaan vaak uit meerdere plugins die ieder eigen shortcodes registreren. Hierdoor kan dezelfde GiveWP-kwetsbaarheid op twee websites een heel verschillende impact hebben.

Een beveiligingscontrole moet daarom niet alleen naar GiveWP kijken, maar ook naar de overige actieve plugins, beschikbare shortcodes en eventueel aanwezige maatwerkcode.

Managed WordPress en Managed VPS bij Vservs

Bij Vservs volgen we beveiligingsproblemen in WordPress, plugins en servercomponenten actief. Met onze Managed WordPress-diensten verzorgen we onder andere WordPress core-, plugin- en theme-updates, security hardening, monitoring en malwarecontrole.

Voor websites en applicaties die meer eigen servercapaciteit nodig hebben, biedt Vservs ook Managed VPS, inclusief technisch serverbeheer, beveiligingsupdates, monitoring en server hardening.

Bij unmanaged hosting en unmanaged VPS-servers blijft het installeren en controleren van WordPress-, plugin- en beveiligingsupdates de verantwoordelijkheid van de beheerder.

Conclusie

CVE-2026-85113 maakt het mogelijk dat een aanvaller zonder WordPress-account via door GiveWP verwerkte donorgegevens willekeurige geregistreerde WordPress-shortcodes laat uitvoeren.

De kwetsbaarheid heeft een CVSS-score van 6,5 en er is momenteel geen bevestiging van actieve exploitatie in het wild. Door de meer dan 100.000 actieve GiveWP-installaties en het feit dat geen authenticatie nodig is, is tijdig updaten desondanks belangrijk.

Beheerders moeten GiveWP bijwerken naar versie 4.16.9 of nieuwer zodra deze beschikbaar is en websites die kwetsbare versies hebben gebruikt controleren op verdachte donorinput en onverwachte wijzigingen.

Bronnen

• WPScan – CVE-2026-85113: GiveWP arbitrary shortcode execution
• CVE/MITRE – CVE-2026-85113
• WordPress.org – GiveWP Donation Plugin and Fundraising Platform

CISA waarschuwt voor actief misbruik van drie Linux-kernelkwetsbaarheden. De Amerikaanse Cybersecurity and Infrastructure Security Agency heeft CVE-2025-39682, CVE-2025-39964 en CVE-2026-53266 toegevoegd aan de Known Exploited Vulnerabilities Catalog (KEV). Daarmee is bevestigd dat er bewijs bestaat dat deze kwetsbaarheden daadwerkelijk zijn misbruikt.

De kwetsbaarheden bevinden zich in verschillende onderdelen van de Linux-kernel en hebben verschillende aanvalsvectoren en voorwaarden. Dit betekent niet dat iedere Linux-server zonder authenticatie vanaf internet kan worden overgenomen. Voor Linux-serverbeheerders is de KEV-opname echter een duidelijke reden om beschikbare kernelupdates met verhoogde prioriteit te installeren.

Welke Linux-kernelkwetsbaarheden worden actief misbruikt?

CISA voegde op 18 september 2026 de volgende drie Linux-kernelkwetsbaarheden toe aan de Known Exploited Vulnerabilities Catalog:

• CVE-2025-39682 – een fout in de verwerking van zero-length records binnen het TLS receive-pad van de Linux-kernel.
• CVE-2025-39964 – een race condition binnen de cryptografische AF_ALG-interface van de Linux-kernel.
• CVE-2026-53266 – een geheugenbeschadigingsprobleem binnen Netfilter bridge ebtables SNAT bij het herschrijven van ARP-adressen.

Opname in de CISA KEV-catalogus betekent dat CISA over bewijs beschikt van daadwerkelijke exploitatie. CISA heeft voor deze drie kwetsbaarheden echter geen technische details gepubliceerd over de waargenomen aanvallen, de aanvallers of getroffen organisaties.

CVE-2025-39682: fout in Linux kernel TLS-verwerking

CVE-2025-39682 bevindt zich in de verwerking van TLS-records door de Linux-kernel. Het probleem ontstaat in een specifieke situatie waarbij een zero-length record vanaf de rx_list wordt verwerkt in combinatie met zero-copy decryptie.

Onder de juiste omstandigheden kan een lokale aanvaller de kwetsbaarheid gebruiken om een denial-of-service te veroorzaken of geheugeninhoud openbaar te maken.

Het is belangrijk om hierbij onderscheid te maken tussen de Linux-kernel als netwerkcomponent en een algemene remote TLS-kwetsbaarheid. De beschikbare vendorinformatie classificeert de aanvalsvector voor de betreffende Linux-configuraties als lokaal en vereist beperkte privileges.

CVE-2025-39964: race condition in cryptografische AF_ALG-interface

CVE-2025-39964 betreft een race condition in de Linux AF_ALG-interface. AF_ALG maakt het mogelijk om cryptografische kernelfunctionaliteit via sockets vanuit userspace te gebruiken.

Wanneer twee processen of threads gelijktijdig naar dezelfde AF_ALG-socket schrijven, kunnen gegevens op onvoorspelbare wijze door elkaar raken en kan de interne toestand van de socket inconsistent worden.

Een lokale gebruiker kan de fout misbruiken om een systeemcrash te veroorzaken of cryptografische resultaten te beschadigen. De kernelpatch voorkomt dit door exclusief eigendom tijdens een schrijfbewerking af te dwingen.

CVE-2026-53266: geheugenbeschadiging in ebtables SNAT

CVE-2026-53266 bevindt zich in de Netfilter bridge ebtables SNAT-functionaliteit van de Linux-kernel.

Bij het herschrijven van het hardware-adres van een ARP-afzender kan onder specifieke omstandigheden worden geschreven naar geheugen dat niet correct schrijfbaar is gemaakt. Hierdoor kan geheugenbeschadiging optreden.

Volgens Red Hat kan de kwetsbaarheid leiden tot ongewenst systeemgedrag, denial-of-service en mogelijk lokale privilege escalation. Voor succesvolle exploitatie zijn specifieke bridge Netfilter- en ebtables SNAT-regels vereist. De kwetsbaarheid is daardoor niet op iedere Linux-installatie op dezelfde manier exploiteerbaar.

Actieve exploitatie is bevestigd, maar details ontbreken

Het belangrijkste verschil met veel reguliere Linux-beveiligingsupdates is dat deze drie kwetsbaarheden door CISA als daadwerkelijk uitgebuit worden beschouwd.

Dat betekent niet automatisch dat sprake is van grootschalige aanvallen op willekeurige Linux-servers. CISA heeft op dit moment geen informatie gepubliceerd over de omvang van de aanvallen, gebruikte exploit chains of specifieke doelwitten.

Ook is het gebruik van deze kwetsbaarheden door ransomwaregroepen in de KEV-informatie niet bevestigd.

Debian, Ubuntu en andere Linux-distributies

Linux-distributies backporten kernelbeveiligingspatches naar hun eigen kernelpakketten. Alleen het vergelijken van het upstream Linux-kernelversienummer is daarom onvoldoende om te bepalen of een server kwetsbaar is.

Voor Debian zijn bijvoorbeeld distributiespecifieke fixes beschikbaar voor CVE-2026-53266. De Debian Security Tracker vermeldt gepatchte kernelpakketten voor onder andere Debian 12 Bookworm en Debian 13 Trixie.

Ubuntu heeft eveneens beveiligingsupdates uitgebracht voor getroffen kernelvarianten. Voor CVE-2025-39682 vermeldt Ubuntu bijvoorbeeld dat Ubuntu 24.04 LTS is gerepareerd vanaf het betreffende gepatchte kernelpakket, terwijl bepaalde oudere Ubuntu-releases voor deze specifieke CVE niet getroffen zijn.

Voor CVE-2025-39964 zijn eveneens gepatchte Ubuntu-kernels beschikbaar voor onder andere Ubuntu 22.04 LTS en Ubuntu 24.04 LTS.

Controleer daarom altijd de securitystatus van de daadwerkelijk gebruikte distributie en installeer kernelupdates via de officiële package repositories.

Wat moeten Linux-serverbeheerders nu doen?

• Controleer of er kernelupdates beschikbaar zijn via de officiële repositories van de Linux-distributie.
• Installeer beschikbare beveiligingsupdates met verhoogde prioriteit.
• Controleer na de update welke kernel momenteel draait met uname -r.
• Houd er rekening mee dat installatie van een nieuw kernelpakket niet automatisch betekent dat de nieuwe kernel al actief is.
• Herstart de server wanneer dit noodzakelijk is om de bijgewerkte kernel daadwerkelijk te laden.
• Controleer bij virtualisatie-, container- en bridge-omgevingen extra op het gebruik van bridge Netfilter en ebtables SNAT.
• Gebruik distributiespecifieke securityinformatie in plaats van uitsluitend upstream kernelversies te vergelijken.

Een geïnstalleerde kernelupdate kan een reboot vereisen

Bij Linux-kernelupdates is het belangrijk om onderscheid te maken tussen de geïnstalleerde en de actieve kernel.

Na installatie van een nieuw kernelpakket kan de server nog steeds op de oude kernel draaien. Controleer daarom na het installeren van updates de actieve kernelversie en plan indien nodig een gecontroleerde herstart.

Op productieservers moet een reboot uiteraard gecontroleerd worden uitgevoerd, waarbij vooraf wordt gecontroleerd of kritieke diensten na de herstart correct beschikbaar komen.

Extra aandacht voor unmanaged VPS- en dedicated servers

Bij unmanaged servers is de klant zelf verantwoordelijk voor het installeren van besturingssysteem- en kernelupdates. Het feit dat een server stabiel draait, betekent niet automatisch dat de actieve kernel alle actuele beveiligingspatches bevat.

Vooral servers die gedurende lange tijd niet opnieuw zijn opgestart, verdienen extra aandacht. Een bijgewerkt kernelpakket kan al aanwezig zijn terwijl de server nog steeds met een oudere kernel draait.

Managed VPS bij Vservs

Bij een Managed VPS van Vservs verzorgen wij het technische beheer van de serveromgeving, waaronder relevante besturingssysteem- en beveiligingsupdates, monitoring en server hardening.

Voor unmanaged VPS- en dedicated servers blijft het controleren, installeren en activeren van Linux-kernelupdates de verantwoordelijkheid van de beheerder van de server.

Conclusie

De opname van CVE-2025-39682, CVE-2025-39964 en CVE-2026-53266 in de CISA Known Exploited Vulnerabilities Catalog maakt deze Linux-kernelkwetsbaarheden belangrijker dan reguliere theoretische kwetsbaarheden.

Actieve exploitatie is bevestigd, maar de drie kwetsbaarheden hebben verschillende technische voorwaarden en vormen geen algemene unauthenticated remote takeover van iedere Linux-server.

Linux-beheerders doen er verstandig aan beschikbare distributiespecifieke kernelupdates met verhoogde prioriteit te installeren en te controleren of de gepatchte kernel daadwerkelijk actief is.

Bronnen

• CISA – Known Exploited Vulnerabilities Catalog
• Linux Kernel – officiële stable kernel patches
• Debian Security Tracker – CVE-2025-39682, CVE-2025-39964 en CVE-2026-53266
• Ubuntu Security – Linux kernel CVE-informatie en security updates
• Red Hat Security – Linux kernel CVE-informatie

Een kritieke Botiga Pro kwetsbaarheid kan een externe aanvaller zonder WordPress-account in staat stellen belangrijke WordPress-instellingen te wijzigen en uiteindelijk een website over te nemen. De kwetsbaarheid is geregistreerd als CVE-2026-86591 en heeft een CVSS-score van 9.8.

Het beveiligingsprobleem treft Botiga Pro-versies ouder dan 1.6.5. Websites die de commerciële Botiga Pro-plugin gebruiken moeten daarom onmiddellijk controleren welke versie is geïnstalleerd.

Wat is CVE-2026-86591?

CVE-2026-86591 is een missing authorization-kwetsbaarheid in een REST API-route van Botiga Pro.

De kwetsbare route controleert onvoldoende of een verzoek afkomstig is van een geauthenticeerde en bevoegde WordPress-gebruiker. Hierdoor kan een externe bezoeker bepaalde functionaliteit aanroepen zonder eerst op WordPress te hoeven inloggen.

Via deze route kunnen willekeurige WordPress-options worden aangepast. Dat is bijzonder ernstig omdat WordPress veel beveiligings- en configuratiegegevens als options in de database opslaat.

Volledige WordPress-siteovername mogelijk

Door kritieke WordPress-options te manipuleren kan een aanvaller onder bepaalde omstandigheden privileges verhogen en uiteindelijk volledige controle over de WordPress-website verkrijgen.

De kwetsbare functionaliteit maakt daarnaast andere schadelijke wijzigingen mogelijk. Volgens de gepubliceerde kwetsbaarheidsinformatie kan een aanvaller:

• willekeurige WordPress-options aanpassen;
• persistente scripts opslaan die op frontendpagina’s worden uitgevoerd;
• willekeurige berichten naar de prullenbak verplaatsen;
• via gewijzigde WordPress-instellingen privilege escalation bereiken;
• uiteindelijk volledige controle over de website verkrijgen.

Geen WordPress-account nodig

Voor exploitatie van CVE-2026-86591 is geen WordPress-account vereist. De kwetsbare REST-route is op afstand bereikbaar en voert onvoldoende autorisatiecontrole uit.

Dat maakt de kwetsbaarheid aanzienlijk ernstiger dan beveiligingsproblemen waarvoor eerst een Editor-, Author- of Administratoraccount nodig is.

Getroffen en veilige versies

Getroffen zijn:

Botiga Pro-versies ouder dan 1.6.5.

De kwetsbaarheid is verholpen vanaf:

Botiga Pro 1.6.5.

Wanneer een nieuwere ondersteunde Botiga Pro-versie beschikbaar is, adviseren we direct naar de meest recente versie bij te werken.

De kwetsbaarheid betreft specifiek de commerciële Botiga Pro-plugin. Het gebruik van het gratis Botiga-theme betekent daarom niet automatisch dat een website door CVE-2026-86591 wordt getroffen.

Wordt de kwetsbaarheid actief misbruikt?

Op het moment van publicatie hebben we geen betrouwbare bevestiging gevonden dat CVE-2026-86591 actief op grote schaal in het wild wordt misbruikt.

De aanval vereist echter geen authenticatie of gebruikersinteractie en de technische impact is groot. Daarom adviseren we Botiga Pro-gebruikers om niet te wachten op bevestigde aanvallen voordat de update wordt uitgevoerd.

Wat moeten beheerders direct doen?

• Controleer of Botiga Pro op de WordPress-website is geïnstalleerd.
• Controleer de geïnstalleerde Botiga Pro-versie.
• Update onmiddellijk naar versie 1.6.5 of een nieuwere beschikbare versie.
• Verwijder Botiga Pro volledig wanneer de plugin niet meer wordt gebruikt.
• Controleer belangrijke WordPress-instellingen op onverwachte wijzigingen.
• Controleer de website op onbekende administratoraccounts en persistente scripts.

Controle op mogelijke compromittering

Omdat een aanvaller willekeurige WordPress-options kan aanpassen, moet een website die langere tijd een kwetsbare Botiga Pro-versie gebruikte bij verdachte activiteit breder worden onderzocht dan alleen de plugin zelf.

Controleer onder andere:

• onbekende WordPress administrator- en andere gebruikersaccounts;
• wijzigingen aan registratie- en gebruikersinstellingen;
• onverwachte scripts of code die op alle frontendpagina’s wordt geladen;
• recent verwijderde of naar de prullenbak verplaatste berichten en pagina’s;
• onverwachte wijzigingen in WordPress-options;
• recent geïnstalleerde of gewijzigde plugins en thema’s;
• webserverlogs op verdachte verzoeken naar WordPress REST API-routes.

Controleer bij aanwijzingen voor daadwerkelijke site-overname ook het bestandssysteem, WordPress-database, administratoraccounts, API-credentials en overige authenticatiegegevens.

Alleen updaten herstelt eerdere wijzigingen niet

Het installeren van een veilige Botiga Pro-versie voorkomt verdere exploitatie van CVE-2026-86591, maar draait wijzigingen die een aanvaller vóór de update heeft aangebracht niet automatisch terug.

Wanneer verdachte WordPress-options, gebruikersaccounts, scripts of contentwijzigingen worden aangetroffen, moet de website daarom als mogelijk gecompromitteerd worden behandeld en verder worden onderzocht.

Vservs Managed WordPress en Managed VPS

Bij Vservs Managed WordPress worden WordPress Core, plugins en thema’s technisch beheerd en worden belangrijke beveiligingsupdates actief opgevolgd.

Klanten met een Vservs Managed VPS beschikken daarnaast over technisch serverbeheer, beveiligingsupdates en monitoring van de onderliggende hostingomgeving.

Gebruik je een unmanaged WordPress-installatie, dan blijft het controleren en tijdig installeren van theme- en pluginupdates de verantwoordelijkheid van de websitebeheerder.

Bronnen

• WPScan – CVE-2026-86591 / Botiga Pro authorization bypass
• CVE Program / NVD – CVE-2026-86591
• aThemes – Botiga / Botiga Pro changelog
• WordPress.org – Botiga theme

Een kritieke WP Recipe Maker kwetsbaarheid maakt het mogelijk dat een aanvaller zonder WordPress-account willekeurige geregistreerde shortcodes server-side laat uitvoeren. De kwetsbaarheid is geregistreerd als CVE-2026-89274, heeft een CVSS-score van 9.1 en treft WP Recipe Maker tot en met versie 10.8.1.

WP Recipe Maker wordt op meer dan 50.000 WordPress-websites gebruikt. Het beveiligingsprobleem is opgelost in versie 10.8.2. Inmiddels is versie 10.8.4 beschikbaar en beheerders wordt daarom geadviseerd de plugin naar de meest recente ondersteunde versie bij te werken.

Wat is CVE-2026-89274?

CVE-2026-89274 is een arbitrary shortcode execution-kwetsbaarheid in de verwerking van recipe metadata door WP Recipe Maker.

Het probleem bevindt zich in de verwerking van commentaartekst die onderdeel kan worden van de gestructureerde metadata van een recept. De kwetsbare code kan do_shortcode() uitvoeren voordat de betreffende invoer voldoende is opgeschoond.

Daardoor kan door een aanvaller aangeleverde shortcode-inhoud al server-side worden uitgevoerd voordat functies die HTML en shortcodes uit de uiteindelijke uitvoer verwijderen hun werk doen.

Geen WordPress-account noodzakelijk

Voor CVE-2026-89274 is geen geauthenticeerd WordPress-account noodzakelijk.

Een aanvaller kan een speciaal geprepareerde recipe rating comment gebruiken om shortcode-inhoud in de metadata te krijgen. Wanneer deze inhoud vervolgens door de kwetsbare code wordt verwerkt, kunnen geregistreerde WordPress-shortcodes worden uitgevoerd.

De precieze impact verschilt per website. WordPress zelf en geïnstalleerde plugins en thema’s kunnen verschillende shortcodes registreren. Sommige shortcodes geven uitsluitend openbare informatie terug, terwijl andere toegang kunnen geven tot informatie of functionaliteit die normaal niet via deze route beschikbaar hoort te zijn.

Wat kan een aanvaller hiermee bereiken?

De kwetsbaarheid kan onder andere leiden tot het uitlekken van informatie die door beschikbare shortcodes wordt teruggegeven. Voorbeelden die in de technische analyse worden genoemd zijn informatie uit niet-openbare content, attachmentgegevens en andere gegevens die via geïnstalleerde shortcodes toegankelijk zijn.

Het is belangrijk deze kwetsbaarheid niet zonder aanvullende voorwaarden als algemene remote code execution te omschrijven. CVE-2026-89274 maakt willekeurige geregistreerde WordPress-shortcode execution mogelijk. Of dit verder kan worden uitgebouwd hangt af van de beschikbare shortcodes en overige functionaliteit van de betreffende website.

Getroffen en veilige versies

De volgende versies zijn kwetsbaar:

WP Recipe Maker 10.8.1 en ouder.

De kwetsbaarheid is opgelost vanaf:

WP Recipe Maker 10.8.2.

De officiële WP Recipe Maker-changelog vermeldt bij versie 10.8.2 expliciet een correctie die voorkomt dat commentaartekst in recipe metadata als shortcode wordt uitgevoerd.

Inmiddels is WP Recipe Maker 10.8.4 beschikbaar. Gebruik daarom bij voorkeur de meest recente ondersteunde versie in plaats van uitsluitend naar de minimaal gepatchte versie 10.8.2 bij te werken.

Wordt CVE-2026-89274 actief misbruikt?

Op het moment van publicatie hebben we geen betrouwbare bevestiging gevonden dat CVE-2026-89274 actief in het wild wordt misbruikt.

Er is wel voldoende technische informatie over de kwetsbaarheid openbaar om het aanvalspad te begrijpen. Vanwege de aanval zonder authenticatie, de CVSS-score van 9.1 en de installed base van meer dan 50.000 websites adviseren we daarom niet te wachten op bevestigde aanvallen.

Wat moeten beheerders doen?

• Controleer onmiddellijk welke versie van WP Recipe Maker is geïnstalleerd.
• Update WP Recipe Maker naar de meest recente beschikbare versie.
• Gebruik minimaal versie 10.8.2.
• Verwijder de plugin wanneer deze niet meer wordt gebruikt.
• Controleer recent geplaatste en goedgekeurde recipe rating comments op verdachte shortcode-inhoud.
• Controleer welke aanvullende plugins shortcodes op de website registreren.

Tijdelijke mitigatie wanneer updaten niet direct mogelijk is

Een update blijft de structurele oplossing. Wanneer onmiddellijk bijwerken tijdelijk niet mogelijk is, kan het uitschakelen of streng modereren van recipe comments en ratings het aanvalsoppervlak verkleinen.

Voorkom in dat geval dat onbekende bezoekers ongecontroleerd commentaarinhoud kunnen laten verwerken. Dit is uitsluitend een tijdelijke maatregel en geen vervanging voor de beveiligingsupdate.

Controle op mogelijke compromittering

Controleer websites die een kwetsbare versie gebruikten op onverwachte recipe rating comments en andere reacties met shortcode-achtige inhoud tussen vierkante haken.

Controleer daarnaast:

• recent goedgekeurde recipe comments en ratings;
• onverwachte toegang tot niet-openbare recepten of andere content;
• webserverlogs rond verdachte commentaarverzoeken;
• onbekende WordPress-gebruikers of administratoraccounts;
• onverwachte wijzigingen aan plugins, thema’s of WordPress-bestanden wanneer andere aanwijzingen voor compromittering aanwezig zijn.

Omdat de uiteindelijke impact afhankelijk is van de shortcodes die op een specifieke website beschikbaar zijn, verdient een website met veel aanvullende plugins of custom shortcodes extra aandacht.

Vservs Managed WordPress en Managed VPS

Bij Vservs Managed WordPress worden WordPress Core, plugins en thema’s technisch beheerd en worden belangrijke beveiligingsupdates actief opgevolgd.

Klanten met een Vservs Managed VPS beschikken daarnaast over technisch serverbeheer, beveiligingsupdates en monitoring van de onderliggende hostingomgeving.

Gebruik je een unmanaged WordPress-installatie, dan blijft het controleren en tijdig installeren van WordPress- en pluginupdates de verantwoordelijkheid van de websitebeheerder.

Bronnen

• WordPress.org – WP Recipe Maker plugin en officiële changelog
• Wordfence Threat Intelligence – CVE-2026-89274
• CVE Program / NVD – CVE-2026-89274

Brevo supply-chainaanval: een beveiligingsincident bij marketing- en communicatieplatform Brevo heeft op 14 september 2026 kwaadaardige JavaScript verspreid via Brevo-scripts die door externe websites worden ingeladen.

Brevo bevestigt inmiddels dat een aanvaller een gecompromitteerde Cloudflare API-key gebruikte om een kwaadaardige Cloudflare Worker binnen de Brevo-infrastructuur te plaatsen. Daarmee kon verkeer aan de CDN-rand worden aangepast zonder de oorspronkelijke bestanden op de Brevo-servers zelf te wijzigen.

De aanval is bijzonder relevant voor WordPress-beheerders. Wanneer een bezoeker tijdens het incident als Administrator was ingelogd op een WordPress-site die een getroffen Brevo-script gebruikte, probeerde de kwaadaardige code stilletjes een WordPress-plugin te installeren en activeren.

Daarnaast kregen geselecteerde gewone bezoekers een vals Cloudflare-verificatiescherm te zien waarmee zij via de zogenaamde ClickFix-techniek werden aangezet een kwaadaardige Windows-opdracht uit te voeren.

Sansec schat dat de getroffen Brevo-componenten op meer dan 100.000 websites werden gebruikt.

Feiten over de Brevo supply-chainaanval

• Getroffen dienst: Brevo embedded JavaScript, Conversations-widget, SDK-loader en Brevo-formulieren
• Platformimpact: externe websites waaronder WordPress-sites
• Type: supply-chainaanval via gecompromitteerde Cloudflare-infrastructuur
• CVE: niet van toepassing; dit betreft een infrastructuurcompromis en geen reguliere softwarekwetsbaarheid met toegewezen CVE
• CVSS: niet van toepassing
• Datum aanval: 14 september 2026
• Brevo impactvenster: 15:01 tot 20:30 UTC; de embedded scripts werden volgens Brevo vanaf 16:07 UTC getroffen
• Geschatte omvang: getroffen Brevo-componenten werden volgens Sansec door meer dan 100.000 websites gebruikt
• WordPress-impact: poging tot installatie en activatie van een kwaadaardige plugin wanneer een Administrator ingelogd was
• Bezoekersimpact: ClickFix-pagina kon Windows-gebruikers aansporen een kwaadaardige opdracht uit te voeren
• Actieve aanval: beëindigd; Brevo verwijderde de kwaadaardige Worker en trok de gecompromitteerde credentials in
• Huidige status: Brevo meldt dat de getroffen scripts weer veilig zijn
• Vereiste actie: controleer WordPress-sites waarop Brevo-scripts actief waren en waarop op 14 september een Administrator ingelogd is geweest

Wat is er bij Brevo gebeurd?

De aanval vond niet plaats door een kwetsbaarheid in WordPress zelf.

Een aanvaller had toegang verkregen tot een langlevende Cloudflare API-key van Brevo met uitgebreide accountrechten.

Volgens het officiële post-mortem van Brevo stond deze credential in applicatiebroncode opgeslagen.

Met de buitgemaakte sleutel kon de aanvaller onder andere Cloudflare Workers, routes en DNS-records binnen de Brevo-zones aanmaken.

De aanvaller plaatste vervolgens een Cloudflare Worker die webverkeer aan de CDN-rand manipuleerde.

Oorspronkelijke Brevo-bestanden bleven ongewijzigd

Een belangrijk technisch detail is dat de oorspronkelijke JavaScript-bestanden bij Brevo niet hoefden te worden aangepast.

De kwaadaardige Worker wijzigde HTTP-responses terwijl deze via Cloudflare naar bezoekers werden gestuurd.

Daardoor konden normale integriteitscontroles van bestanden aan de bron geen wijziging constateren.

Brevo meldt bovendien dat de Worker beveiligingsheaders zoals Content-Security-Policy uit responses kon verwijderen.

Dit illustreert een belangrijk risico van supply-chainaanvallen: een website kan zelf volledig ongewijzigd zijn en toch via een vertrouwde externe JavaScript-bron kwaadaardige code aan bezoekers leveren.

Welke Brevo-componenten waren getroffen?

Volgens Brevo kon de kwaadaardige code onder andere worden toegevoegd aan:

• Brevo Forms;
• de Brevo Conversations-widget;
• de Brevo SDK-loader;
• pagina’s op brevo.com en sendinblue.com;
• pagina’s op sibforms.com.

Websites die dergelijke scripts rechtstreeks vanuit de Brevo-infrastructuur inladen, konden daardoor tijdens het incident de geïnjecteerde JavaScript-code aan hun eigen bezoekers doorgeven.

WordPress Administrators waren specifiek doelwit

De malware controleerde op WordPress-websites of de bezoeker als WordPress-gebruiker was ingelogd.

Wanneer de bezoeker Administrator-rechten had, probeerde de kwaadaardige JavaScript-code een plugin naar de betreffende WordPress-installatie te uploaden en te activeren.

Brevo bevestigt dit gedrag inmiddels ook expliciet in het eigen incidentrapport.

Daarmee kon een tijdelijke aanval op een externe JavaScript-provider veranderen in persistente compromittering van de WordPress-website zelf.

Kwaadaardige plugin kon verborgen blijven

Onderzoek door Sansec en BleepingComputer laat zien dat tijdens de aanval een kwaadaardige plugin werd aangeboden.

BleepingComputer identificeerde deze als:

Web Media Optimizer

De plugin functioneert niet als legitieme optimalisatieplugin, maar als backdoor en JavaScript-loader.

Na installatie probeert de malware zichzelf bovendien uit de normale WordPress-pluginlijst te verbergen en een kopie in:

wp-content/mu-plugins/

te plaatsen.

Daarom is uitsluitend kijken naar de pluginlijst in wp-admin niet voldoende om een mogelijke infectie uit te sluiten.

Wanneer moet een WordPress-site worden gecontroleerd?

Brevo adviseert specifiek onderzoek wanneer aan de volgende voorwaarden is voldaan:

• de WordPress-site gebruikte een Brevo-script, formulier, SDK of Conversations-widget;
• een WordPress Administrator bezocht de website op 14 september 2026 terwijl deze was ingelogd.

In die situatie moet worden gecontroleerd of op die datum onverwachte plugins zijn geïnstalleerd of geactiveerd.

Controleer pluginbestanden op de server

Controleer niet uitsluitend vanuit wp-admin, omdat malware zichzelf uit de zichtbare pluginlijst kan verwijderen.

Bekijk op de server de daadwerkelijke plugin-directories:

find wp-content/plugins -maxdepth 2 -type f -ls

Controleer daarnaast de must-use plugins:

find wp-content/mu-plugins -type f -ls 2>/dev/null

Let specifiek op onbekende plugins en bestanden die rond 14 september 2026 zijn aangemaakt of gewijzigd.

Controleer wijzigingen van 14 september

Een eerste inventarisatie van gewijzigde PHP-bestanden kan bijvoorbeeld worden uitgevoerd met:

find wp-content -type f -name '*.php' -newermt '2026-09-14 00:00:00' ! -newermt '2026-09-15 00:00:00' -ls

Een bestand dat op die datum is gewijzigd is niet automatisch kwaadaardig. Normale plugin- en theme-updates kunnen dezelfde timestamps opleveren.

Vergelijk onbekende wijzigingen daarom met bekende updates, deployments en betrouwbare back-ups.

Controleer WordPress accesslogs

Sansec adviseert beheerders specifiek te zoeken naar een plugin-upload op 14 september:

POST /wp-admin/update.php?action=upload-plugin

en naar een daaropvolgende pluginactivatie:

GET /wp-admin/plugins.php?action=activate

Wanneer deze requests voorkomen terwijl een Administrator de website bezocht, moeten het tijdstip, bron-IP, gebruikerssessie en de rond dat moment aangemaakte bestanden nader worden onderzocht.

Controleer Administrator-accounts

Omdat de kwaadaardige plugin persistente toegang tot WordPress kan verschaffen, is het verstandig ook alle Administrator-accounts te controleren:

wp user list --role=administrator --fields=ID,user_login,user_email,user_registered

Onderzoek:

• onbekende Administrator-accounts;
• recent aangemaakte beheerders;
• onbekende e-mailadressen;
• onverwachte wijzigingen aan bestaande accounts.

Bekende kwaadaardige Brevo-subdomeinen

Sansec publiceerde meerdere hostnamen die tijdens de aanval werden gebruikt om de kwaadaardige loader te verspreiden:

cdn.sendibt1.com
cdn2.sendibt1.com
cdn3.sendibt1.com
cdn4.sendibt1.com
cdn9.sendibt1.com
cdn10.sendibt1.com
cdn11.sendibt1.com

Deze kwaadaardige subdomeinen zijn volgens Sansec sinds 15 september niet meer actief.

Blokkeer niet het hoofddomein sendibt1.com. Sansec benadrukt dat het hoofddomein legitieme Brevo-functionaliteit voor e-mailtracking verzorgt. Een blokkade van het volledige domein kan daarom reguliere Brevo-functionaliteit verstoren.

Bekende hashes van geïnjecteerde JavaScript-bestanden

Sansec publiceerde onder andere de volgende SHA-256-hashes van tijdens het incident geïnjecteerde Brevo-assets:

58a5c601c9df7ca2120435588fc39f97712d9b878795f6ee500590099a432308
f67d572d2d30407b3f470904326411450763108980cdad89550fbb221fb06782
9b62c12bc5c7feb9802f58e6cf75a368690df3c754e37cc64483a92acacf87a5

Deze hashes zijn vooral bruikbaar voor onderzoek naar gelogde, gecachte of gearchiveerde versies van de getroffen externe scripts.

ClickFix richtte zich op computers van bezoekers

Wanneer de malware geen WordPress Administrator als doelwit selecteerde, kon een bezoeker een nagemaakte Cloudflare-verificatiepagina te zien krijgen.

Daarop werd gevraagd:

• Windows-toets + R in te drukken;
• een opdracht vanaf het klembord te plakken;
• de opdracht uit te voeren.

Dit is de aanvalstechniek die bekendstaat als ClickFix.

De opdracht installeerde malware op de Windows-computer van het slachtoffer.

Een echte Cloudflare- of andere browserverificatie vraagt een bezoeker niet om via Windows Run een opdracht vanaf het klembord uit te voeren.

Heeft iemand de ClickFix-opdracht uitgevoerd?

Brevo adviseert een computer waarop de opdracht daadwerkelijk is uitgevoerd als gecompromitteerd te behandelen.

De betreffende computer moet van het netwerk worden losgekoppeld en volledig op malware worden onderzocht.

Wachtwoorden die vanaf die computer zijn gebruikt moeten vervolgens worden gewijzigd, waarbij Brevo specifiek adviseert te beginnen met het Brevo-wachtwoord.

Voor beheerderssystemen moet daarnaast rekening worden gehouden met andere credentials die vanaf dezelfde computer toegankelijk waren, waaronder WordPress-, hosting-, SSH-, SFTP- en andere beheeraccounts.

Brevo-scripts zijn inmiddels weer schoon

De aanval is niet meer actief via de oorspronkelijke Brevo-infrastructuur.

Brevo verwijderde op 14 september om 20:30 UTC de kwaadaardige Worker en de bijbehorende routes en trok de gecompromitteerde API-key en door de aanvaller aangemaakte credentials in.

Kort daarna werd onafhankelijk gecontroleerd dat de getroffen pagina’s en scripts weer schoon waren.

Brevo heeft daarnaast caches geleegd, door de aanvaller aangemaakte hostnamen verwijderd en de betreffende Cloudflare-credentials opnieuw ingericht.

De Brevo Conversations-widget, SDK en Forms kunnen volgens Brevo inmiddels weer veilig worden gebruikt.

Het huidige risico is persistence

Dat de externe Brevo-scripts nu schoon zijn betekent niet automatisch dat iedere WordPress-site die tijdens het incident werd bezocht eveneens schoon is.

Wanneer de kwaadaardige plugin tijdens het aanvalvenster succesvol is geïnstalleerd, blijft die lokale compromittering bestaan nadat de Brevo-infrastructuur is hersteld.

Daarom is controle van eerder blootgestelde WordPress-sites noodzakelijk.

Bij gevonden malware: behandel WordPress als gecompromitteerd

Wanneer de kwaadaardige plugin, een onbekende MU-plugin of andere concrete aanwijzingen voor compromittering worden aangetroffen, moet niet worden volstaan met het verwijderen van één bestand.

Een aanvaller met persistente WordPress-toegang kan inmiddels aanvullende wijzigingen hebben uitgevoerd.

Controleer dan onder andere:

• alle WordPress-gebruikers;
• plugins en MU-plugins;
• themes;
• recent gewijzigde PHP-bestanden;
• WordPress cron-events;
• de database;
• webserver- en PHP-logs;
• uitgaande verbindingen;
• API-keys en andere secrets.

Vervang relevante Administrator-wachtwoorden en andere credentials wanneer deze tijdens de compromittering toegankelijk kunnen zijn geweest.

Supply-chainrisico bestaat ook bij volledig bijgewerkte WordPress-sites

Deze aanval wijkt af van een normale WordPress-kwetsbaarheid.

Een WordPress-installatie kon volledig bijgewerkt zijn en toch getroffen externe JavaScript-code laden omdat de aanval plaatsvond bij een vertrouwde externe leverancier.

Het incident laat daarmee zien dat WordPress-beveiliging niet uitsluitend bestaat uit het bijwerken van Core, plugins en themes.

Externe scripts, marketingtools, chatwidgets, analyticsdiensten en andere third-party integraties vormen eveneens onderdeel van het aanvalsoppervlak van een website.

Verantwoordelijkheid voor WordPress- en CMS-beveiliging

Klanten zonder Managed WordPress/CMS-onderhoud of een afzonderlijk overeengekomen managed CMS-dienst zijn zelf verantwoordelijk voor het tijdig bijwerken van WordPress, WooCommerce, andere CMS-platformen, plugins, extensies en themes en voor het beheer van externe integraties binnen hun website.

Wanneer misbruik, malware of aantoonbaar achterstallig onderhoud ervoor zorgt dat een website of dienst een risico vormt voor onze infrastructuur, andere klanten of derden, kan Vservs de betreffende website of dienst tijdelijk isoleren of uitschakelen.

Dit gebeurt uitsluitend als veiligheids- en continuïteitsmaatregel om verdere schade, misbruik of verstoring van infrastructuur en dienstverlening te voorkomen.

Herstelwerkzaamheden aan niet-managed omgevingen buiten onze reguliere openingstijden, in weekenden of op feestdagen zijn afhankelijk van de ernst van het incident en de beschikbare capaciteit. Wanneer direct ingrijpen niet noodzakelijk is, kunnen herstelwerkzaamheden vanaf de eerstvolgende werkdag worden opgepakt.

Managed WordPress door Vservs

De Brevo supply-chainaanval laat zien dat beveiligingsincidenten ook kunnen ontstaan buiten WordPress Core en geïnstalleerde plugins. Bij professionele WordPress-omgevingen is daarom naast patchmanagement ook monitoring en onderzoek naar afwijkende bestanden en activiteiten belangrijk.

Met Vservs Managed WordPress verzorgen wij onder andere technisch WordPress-beheer, Core-, plugin- en theme-updates, security hardening, malware- en beveiligingsmonitoring, back-ups en technisch onderzoek bij beveiligingsincidenten binnen de afgesproken dienstverlening.

Bronnen

• Brevo – officieel post-mortem Security Incident ClickFix
• Sansec – Brevo supply chain attack hits 100k+ sites
• BleepingComputer – Brevo supply-chain attack en WordPress-backdooranalyse

WordPress 7.1.1 security update: het WordPress Security Team heeft WordPress 7.1.1 uitgebracht als onderhouds- en beveiligingsupdate. De nieuwe release bevat elf afzonderlijke securityfixes in WordPress Core.

De opgeloste beveiligingsproblemen omvatten onder andere stored cross-site scripting (XSS), authenticated path traversal, arbitrary post overwrite en verschillende ontbrekende of onvoldoende authorization-controles.

WordPress adviseert websitebeheerders expliciet om websites direct bij te werken.

Feiten over WordPress 7.1.1

• Product: WordPress Core
• Release: WordPress 7.1.1
• Publicatiedatum: 17 september 2026
• Type: Maintenance and Security Release
• Aantal securityfixes: 11
• Daarnaast: 17 Core-bugfixes en 19 Block Editor-bugfixes
• Kwetsbare hoofdrelease: WordPress 7.1 vóór 7.1.1
• Veilige actuele versie: WordPress 7.1.1
• Oudere branches: securityfixes worden waar nodig teruggeporteerd; onder andere WordPress 7.0.5 is beschikbaar
• CVE’s: voor de elf afzonderlijke fixes zijn in het oorspronkelijke WordPress-securitybericht nog geen CVE-nummers gepubliceerd
• Actieve exploitatie: momenteel niet bevestigd
• Vereiste actie: update WordPress direct naar 7.1.1 of de actuele securityrelease van de gebruikte ondersteunde branch

Elf beveiligingsproblemen opgelost

WordPress 7.1.1 is geen normale onderhoudsupdate. Naast tientallen bugfixes bevat de release elf beveiligingsverbeteringen.

Het WordPress Security Team noemt de volgende opgeloste problemen:

• stored cross-site scripting in wpautop() waarbij een niet-ingelogde bezoeker scriptcode kan injecteren, onder voorwaarde dat het betreffende commentaar wordt goedgekeurd;
• een probleem in de WordPress HTML API waarbij set_modifiable_text() via speciaal gevormde afsluitsequenties uit een commentaarcontext kan breken;
• stored XSS in bepaalde themes die WordPress custom headers ondersteunen;
• speciaal vervaardigde URL’s waarmee een inactief theme uit WordPress.org automatisch geïnstalleerd en als preview geladen kan worden;
• een probleem waarbij een Site Administrator een geïnstalleerde Network-only plugin netwerkbreed kan activeren;
• authenticated path traversal in de WP REST Templates Controller;
• misbruik van XML-RPC voor het publiceren van customize_changeset-posts waarbij controles voor edit_css kunnen worden omzeild;
• arbitrary post overwrite door gebruikers met Contributor-rechten of hoger;
• ontbrekende read_post-controle in attachment_submitbox_metadata() waardoor de titel van een private parent-post kan worden gelekt;
• ontbrekende authorization waardoor Contributors en gebruikers met hogere rechten slugs van Draft- en Pending-posts kunnen uitlezen;
• comments, waaronder notes, die door iedere ingelogde gebruiker aan een andere post gekoppeld kunnen worden.

Stored XSS via wpautop()

Een van de opvallendste beveiligingsproblemen bevindt zich in wpautop(), een veelgebruikte WordPress Core-functie die automatisch alinea’s en HTML-regelafbrekingen verwerkt.

Volgens het officiële WordPress-securitybericht kon een niet-ingelogde bezoeker speciaal vervaardigde inhoud gebruiken om opgeslagen JavaScript-code te injecteren.

Voor daadwerkelijke uitvoering geldt daarbij een belangrijke beperking: het betreffende commentaar moet worden goedgekeurd.

Desondanks gaat het om stored XSS in WordPress Core. Kwaadaardige inhoud blijft opgeslagen en kan later in de browsercontext van andere gebruikers worden uitgevoerd.

Stored XSS in themes met custom headers

Een tweede stored-XSS-probleem heeft betrekking op bepaalde WordPress-themes die ondersteuning bieden voor custom headers.

Omdat deze functionaliteit onderdeel is van de interactie tussen WordPress Core en themes, is niet uitsluitend een plugin of specifiek extern theme verantwoordelijk voor het beveiligingsprobleem.

De benodigde beveiligingswijziging is daarom onderdeel van de WordPress Core-update.

Authenticated path traversal in REST API

WordPress 7.1.1 verhelpt daarnaast een authenticated path traversal in de WP REST Templates Controller.

Bij path traversal kan onvoldoende gecontroleerde padinformatie ertoe leiden dat een applicatie buiten de bedoelde directorystructuur probeert te werken.

Deze specifieke kwetsbaarheid vereist authenticatie. WordPress heeft in het oorspronkelijke securitybericht nog geen verdere exploitdetails of afzonderlijke CVE gepubliceerd.

Contributor kan willekeurige posts overschrijven

Ook een probleem waarbij een gebruiker met Contributor-rechten of hoger willekeurige posts kan overschrijven is in WordPress 7.1.1 opgelost.

Contributor is een relatief beperkte standaard WordPress-rol. Een Contributor kan normaal eigen content schrijven en beheren, maar hoort niet willekeurig content van andere gebruikers te kunnen overschrijven.

Voor websites waarop meerdere redacteuren, gastschrijvers of andere gebruikers toegang tot WordPress hebben, is deze beveiligingsfix daarom extra relevant.

XML-RPC authorization bypass

De securityrelease bevat eveneens een oplossing voor een probleem in XML-RPC.

Via XML-RPC konden customize_changeset-posts worden gepubliceerd waarbij controles voor de WordPress-capability:

edit_css

werden omzeild.

Dit is opnieuw een voorbeeld van een authorizationprobleem waarbij een gebruiker via een andere WordPress-interface acties kan bereiken waarvoor normaal aanvullende rechten vereist zijn.

Speciaal vervaardigde URL kan theme installeren

Een andere securityfix voorkomt dat speciaal vervaardigde URL’s automatisch een nog inactief theme uit WordPress.org installeren en als preview openen.

Het gaat daarmee niet om een willekeurige upload van een extern PHP-theme, maar om ongewenste installatie en preview van een theme vanuit de officiële WordPress.org-infrastructuur.

Ook dit gedrag is in WordPress 7.1.1 aangepast.

Meerdere authorizationproblemen opgelost

Een belangrijk deel van de overige fixes heeft betrekking op ontbrekende of onvoldoende authorization-controles.

Daaronder vallen:

• het uitlekken van de titel van een private parent-post;
• het uitlezen van slugs van Draft- en Pending-posts;
• het verplaatsen of opnieuw koppelen van comments door iedere geauthenticeerde gebruiker;
• het netwerkbreed activeren van een Network-only plugin door een Site Administrator.

Individueel hebben deze problemen verschillende impact, maar gezamenlijk vormen ze voldoende reden om de securityrelease niet uit te stellen.

Update WordPress direct naar 7.1.1

WordPress adviseert beheerders expliciet om direct naar de nieuwe securityrelease te updaten.

Voor websites op de actuele 7.1-branch betekent dit:

WordPress 7.1.1

De geïnstalleerde WordPress-versie kan met WP-CLI worden gecontroleerd:

wp core version

Een update kan, afhankelijk van de beheerprocedure van de website, worden uitgevoerd vanuit het WordPress-dashboard of met WP-CLI:

wp core update

Controleer na de update opnieuw:

wp core version

Controleer of automatische updates zijn uitgevoerd

WordPress geeft aan dat websites waarop automatische Core-backgroundupdates worden ondersteund automatisch met de updateprocedure beginnen.

Ga er echter niet zonder controle vanuit dat iedere website daadwerkelijk succesvol is bijgewerkt.

Een automatische update kan bijvoorbeeld worden onderbroken door bestandsrechten, onvoldoende schijfruimte, een fout tijdens de update of een afwijkende WordPress-configuratie.

Controleer daarom de daadwerkelijke actieve versie.

Oudere WordPress-versies

Het WordPress Security Team geeft aan dat de beveiligingsfixes waar nodig worden teruggeporteerd naar branches die nog securityupdates ontvangen.

Zo is inmiddels ook WordPress 7.0.5 beschikbaar.

WordPress benadrukt echter dat uitsluitend de nieuwste WordPress-release actief wordt onderhouden.

Vservs adviseert daarom waar technisch mogelijk niet langdurig op een oudere Core-branch te blijven, maar een actuele ondersteunde WordPress-versie te gebruiken.

Geen bevestigde actieve exploitatie

Op het moment van publicatie heeft Vservs geen betrouwbare bron gevonden die ondubbelzinnig bevestigt dat één of meerdere van de elf in WordPress 7.1.1 opgeloste kwetsbaarheden actief in het wild worden misbruikt.

We classificeren deze beveiligingsproblemen daarom momenteel niet als actief uitgebuit.

Dat verandert het updateadvies niet. WordPress zelf classificeert 7.1.1 als securityrelease en adviseert websites onmiddellijk bij te werken.

Nog geen afzonderlijke CVE-nummers gepubliceerd

Het oorspronkelijke WordPress-securitybericht noemt de elf opgeloste beveiligingsproblemen afzonderlijk, maar publiceert daarbij op dit moment geen bijbehorende CVE-nummers.

Vservs koppelt daarom geen onbevestigde CVE’s aan deze kwetsbaarheden.

Wanneer later afzonderlijke CVE’s of aanvullende technische informatie worden gepubliceerd, kan de risicoanalyse verder worden verfijnd.

Geen universele Indicators of Compromise

Er zijn momenteel geen betrouwbare universele IP-adressen, malware-hashes, bestandsnamen of andere Indicators of Compromise gepubliceerd die specifiek aan misbruik van de in WordPress 7.1.1 opgeloste kwetsbaarheden kunnen worden gekoppeld.

Vservs publiceert daarom geen speculatieve IoC’s.

Voor reguliere websites zonder concrete aanwijzingen voor misbruik is het installeren en verifiëren van de securityupdate de belangrijkste actie.

Controleer WordPress Core na de update

Na de update kan de integriteit van de officiële WordPress Core-bestanden worden gecontroleerd met:

wp core verify-checksums

Afwijkingen moeten worden onderzocht.

Houd er rekening mee dat deze controle uitsluitend WordPress Core verifieert. Plugins, themes, uploads en andere bestanden binnen wp-content vallen niet volledig onder deze controle.

Verantwoordelijkheid voor WordPress-securityupdates

Klanten zonder Managed WordPress/CMS-onderhoud of een afzonderlijk overeengekomen managed CMS-dienst zijn zelf verantwoordelijk voor het tijdig bijwerken van WordPress, WooCommerce, andere CMS-platformen, plugins, extensies en themes.

Wanneer misbruik, malware of aantoonbaar achterstallig onderhoud ervoor zorgt dat een website of dienst een risico vormt voor onze infrastructuur, andere klanten of derden, kan Vservs de betreffende website of dienst tijdelijk isoleren of uitschakelen.

Dit gebeurt uitsluitend als veiligheids- en continuïteitsmaatregel om verdere schade, misbruik of verstoring van infrastructuur en dienstverlening te voorkomen.

Herstelwerkzaamheden aan niet-managed omgevingen buiten onze reguliere openingstijden, in weekenden of op feestdagen zijn afhankelijk van de ernst van het incident en de beschikbare capaciteit. Wanneer direct ingrijpen niet noodzakelijk is, kunnen herstelwerkzaamheden vanaf de eerstvolgende werkdag worden opgepakt.

Managed WordPress door Vservs

WordPress 7.1.1 laat zien dat beveiligingsonderhoud niet alleen betrekking heeft op plugins en themes. Ook WordPress Core ontvangt regelmatig beveiligingsupdates die tijdig geïnstalleerd moeten worden.

Met Vservs Managed WordPress verzorgen wij onder andere technisch WordPress-beheer, updates van Core, plugins en themes, security hardening, monitoring, malwarecontrole, back-ups en ondersteuning bij beveiligingsincidenten.

Bronnen

• WordPress.org – WordPress 7.1.1 Maintenance and Security Release
• WordPress.org – WordPress 7.1.1 documentatie
• WordPress.org – officiële release archive

LiteSpeed 6.3.7 Build 1 bevat een aanvullende beveiligingsupdate voor LiteSpeed Web Server Enterprise. De nieuwe build verscheen op 15 september 2026 en bevat een extra securityfix voor een corner case in de validatie van interne redirect-URL’s.

Beheerders die LiteSpeed Enterprise na de eerdere waarschuwing al naar 6.3.7 hebben bijgewerkt, moeten daarom opnieuw controleren welke build daadwerkelijk op hun server is geïnstalleerd.

Wat is er veranderd?

LiteSpeed Web Server Enterprise 6.3.7 Build 0 werd op 11 september uitgebracht met meerdere beveiligingsverbeteringen. Daaronder bevonden zich verbeterde authenticatie en validatie voor lscgid, strengere validatie van interne redirect-URL’s en bescherming van interne environment variables.

Op 15 september volgde 6.3.7 Build 1. Volgens de officiële LiteSpeed-changelog bevat deze build nog een aanvullende beveiligingsfix voor een andere corner case in de validatie van interne redirect-URL’s.

Waarom is deze update belangrijk?

De eerdere beveiligingswaarschuwing rond LiteSpeed Enterprise betreft een ernstige privilege-escalationkwetsbaarheid. Volgens cPanel kan een kwaadwillende gebruiker met beperkte toegang tot een websiteaccount mogelijk de normale accountisolatie omzeilen en root-toegang tot de volledige server verkrijgen.

Daarbij kunnen beveiligingsmechanismen zoals CageFS worden omzeild. Op shared-hostingservers kan dat betekenen dat een gecompromitteerd hostingaccount niet alleen het eigen account, maar mogelijk ook andere websites en de onderliggende server in gevaar brengt.

Ook reeds bijgewerkte servers controleren

Alleen controleren of versienummer 6.3.7 wordt weergegeven is door de aanvullende release niet langer voldoende. Controleer ook de geïnstalleerde build en zorg dat de meest recente beschikbare LiteSpeed Web Server Enterprise-build is geïnstalleerd.

LiteSpeed vermeldt voor versie 6.3.7:

• Build 0: uitgebracht op 11 september 2026.
• Build 1: uitgebracht op 15 september 2026 met een aanvullende securityfix voor internal redirect URL validation.

Wat moeten beheerders doen?

• Controleer de geïnstalleerde LiteSpeed Enterprise-versie én build.
• Werk bij naar de meest recente beschikbare build van LiteSpeed Web Server Enterprise.
• Ga er niet automatisch vanuit dat een eerdere update naar 6.3.7 ook de aanvullende fix bevat.
• Controleer na de update of LiteSpeed correct is gestart en websites normaal functioneren.
• Onderzoek verdachte activiteit wanneer een server gedurende langere tijd een kwetsbare versie heeft gebruikt.

Geen nieuwe CVE bekend

Voor deze aanvullende securityfix is op het moment van publicatie geen afzonderlijke CVE-code bekendgemaakt. LiteSpeed omschrijft de wijziging als een aanvullende correctie voor een corner case in de validatie van interne redirect-URL’s.

Er is eveneens geen betrouwbare publieke bevestiging dat deze specifieke aanvullende corner case actief wordt misbruikt. De ernst van de oorspronkelijke LiteSpeed Enterprise-kwetsbaarheid maakt snel bijwerken echter belangrijk.

Vservs Managed Hosting

Bij Vservs Managed VPS worden kritieke serverupdates en beveiligingsupdates als onderdeel van het technisch beheer uitgevoerd. Bij ernstige kwetsbaarheden controleren we daarnaast of aanvullende maatregelen noodzakelijk zijn.

Bronnen

• LiteSpeed Web Server – officiële changelog
• LiteSpeed Web Server – Release Log
• cPanel – LiteSpeed Enterprise Security Advisory

Een ernstige kwetsbaarheid in de Node.js Toolkit- en Ruby-extensies van Plesk kan een hostinggebruiker in staat stellen willekeurige commando’s als root op de volledige Linux-server uit te voeren. De kwetsbaarheid is geregistreerd als CVE-2026-68489 en betreft een lokale privilege escalation.

Volgens Plesk kan een gebruiker met toegang tot een Plesk-hostingaccount via de kwetsbare extensies zijn beperkte rechten verhogen naar root. Daarmee kan de aanvaller volledige controle over de Plesk-server verkrijgen.

Voor shared hosting en andere multi-tenant Plesk-omgevingen is de impact bijzonder groot, omdat één gecompromitteerd of kwaadwillend hostingaccount daarmee mogelijk toegang kan verkrijgen tot de volledige server.

Wat is CVE-2026-68489?

CVE-2026-68489 is een local privilege escalation-kwetsbaarheid in twee Plesk-extensies voor Linux:

• Node.js Toolkit;
• Ruby.

De kwetsbaarheid is geen directe unauthenticated aanval vanaf het internet. De aanvaller moet eerst toegang hebben tot een Plesk-account op de server.

Dat beperkt de initiële aanvalsmogelijkheid, maar de uiteindelijke impact is zeer groot. Een Plesk-gebruiker die normaal uitsluitend toegang heeft tot zijn eigen subscription kan via de kwetsbaarheid willekeurige commando’s uitvoeren met root-rechten.

Welke Plesk-versies zijn kwetsbaar?

Node.js Toolkit voor Plesk Linux:

• kwetsbaar: versie 2.4.11 en ouder;
• beveiligd: versie 2.5.0 en nieuwer.

Ruby-extensie voor Plesk Linux:

• kwetsbaar: versie 1.6.5 en ouder;
• beveiligd: versie 1.6.6 en nieuwer.

Plesk voor Windows is volgens Plesk niet getroffen door CVE-2026-68489.

Wat kan een aanvaller bereiken?

Een succesvolle exploit geeft de Plesk-gebruiker de mogelijkheid om willekeurige commando’s als root uit te voeren.

Root is de hoogste privilege-laag op een Linux-server. Na succesvolle exploitatie kunnen de normale beveiligingsgrenzen tussen afzonderlijke Plesk-subscriptions daarom niet meer als betrouwbaar worden beschouwd.

Een aanvaller kan daarmee mogelijk:

• toegang verkrijgen tot andere hostingaccounts;
• websitebestanden van andere klanten lezen of wijzigen;
• databasegegevens en wachtwoorden benaderen;
• serverconfiguraties wijzigen;
• nieuwe systeemgebruikers of SSH-keys toevoegen;
• malware en permanente backdoors installeren;
• logging manipuleren;
• de volledige Plesk-server overnemen.

Wordt CVE-2026-68489 actief misbruikt?

Op dit moment hebben we geen betrouwbare primaire bron gevonden die bevestigt dat CVE-2026-68489 actief in het wild wordt misbruikt.

Daarom classificeren we deze melding niet als een actief uitgebuite zero-day.

De mogelijke impact blijft echter zeer ernstig. Vooral op Plesk-systemen waarop meerdere onafhankelijke hostinggebruikers actief zijn, moet de update met hoge prioriteit worden uitgevoerd.

Wat moeten Plesk-beheerders nu doen?

• Log in op Plesk als administrator.
• Ga naar Extensions > My Extensions.
• Controleer de geïnstalleerde versie van Node.js Toolkit.
• Update Node.js Toolkit naar versie 2.5.0 of nieuwer.
• Controleer de geïnstalleerde Ruby-extensie.
• Update Ruby naar versie 1.6.6 of nieuwer.
• Controleer na de update opnieuw of daadwerkelijk de beveiligde versies actief zijn.

Tijdelijke mitigatie wanneer updaten niet direct mogelijk is

Plesk adviseert een tijdelijke mitigatie wanneer de extensies niet onmiddellijk kunnen worden bijgewerkt.

Ga voor ieder actief serviceplan naar:

Service Plans > betreffende serviceplan > Permissions

Schakel daar de volgende rechten uit:

• Node.js support management;
• Ruby support management.

Een andere mogelijkheid is om de Node.js Toolkit- en/of Ruby-extensie tijdelijk volledig te verwijderen.

Dit is uitsluitend een workaround. Het installeren van de beveiligde extensieversies blijft de aanbevolen oplossing.

Let op: het verwijderen van de extensies zorgt ervoor dat Node.js- of Ruby-applicaties die hiervan afhankelijk zijn niet meer functioneren.

Controle op mogelijke compromittering

Het aantreffen van een kwetsbare extensieversie betekent niet automatisch dat de server is gecompromitteerd.

Op servers waarop niet-vertrouwde of gecompromitteerde Plesk-gebruikers aanwezig kunnen zijn geweest, adviseren we echter aanvullende controle.

• Controleer op onbekende processen die als root draaien.
• Controleer nieuwe of gewijzigde bestanden onder /root.
• Controleer authorized_keys voor root en andere beheerdersaccounts.
• Controleer op onbekende systeemgebruikers.
• Controleer onverwachte wijzigingen onder /etc.
• Controleer onbekende cronjobs en systemd-services.
• Controleer recente sudo- en authenticatielogs.
• Controleer of bestanden buiten een Plesk-subscription onverwacht door een hostinggebruiker zijn gewijzigd.

Worden aanwijzingen gevonden dat een hostinggebruiker daadwerkelijk root-rechten heeft verkregen, dan is alleen het updaten van de Plesk-extensie niet voldoende. De volledige server moet dan als potentieel gecompromitteerd worden onderzocht.

Vservs Managed Hosting

Bij Vservs Managed Hosting verzorgen wij onder andere serverbeheer, security-updates, hardening en monitoring van beheerde Linux-serveromgevingen.

Kwetsbaarheden zoals CVE-2026-68489 laten zien waarom niet alleen het besturingssysteem en Plesk zelf moeten worden bijgehouden. Ook afzonderlijke control-panel-extensies kunnen beveiligingsproblemen bevatten die uiteindelijk toegang tot de volledige server mogelijk maken.

Bronnen

• Plesk – CVE-2026-68489 Security Advisory

Een kritieke kwetsbaarheid in de WordPress-plugin WooCommerce Wholesale Lead Capture wordt actief misbruikt om PHP-backdoors op kwetsbare websites te plaatsen. De beveiligingsfout is geregistreerd als CVE-2026-27540 en maakt het mogelijk om zonder WordPress-account willekeurige bestanden naar de server te uploaden.

De kwetsbaarheid treft WooCommerce Wholesale Lead Capture tot en met versie 2.0.3.1. De beveiligingsfout is opgelost in versie 2.0.3.2.

Hoewel de kwetsbaarheid eerder in 2026 werd bekendgemaakt, is de situatie inmiddels aanzienlijk urgenter geworden. Beveiligingsonderzoekers melden actieve aanvallen waarbij CVE-2026-27540 daadwerkelijk wordt gebruikt om PHP-webshells op WordPress-websites te plaatsen.

Wat is CVE-2026-27540?

CVE-2026-27540 is een kritieke arbitrary file upload-kwetsbaarheid in de Wholesale Lead Capture Plugin for WooCommerce.

De plugin wordt gebruikt voor onder andere zakelijke en wholesale-registraties binnen WooCommerce. Onderdeel daarvan is functionaliteit waarmee bestanden via registratieformulieren kunnen worden aangeleverd.

Door onvoldoende controle van het bestandstype kan een niet-ingelogde aanvaller de uploadfunctionaliteit misbruiken om willekeurige bestanden naar de server te schrijven.

Daaronder vallen ook uitvoerbare PHP-bestanden.

Van file upload naar volledige WordPress-overname

Het kunnen uploaden van een PHP-bestand is aanzienlijk ernstiger dan een normale ongewenste bestandsupload.

Wanneer het geüploade bestand via de webserver bereikbaar en uitvoerbaar is, kan een aanvaller een PHP-webshell of andere backdoor plaatsen. Daarmee kan vervolgens code worden uitgevoerd binnen de rechten van het hostingaccount.

Een aanvaller kan daardoor onder andere:

• WordPress-bestanden aanpassen;
• malware en backdoors installeren;
• databasegegevens en configuratiebestanden uitlezen;
• WordPress-beheerders aanmaken of wijzigen;
• bezoekers naar schadelijke websites doorsturen;
• spam- of phishingpagina’s plaatsen;
• de volledige WordPress-website overnemen.

Welke versies zijn kwetsbaar?

Kwetsbaar:

• WooCommerce Wholesale Lead Capture 2.0.3.1 en ouder.

Beveiligd tegen CVE-2026-27540:

• WooCommerce Wholesale Lead Capture 2.0.3.2 of nieuwer.

Controleer altijd de daadwerkelijk geïnstalleerde pluginversie. Het feit dat WordPress Core en WooCommerce zelf actueel zijn, betekent niet dat deze afzonderlijke premium plugin eveneens is bijgewerkt.

Wordt CVE-2026-27540 actief misbruikt?

Ja. Voor CVE-2026-27540 is actieve exploitatie waargenomen.

Beveiligingsonderzoekers melden dat aanvallers de kwetsbaarheid gebruiken om PHP-webshells op kwetsbare WordPress-installaties te uploaden.

Volgens actuele gegevens van Wordfence zijn sinds juni 2026 meer dan 100.000 exploitpogingen tegen deze kwetsbaarheid geblokkeerd.

Dit betekent dat beheerders van een kwetsbare installatie niet alleen moeten updaten. Omdat daadwerkelijke aanvallen plaatsvinden, moet ook worden gecontroleerd of de website mogelijk al is gecompromitteerd.

Wat moeten WordPress- en WooCommerce-beheerders nu doen?

• Controleer direct of WooCommerce Wholesale Lead Capture is geïnstalleerd.
• Controleer de volledige versienummering van de plugin.
• Update versie 2.0.3.1 en ouder onmiddellijk naar 2.0.3.2 of nieuwer.
• Verwijder of deactiveer de plugin wanneer een beveiligde versie niet kan worden geïnstalleerd.
• Controleer de website op onbekende PHP-bestanden en andere recent aangemaakte bestanden.
• Controleer WordPress op onbekende administratoraccounts.
• Controleer webserverlogs op verdachte requests naar de uploadfunctionaliteit van de plugin.

Controle op mogelijke compromittering

Omdat CVE-2026-27540 actief wordt misbruikt, adviseren we kwetsbare installaties nadrukkelijk op tekenen van compromittering te controleren.

Controleer onder andere:

• onbekende PHP-bestanden in uploadmappen;
• PHP-, PHTML- en andere uitvoerbare bestanden onder wp-content/uploads;
• recent gewijzigde WordPress Core-, plugin- en themabestanden;
• onbekende WordPress-beheerders;
• onverwachte wijzigingen in wp-config.php;
• onbekende plugins en must-use plugins;
• verdachte WordPress-cronjobs;
• onverwachte uitgaande verbindingen vanaf de website;
• spam, redirects of onbekende pagina’s die via de website worden aangeboden.

Controleer daarnaast de webserverlogs op requests naar de kwetsbare AJAX-uploadfunctionaliteit. De kwetsbaarheid bevindt zich in de handler wwlc_file_upload_handler.

Worden verdachte PHP-bestanden, onbekende beheerders of andere indicatoren van compromittering aangetroffen, dan is alleen het installeren van de update niet voldoende. De volledige WordPress-installatie en waar mogelijk ook de onderliggende hostingomgeving moeten dan worden onderzocht.

Vservs Managed WordPress

Bij Vservs Managed WordPress Hosting worden WordPress Core, plugins en themes technisch beheerd en gecontroleerd op updates en bekende beveiligingsrisico’s.

Kritieke kwetsbaarheden zoals CVE-2026-27540 laten zien waarom pluginbeheer niet alleen uit periodiek updaten bestaat. Wanneer actieve exploitatie wordt vastgesteld, zijn snelle patching, monitoring en indien nodig controle op compromittering essentieel.

Bronnen

• WPScan – CVE-2026-27540
• The Hacker News – actieve exploitatie van CVE-2026-27540