Auteur: Vincent Zeilmaker – Vservs B.V.

Een kritieke LiteSpeed Enterprise-kwetsbaarheid kan een hostinggebruiker met beperkte rechten in staat stellen root-toegang tot de volledige server te verkrijgen. De kwetsbaarheid treft LiteSpeed Web Server Enterprise-versies ouder dan 6.3.7 en is vooral ernstig op shared-hostingservers waarop meerdere klanten en websites dezelfde server delen.

Via deze LiteSpeed Enterprise-kwetsbaarheid kan een aanvaller mogelijk buiten de grenzen van het eigen hostingaccount komen en beveiligingsmaatregelen voor accountisolatie, waaronder CageFS, omzeilen. Een succesvolle privilege escalation naar root kan daardoor gevolgen hebben voor andere websites, databases en diensten op dezelfde server.

Vservs adviseert beheerders van LiteSpeed Web Server Enterprise om het exacte versienummer direct te controleren en installaties ouder dan 6.3.7 onmiddellijk bij te werken.

Het beveiligingslek is met name ernstig op shared-hostingservers, omdat een gecompromitteerd of kwaadwillend hostingaccount mogelijk uit zijn eigen omgeving kan ontsnappen en toegang kan krijgen tot andere websites en de onderliggende server.

Wat is het probleem?

De kwetsbaarheid betreft privilege escalation binnen LiteSpeed Web Server Enterprise.

Een aanvaller die al over beperkte toegang tot een websiteaccount beschikt, kan de kwetsbaarheid mogelijk gebruiken om zijn rechten te verhogen tot rootniveau.

Root is het hoogste privilege op een Linux-server. Een succesvolle aanval kan daardoor gevolgen hebben voor alle websites en diensten die op dezelfde server draaien.

Ook CageFS-isolatie kan worden omzeild

Volgens cPanel kan de kwetsbaarheid de normale isolatie tussen hostingaccounts doorbreken.

Daarbij kan onder andere CageFS, dat veel wordt gebruikt in CloudLinux-omgevingen om hostingaccounts van elkaar te isoleren, worden omzeild.

Dit betekent dat een kwaadwillende gebruiker mogelijk niet beperkt blijft tot zijn eigen hostingaccount.

Welke versies zijn getroffen?

Getroffen:

• LiteSpeed Web Server Enterprise-versies ouder dan 6.3.7.

Veilig:

• LiteSpeed Web Server Enterprise 6.3.7 of nieuwer.

Wat kan een aanvaller bereiken?

Bij succesvolle exploitatie kan een aanvaller mogelijk:

• root-rechten verkrijgen;
• buiten het eigen hostingaccount komen;
• andere websites op dezelfde server benaderen;
• bestanden van andere klanten lezen of wijzigen;
• serverconfiguratie aanpassen;
• malware of permanente backdoors installeren;
• accountisolatie zoals CageFS omzeilen.

Wordt de kwetsbaarheid actief misbruikt?

Op het moment van publicatie is er geen betrouwbare bevestiging dat deze LiteSpeed Enterprise-kwetsbaarheid actief op grote schaal wordt misbruikt.

Gezien de mogelijke escalatie naar root en de gevolgen voor shared-hostingservers moet de update desondanks met hoge prioriteit worden geïnstalleerd.

Wat moeten serverbeheerders doen?

• Controleer of LiteSpeed Web Server Enterprise wordt gebruikt.
• Controleer het exacte versienummer.
• Update alle installaties ouder dan 6.3.7 onmiddellijk.
• Controleer hostingaccounts op verdachte bestanden en processen.
• Controleer recent aangemaakte systeemgebruikers en SSH-keys.
• Controleer sudoers, cronjobs en systemd-services op onverwachte wijzigingen.

cPanel adviseert expliciet om minimaal LiteSpeed Enterprise 6.3.7 te installeren.

Controle op mogelijke compromittering

Servers die langere tijd met een kwetsbare LiteSpeed-versie hebben gedraaid, kunnen aanvullend worden gecontroleerd op tekenen van privilege escalation.

Let daarbij onder andere op:

• onbekende processen die als root draaien;
• onverwachte wijzigingen onder /root;
• nieuwe SSH authorized_keys;
• onbekende systeemaccounts;
• verdachte cronjobs;
• nieuwe of gewijzigde systemd-services;
• onverwachte setuid-bestanden;
• wijzigingen aan bestanden buiten het eigen hostingaccount.

Vservs Managed Hosting

Bij Vservs Managed WordPress en managed serverdiensten worden beveiligingsupdates, server hardening en monitoring technisch beheerd.

Privilege-escalationkwetsbaarheden zoals deze laten zien waarom niet alleen het CMS, maar ook de volledige hostingstack actueel gehouden moet worden.

Bronnen

• cPanel – LiteSpeed Enterprise security advisory, 14 september 2026
• LiteSpeed Technologies

Acronis waarschuwt voor een ernstige privilege-escalationkwetsbaarheid in de Acronis Backup-integraties voor cPanel & WHM en Plesk.

De kwetsbaarheid is geregistreerd als CVE-2026-87886 en heeft een CVSS-score van 7.8 (High).

Een aanvaller die al beperkte lokale toegang tot een kwetsbare Linux-server heeft, kan de kwetsbaarheid gebruiken om hogere privileges te verkrijgen.

Acronis heeft bovendien aanwijzingen ontvangen dat de kwetsbaarheid mogelijk al in beperkte, gerichte aanvallen is gebruikt.

Wat is CVE-2026-87886?

CVE-2026-87886 is een lokale privilege-escalationkwetsbaarheid in de backupintegraties van Acronis voor hostingcontrolpanels.

De kwetsbaarheid treft zowel:

• Acronis Backup plugin voor cPanel & WHM;
• Acronis Backup extension voor Plesk.

Een aanvaller moet al over beperkte toegang tot de Linux-server beschikken. De kwetsbaarheid is dus geen unauthenticated aanval vanaf internet.

Wanneer aan die voorwaarde wordt voldaan, kan de aanvaller zijn privileges verhogen zonder verdere interactie van een gebruiker.

Welke versies zijn getroffen?

Voor cPanel & WHM zijn builds vóór:

1.9.3.1021

kwetsbaar.

Voor de Plesk-extension zijn builds vóór:

1.8.11.638

kwetsbaar.

Acronis heeft bijgewerkte versies beschikbaar gesteld. Serverbeheerders moeten bij de controle niet alleen naar de hoofdversie, maar ook naar het exacte buildnummer kijken.

Wat kan een aanvaller bereiken?

Bij succesvolle exploitatie kan een gebruiker met beperkte servertoegang zijn privileges verhogen.

Dat kan onder andere leiden tot:

• toegang tot gevoelige gegevens;
• wijzigen van bestanden waarvoor het account normaal geen rechten heeft;
• manipulatie van serverconfiguratie;
• verstoring van diensten;
• verdere compromittering van de Linux-server.

Wordt CVE-2026-87886 actief misbruikt?

Acronis meldt dat er aanwijzingen zijn voor beperkte en gerichte exploitatie van de kwetsbaarheid in de Acronis Backup plugin voor cPanel & WHM.

Die beoordeling is volgens de momenteel beschikbare informatie gebaseerd op één melding van een mogelijk getroffen klant.

Er is daarom op dit moment onvoldoende bewijs om te spreken van grootschalige actieve exploitatie.

Vanwege de mogelijke privilege escalation en de melding van mogelijke exploitatie adviseert Vservs beheerders desondanks om de beschikbare beveiligingsupdates onmiddellijk te installeren.

Wat moeten cPanel-beheerders doen?

• Controleer of de Acronis Backup plugin aanwezig is.
• Controleer het exacte buildnummer.
• Update installaties ouder dan build 1.9.3.1021 onmiddellijk.
• Controleer gebruikers met shell- of andere lokale servertoegang.
• Controleer verdachte processen en recente privilege-escalationactiviteiten.

Wat moeten Plesk-beheerders doen?

• Controleer of de Acronis Backup extension is geïnstalleerd.
• Controleer het exacte buildnummer.
• Update installaties ouder dan build 1.8.11.638 onmiddellijk.
• Controleer lokale gebruikers en recente wijzigingen op de server.

Controle op mogelijke compromittering

Acronis heeft voor zover publiek bekend geen specifieke indicators of compromise gepubliceerd.

Beheerders van mogelijk getroffen servers kunnen daarom onder andere controleren op:

• onbekende processen met verhoogde privileges;
• onverwachte root-processen;
• nieuwe of gewijzigde SSH-keys;
• verdachte wijzigingen in /etc;
• onbekende cronjobs;
• nieuwe systemd-services;
• onverwachte wijzigingen aan systeemaccounts;
• bestanden die recent als root zijn aangemaakt door processen die normaal met lagere rechten draaien.

Wanneer aanwijzingen voor privilege escalation worden gevonden, moet de server als mogelijk gecompromitteerd worden behandeld. Alleen het installeren van de update is dan niet voldoende.

Vservs Managed Hosting

Bij Vservs Managed WordPress en managed serverdiensten worden beveiligingsupdates, server hardening, monitoring en technische beveiliging actief beheerd.

CVE-2026-87886 onderstreept dat ook backupsoftware en integraties met hostingcontrolpanels onderdeel zijn van de beveiligingsketen en tijdig moeten worden bijgewerkt.

Bronnen

• Acronis Security Advisory SEC-10986
• BleepingComputer – Acronis Backup CVE-2026-87886, 15 september 2026
• CVE.org – CVE-2026-87886

Twee kritieke beveiligingslekken in de populaire WordPress-plugin The Events Calendar kunnen een aanvaller zonder account in staat stellen een kwetsbare WordPress-website volledig over te nemen.

De kwetsbaarheden zijn geregistreerd als CVE-2026-78006 en CVE-2026-78159. Beide hebben een CVSS-score van 9.8 (Critical). The Events Calendar wordt op meer dan 600.000 WordPress-websites gebruikt.

De ernstigste aanvalsketens kunnen uiteindelijk leiden tot uitvoering van code op de server, het wijzigen van het wachtwoord van een administrator en volledige controle over de WordPress-installatie.

Vservs adviseert gebruikers van The Events Calendar daarom om onmiddellijk te controleren welke versie is geïnstalleerd en te upgraden naar versie 6.17.4.1 of nieuwer.

Wat is er aan de hand?

Onderzoekers van Wordfence hebben twee afzonderlijke aanvalsketens ontdekt in The Events Calendar. Beide kunnen worden gestart zonder dat een aanvaller over een WordPress-account hoeft te beschikken.

De kwetsbaarheden bevinden zich in de verwerking en rendering van widgets en WordPress-blocks binnen eventpagina’s.

Onder bepaalde omstandigheden kan inhoud die via een reactie op een event wordt aangeleverd terechtkomen in functionaliteit die daarvoor niet bedoeld is.

CVE-2026-78006: PHP Object Injection naar Remote Code Execution

CVE-2026-78006 betreft een kwetsbaarheid waarbij beveiligingscontroles rond widgetdata kunnen worden omzeild.

Door een combinatie van PHP object-deserialisatie, magic methods en de verwerking van gekopieerde widgetdata kan een aanvaller uiteindelijk willekeurige code op de server uitvoeren.

De kwetsbaarheid heeft een CVSS-score van 9.8 Critical.

Getroffen zijn:

• The Events Calendar tot en met versie 6.17.4.

De kwetsbaarheid is volledig verholpen in:

• The Events Calendar 6.17.4.1 en nieuwer.

CVE-2026-78159: code injection en administrator-overname

De tweede kwetsbaarheid, CVE-2026-78159, maakt eveneens deel uit van een aanvalsketen die zonder authenticatie kan worden gestart.

Een aanvaller kan hierbij misbruik maken van de verwerking van widgetfunctionaliteit om ongewenste functies aan te roepen.

Een mogelijke aanvalsketen maakt het mogelijk het wachtwoord van een WordPress-administrator te wijzigen. Wanneer de aanvaller vervolgens als administrator kan inloggen, kan bijvoorbeeld een kwaadaardige plugin worden geïnstalleerd waarmee PHP-code op de server kan worden uitgevoerd.

Ook CVE-2026-78159 heeft een CVSS-score van 9.8 Critical.

Deze kwetsbaarheid treft versies tot en met 6.17.3 en werd eerder gedeeltelijk opgelost. Omdat CVE-2026-78006 echter nog aanwezig was in latere releases, moet uiteindelijk minimaal 6.17.4.1 worden gebruikt.

Versie 6.17.4 is nog steeds kwetsbaar

Dit is een belangrijk detail. Websites waarop The Events Calendar 6.17.4 draait, zijn niet volledig beschermd.

De volledige oplossing voor beide kwetsbaarheden is beschikbaar vanaf versie:

6.17.4.1

Controleer daarom het volledige versienummer. Een systeem dat alleen 6.17.4 rapporteert, moet nog worden bijgewerkt.

Wanneer is de bekende aanvalsketen mogelijk?

De door onderzoekers beschreven aanvalsketen gebruikt reacties op eventpagina’s als ingang.

Daarvoor moeten reacties op events zijn ingeschakeld en moet binnen The Events Calendar de functionaliteit voor het tonen van reacties op eventpagina’s actief zijn.

Een kwaadaardige reactie hoeft daarbij niet eerst door een beheerder te worden goedgekeurd voordat de beschreven aanvalsketen kan worden gebruikt.

Het uitschakelen van reacties op events kan de bekende aanvalsmethode tijdelijk blokkeren, maar is geen vervanging voor het installeren van de beveiligingsupdate.

Worden de kwetsbaarheden actief misbruikt?

Op het moment van publicatie is er onvoldoende betrouwbare bevestiging om te stellen dat CVE-2026-78006 en CVE-2026-78159 op grote schaal actief worden misbruikt.

De technische details van de kwetsbaarheden zijn inmiddels echter openbaar. In combinatie met de CVSS-score van 9.8, het ontbreken van authenticatie en de grote installed base van The Events Calendar is snel patchen noodzakelijk.

Wat moeten beheerders nu doen?

• Controleer of The Events Calendar is geïnstalleerd.
• Controleer het volledige versienummer.
• Update onmiddellijk naar versie 6.17.4.1 of nieuwer.
• Werk ook eventuele aanvullende plugins uit de Events Calendar-familie bij.
• Schakel reacties op eventpagina’s tijdelijk uit wanneer direct updaten niet mogelijk is.
• Controleer WordPress op onbekende administratoraccounts.
• Controleer recent geïnstalleerde plugins en themes.
• Controleer gewijzigde PHP-bestanden en andere recente wijzigingen binnen de website.

Controle op mogelijke compromittering

Een kwetsbare pluginversie betekent niet automatisch dat een website is gehackt. Websites die langere tijd met een kwetsbare versie publiek bereikbaar zijn geweest, verdienen echter aanvullende controle.

Controleer onder andere:

• onbekende WordPress-administrators;
• onverwachte wachtwoordwijzigingen;
• onbekende of recent geïnstalleerde plugins;
• recent gewijzigde PHP-bestanden;
• bestanden in wp-content/uploads die daar niet thuishoren;
• verdachte requests naar event- en commentfunctionaliteit in de webserverlogs;
• onverwachte cronjobs of geplande WordPress-taken;
• verdachte uitgaande verbindingen vanaf de website.

Wanneer onbekende administratoraccounts, gewijzigde bestanden of andere tekenen van compromittering worden gevonden, is alleen het installeren van de update niet voldoende. De volledige WordPress-installatie moet dan als mogelijk gecompromitteerd worden onderzocht.

Vservs Managed WordPress

Bij Vservs Managed WordPress worden WordPress Core, plugins en themes technisch beheerd. Daarbij horen onder andere beveiligingsupdates, security hardening, monitoring, back-ups en technisch WordPress-beheer.

Kwetsbaarheden zoals CVE-2026-78006 en CVE-2026-78159 laten zien waarom het actueel houden van plugins een essentieel onderdeel is van WordPress-beveiliging.

Bronnen

• Wordfence Threat Intelligence – CVE-2026-78006 en CVE-2026-78159
• The Events Calendar / WordPress plugin repository
• CVE.org – CVE-2026-78006
• CVE.org – CVE-2026-78159

Really Simple Security kwetsbaarheid: in de populaire WordPress-plugin Really Simple Security, voorheen bekend als Really Simple SSL, is een beveiligingslek openbaar gemaakt waarmee de e-mailgebaseerde tweefactorauthenticatie van een WordPress-account kan worden omzeild.

De kwetsbaarheid wordt gevolgd als CVE-2026-89080 en heeft een CVSS-score van 7.5 (High).

Really Simple Security wordt volgens WordPress.org op meer dan 3 miljoen WordPress-websites actief gebruikt.

Een belangrijke nuance is dat CVE-2026-89080 een aanvaller niet zelfstandig het wachtwoord van een WordPress-account laat omzeilen. De aanvaller moet het geldige wachtwoord van het betreffende account al kennen. De kwetsbaarheid maakt het vervolgens mogelijk om de aanvullende bescherming van e-mailgebaseerde 2FA te ondermijnen.

Wanneer het getroffen account Administrator-rechten heeft, kan succesvolle exploitatie daardoor alsnog leiden tot volledige controle over de WordPress-website.

Feiten over de kwetsbaarheid

• Product: Really Simple Security
• Voormalige naam: Really Simple SSL
• Platform: WordPress
• Actieve installaties: 3 miljoen+
• CVE: CVE-2026-89080
• Type: Improper Authentication / 2FA bypass
• CWE: CWE-287
• Ernst: High
• CVSS: 7.5
• Kwetsbare versies: vanaf 9.5.10.1 tot vóór 9.8.1
• Veilige versie: 9.8.1 of nieuwer
• Voorwaarde voor misbruik: de aanvaller moet het geldige wachtwoord van het doelaccount al kennen
• Mogelijke impact: omzeilen van e-mail-2FA en overname van het getroffen gebruikersaccount
• Maximale impact: volledige WordPress-overname wanneer een Administrator-account wordt getroffen
• Exploitstatus: geen bevestigde actieve exploitatie bekend op het moment van publicatie
• Vereiste actie: direct controleren en bijwerken naar Really Simple Security 9.8.1 of nieuwer

Wat is CVE-2026-89080?

Really Simple Security biedt verschillende beveiligingsfuncties voor WordPress, waaronder hardening, loginbeveiliging en tweefactorauthenticatie.

Bij e-mailgebaseerde 2FA wordt naast het reguliere WordPress-wachtwoord een aanvullende verificatiestap gebruikt. Daardoor hoort kennis van alleen het wachtwoord onvoldoende te zijn om toegang tot een beschermd account te krijgen.

CVE-2026-89080 bevindt zich juist in deze aanvullende beveiligingslaag.

Volgens de officiële CVE-beschrijving voorkomen kwetsbare versies van Really Simple Security onvoldoende dat een verzoek de voltooide e-mail-2FA-registratiestatus van een account terugzet.

Een aanvaller die het wachtwoord van dat account al kent, kan daardoor de tweede authenticatiefactor omzeilen en uiteindelijk een geldige gebruikerssessie verkrijgen.

Dit is geen wachtwoordloze Administrator-overname

Het is belangrijk de impact van deze kwetsbaarheid correct te beschrijven.

CVE-2026-89080 geeft een willekeurige aanvaller niet automatisch toegang tot WordPress en maakt het niet mogelijk zonder geldige inloggegevens direct als Administrator in te loggen.

Voor succesvolle accountovername moet de aanvaller het correcte wachtwoord van het betreffende WordPress-account al bezitten.

Dat wachtwoord kan bijvoorbeeld eerder zijn buitgemaakt door phishing, credential stuffing, malware op een werkstation, hergebruik van wachtwoorden of een afzonderlijk datalek.

2FA is juist bedoeld om een account in zo’n situatie alsnog te beschermen. CVE-2026-89080 kan die aanvullende beveiligingslaag onder bepaalde omstandigheden uitschakelen.

Administrator-account blijft het belangrijkste risico

Wanneer een aanvaller via deze kwetsbaarheid toegang krijgt tot een WordPress Administrator-account, kan de impact groot zijn.

Een Administrator kan afhankelijk van de WordPress- en serverconfiguratie onder andere:

• nieuwe Administrator-accounts aanmaken;
• bestaande gebruikersaccounts wijzigen;
• plugins installeren en activeren;
• thema’s aanpassen;
• websitecontent wijzigen;
• kwaadaardige JavaScript-code of redirects plaatsen;
• WooCommerce-gegevens benaderen wanneer WooCommerce aanwezig is;
• beveiligingsplugins uitschakelen;
• malware of phishingpagina’s plaatsen;
• mogelijk PHP-code binnen de website uitvoeren.

Een succesvolle overname van een Administrator-account moet daarom als een mogelijk volledige compromittering van de WordPress-installatie worden behandeld.

Meer dan 3 miljoen actieve installaties

Really Simple Security behoort tot de meest gebruikte beveiligingsplugins voor WordPress.

WordPress.org vermeldt momenteel meer dan 3 miljoen actieve installaties.

De grote installed base maakt CVE-2026-89080 relevant, ook al vereist succesvolle accountovername dat de aanvaller al over het geldige wachtwoord van het doelaccount beschikt.

Update naar Really Simple Security 9.8.1 of nieuwer

De kwetsbare versiereeks loopt volgens de gepubliceerde CVE-informatie vanaf 9.5.10.1 tot vóór 9.8.1.

De noodzakelijke beveiligingsupdate is daarom:

Really Simple Security 9.8.1 of nieuwer

Versie 9.8.1 is op 1 september 2026 gepubliceerd.

De officiële WordPress.org-changelog vermeldt voor deze versie meerdere relevante beveiligingswijzigingen in de authenticatie- en 2FA-functionaliteit:

• voorkomen van onverwachte verwijdering van de login nonce;
• voorkomen dat de 2FA-status onterecht van actief naar open wordt gewijzigd;
• voorkomen van XML-RPC-logins zonder 2FA voor gebruikers waarvoor 2FA is geconfigureerd.

Installeer wanneer inmiddels een nieuwere stabiele versie beschikbaar is bij voorkeur de meest recente ondersteunde versie.

Controleer de geïnstalleerde versie

Beheerders met WP-CLI-toegang kunnen de pluginversie bijvoorbeeld controleren met:

wp plugin list --name=really-simple-ssl --fields=name,status,version,update

De geïnstalleerde versie moet minimaal 9.8.1 zijn.

Controleer na een update daadwerkelijk of de nieuwe versie actief is. Ga er niet automatisch vanuit dat een geplande of automatische WordPress-update succesvol is uitgevoerd.

Controleer accounts waarvoor 2FA wordt gebruikt

Omdat CVE-2026-89080 betrekking heeft op de status van e-mailgebaseerde tweefactorauthenticatie, adviseren wij beheerders om na de update te controleren of 2FA nog correct is ingeschakeld voor accounts waarvoor deze beveiliging verplicht hoort te zijn.

Controleer vooral:

• Administrator-accounts;
• accounts met uitgebreide beheerrechten;
• accounts waarvan de 2FA-status onverwacht is gewijzigd;
• gebruikers die recent opnieuw 2FA moesten configureren zonder bekende aanleiding;
• accounts waarbij 2FA onverwacht niet langer actief blijkt te zijn.

Controleer bestaande Administrator-accounts

Controleer daarnaast of alle bestaande WordPress Administrator-accounts bekend en noodzakelijk zijn.

Met WP-CLI kan dit bijvoorbeeld met:

wp user list --role=administrator

Let op onbekende gebruikers, onverwacht gewijzigde e-mailadressen en accounts die recent Administrator-rechten hebben gekregen.

Controleer verdachte loginactiviteit

Wanneer loginlogging beschikbaar is, controleer dan op afwijkende authenticatieactiviteit gedurende de periode waarin een kwetsbare versie actief was.

Let bijvoorbeeld op:

• succesvolle Administrator-logins vanaf onbekende IP-adressen;
• logins vanaf onverwachte landen of netwerken;
• een succesvolle login kort na meerdere mislukte pogingen;
• onverwachte wijzigingen aan 2FA-instellingen;
• nieuwe sessies voor accounts waarvan de beheerder zelf niet heeft ingelogd;
• wijzigingen aan gebruikersprofielen kort na een afwijkende login.

Een afwijkende login is niet automatisch bewijs dat CVE-2026-89080 is misbruikt, maar moet wel nader worden onderzocht.

Controleer op vervolgactiviteiten

Wanneer er aanwijzingen zijn dat een Administrator-account daadwerkelijk is overgenomen, is alleen het wijzigen van het wachtwoord onvoldoende.

Controleer in dat geval onder andere:

• recent geïnstalleerde plugins;
• onbekende Administrator-accounts;
• bestanden in wp-content/mu-plugins/;
• recent gewijzigde PHP-bestanden;
• PHP-bestanden in wp-content/uploads/;
• onverwachte wijzigingen aan thema’s;
• wijzigingen aan wp-config.php;
• onbekende WordPress cron-events;
• onverwachte redirects of JavaScript-code;
• afwijkend uitgaand mailverkeer.

Controleer WordPress Core-bestanden

Met WP-CLI kunnen de officiële WordPress Core-checksums worden gecontroleerd:

wp core verify-checksums

Onverwachte wijzigingen moeten worden onderzocht.

Een gewijzigde Core-file is niet automatisch bewijs van exploitatie van CVE-2026-89080, maar kan wel wijzen op vervolgactiviteiten nadat een Administrator-account is overgenomen.

Beëindig actieve WordPress-sessies bij vermoedelijke compromittering

Wanneer er concrete aanwijzingen zijn dat een account is overgenomen, moet niet alleen het wachtwoord worden gewijzigd.

Beëindig ook bestaande WordPress-sessies van het getroffen account zodat eventueel reeds verkregen sessies niet actief blijven.

Controleer daarna opnieuw de 2FA-configuratie en configureer de tweede factor opnieuw wanneer de integriteit daarvan niet meer kan worden gegarandeerd.

Wijzig wachtwoorden wanneer misbruik wordt vermoed

Omdat succesvolle exploitatie van CVE-2026-89080 afhankelijk is van kennis van het correcte accountwachtwoord, moet een account waarvan vermoed wordt dat het via deze kwetsbaarheid is overgenomen worden behandeld alsof het wachtwoord bekend is bij een derde.

Gebruik daarom een nieuw en uniek wachtwoord dat niet bij andere websites of diensten wordt gebruikt.

Wanneer hetzelfde wachtwoord elders is gebruikt, wijzig dit daar eveneens.

Geen bevestigde actieve exploitatie

Op het moment van publicatie heeft Vservs geen voldoende betrouwbare bron gevonden die bevestigt dat CVE-2026-89080 daadwerkelijk actief in het wild wordt misbruikt.

Wij duiden deze kwetsbaarheid daarom nadrukkelijk niet aan als actief misbruikt.

De combinatie van meer dan 3 miljoen actieve installaties, de mogelijkheid om een belangrijke tweede authenticatiefactor te omzeilen en de potentiële overname van Administrator-accounts maakt tijdig updaten desondanks noodzakelijk.

Geen universele Indicators of Compromise bekend

Op het moment van publicatie zijn geen betrouwbare universele IP-adressen, malware-hashes, bestandsnamen of andere Indicators of Compromise bekend die exclusief aan misbruik van CVE-2026-89080 kunnen worden gekoppeld.

Vservs publiceert daarom geen speculatieve IoC’s.

De belangrijkste controlepunten zijn de 2FA-status van gebruikers, Administrator-accounts, authenticatielogs, actieve sessies en eventuele vervolgwijzigingen binnen WordPress.

Alleen updaten is na succesvolle accountovername niet voldoende

Een update naar Really Simple Security 9.8.1 of nieuwer sluit de bekende kwetsbaarheid, maar maakt wijzigingen die vóór de update door een aanvaller zijn uitgevoerd niet automatisch ongedaan.

Wanneer concrete aanwijzingen voor ongeautoriseerde Administrator-toegang worden gevonden, moet de WordPress-installatie als mogelijk gecompromitteerd worden behandeld.

Onderzoek in dat geval de volledige installatie en wijzig relevante WordPress-wachtwoorden, actieve sessies, WordPress salts, API-keys en andere secrets wanneer deze tijdens de ongeautoriseerde toegang bereikbaar kunnen zijn geweest.

Verantwoordelijkheid voor WordPress security updates

Klanten zonder Managed WordPress/CMS-onderhoud of een afzonderlijk overeengekomen managed CMS-dienst zijn zelf verantwoordelijk voor het tijdig bijwerken van WordPress, WooCommerce, andere CMS-systemen, plugins, extensies en thema’s.

Wanneer misbruik, malware of aantoonbaar achterstallig onderhoud ervoor zorgt dat een website of dienst een risico vormt voor onze infrastructuur, andere klanten of derden, kan Vservs de getroffen website of dienst tijdelijk isoleren of uitschakelen.

Dit gebeurt uitsluitend als veiligheids- en continuïteitsmaatregel om verdere schade, misbruik of verstoring van onze infrastructuur en diensten te voorkomen.

Herstelwerkzaamheden aan niet-managed omgevingen buiten onze reguliere openingstijden, tijdens weekenden of op feestdagen zijn afhankelijk van de ernst van het incident en beschikbare capaciteit. Wanneer direct ingrijpen niet noodzakelijk is, kunnen herstelwerkzaamheden vanaf de eerstvolgende werkdag worden uitgevoerd.

Managed WordPress door Vservs

Een beveiligingsplugin is geen vervanging voor structureel WordPress-onderhoud. Ook software die zelf beveiligingsfuncties zoals 2FA, hardening en kwetsbaarheidsscanning aanbiedt, kan beveiligingslekken bevatten en moet daarom tijdig worden bijgewerkt.

Met Vservs Managed WordPress verzorgen wij onder andere technisch WordPress-beheer, core-, plugin- en thema-updates, security hardening, monitoring, back-ups en ondersteuning bij beveiligingsincidenten.

Bronnen

• NIST NVD – CVE-2026-89080
• WordPress.org – Really Simple Security
• WPScan – CVE-2026-89080

CVE-2026-3174 is een ernstige beveiligingskwetsbaarheid in de WordPress-plugin Event Tickets and Registration waarmee een externe aanvaller zonder authenticatie de opgeslagen Stripe-credentials van een website kan wijzigen. Hierdoor kunnen daaropvolgende ticketbetalingen naar een Stripe-account van de aanvaller worden omgeleid.

De kwetsbaarheid heeft een CVSS-score van 7,5 High en treft Event Tickets tot en met versie 5.27.4. De beveiligingscorrectie is beschikbaar vanaf versie 5.27.4.1. WordPress.org vermeldt momenteel ruim 90.000 actieve installaties van de plugin.

Wat is CVE-2026-3174?

De kwetsbaarheid bevindt zich in de Stripe OAuth return endpoint van Event Tickets. Door een ontbrekende autorisatiecontrole kan een niet-geauthenticeerde aanvaller gegevens laten verwerken die normaal alleen door een bevoegde beheerder gewijzigd zouden mogen worden.

Een aanvaller kan hierdoor de Stripe merchant credentials vervangen, waaronder access tokens, publishable keys en het gekoppelde Stripe-account-ID.

Wanneer dit succesvol gebeurt, kunnen daaropvolgende ticketbetalingen worden verwerkt via het Stripe-account van de aanvaller in plaats van het account van de website-eigenaar.

Welke Event Tickets-versies zijn kwetsbaar?

• Event Tickets tot en met versie 5.27.4 is kwetsbaar.
• Versie 5.27.4.1 bevat de beveiligingscorrectie.
• Nieuwere stabiele versies bevatten de fix eveneens.

WordPress.org toont momenteel versie 5.29.4 als actuele release. Vservs adviseert daarom niet alleen naar de minimale gepatchte versie bij te werken, maar direct de nieuwste stabiele Event Tickets-versie te gebruiken.

Waarom is deze kwetsbaarheid belangrijk?

CVE-2026-3174 geeft een aanvaller niet direct toegang tot WordPress-beheer of serverbestanden, maar maakt manipulatie van betalingsinstellingen mogelijk.

Voor websites die Event Tickets daadwerkelijk gebruiken om tickets via Stripe te verkopen is de financiële impact aanzienlijk. Een succesvolle aanvaller kan inkomsten laten afvloeien terwijl het bestelproces voor klanten op het eerste gezicht normaal blijft functioneren.

Dit maakt de kwetsbaarheid extra verraderlijk: bezoekers kunnen een geldige checkout zien en een betaling uitvoeren zonder direct te merken dat de merchantconfiguratie is aangepast.

Wordt CVE-2026-3174 actief misbruikt?

Op het moment van publicatie is geen betrouwbare bevestiging gevonden dat CVE-2026-3174 actief in het wild wordt misbruikt.

De CISA-verrijking van de CVE vermeldt momenteel geen waargenomen exploitatie. Patchstack classificeert de kwetsbaarheid wel als high priority vanwege de mogelijkheid tot unauthenticated wijziging van betalingsgegevens.

Door de directe financiële impact adviseert Vservs om een kwetsbare installatie niet online te laten staan in afwachting van exploitatieberichten.

Wat moeten WordPress-beheerders doen?

• Controleer of Event Tickets and Registration is geïnstalleerd.
• Controleer welke pluginversie actief is.
• Update minimaal naar versie 5.27.4.1.
• Installeer bij voorkeur direct de nieuwste stabiele release.
• Controleer de gekoppelde Stripe merchant accountgegevens.
• Controleer of access tokens en account-ID overeenkomen met het eigen Stripe-account.
• Controleer recente Stripe-transacties en uitbetalingen.
• Verwijder de plugin wanneer deze niet meer wordt gebruikt.

Controleer Stripe direct na het updaten

Omdat de kwetsbaarheid specifiek betalingscredentials kan wijzigen, is alleen een pluginupdate niet voldoende wanneer de website met een kwetsbare versie publiek bereikbaar is geweest.

• Controleer in Event Tickets welke Stripe-account-ID is opgeslagen.
• Log rechtstreeks in bij Stripe en controleer gekoppelde applicaties.
• Controleer recente betalingen op onbekende merchant- of accountgegevens.
• Controleer of bedragen daadwerkelijk op het verwachte Stripe-account zijn binnengekomen.
• Controleer wijzigingen in Stripe-configuratie rond verdachte tijdstippen.
• Roteer tokens of API-credentials wanneer manipulatie wordt vermoed.

Wanneer betalingen naar een onbekend Stripe-account zijn gestuurd, moet dit als een financieel beveiligingsincident worden behandeld.

Controle op mogelijke compromise

De bekende kwetsbaarheid richt zich primair op Stripe-configuratie en niet op arbitrary code execution. Toch is aanvullende controle verstandig wanneer onverklaarbare wijzigingen zijn aangetroffen.

• Controleer WordPress administratoraccounts op onbekende gebruikers.
• Controleer Event Tickets-instellingen op wijzigingen.
• Controleer access logs op requests naar Stripe OAuth- of return-endpoints.
• Controleer plugin- en WordPress-logs rond het vermoedelijke wijzigingsmoment.
• Controleer of andere betaalplugins of API-credentials zijn aangepast.
• Controleer recente WordPress-optiewijzigingen indien database-auditing beschikbaar is.

Een kwetsbare pluginversie betekent niet automatisch dat Stripe-credentials zijn gemanipuleerd. Het vergelijken van de huidige merchantgegevens met eerdere configuratie en Stripe-logs biedt hiervoor de beste indicatie.

Vservs Managed WordPress

Bij Vservs Managed WordPress worden WordPress Core, plugins en thema’s technisch beheerd. De dienstverlening omvat beveiligingsupdates, security hardening, monitoring, back-ups en technisch WordPress-beheer.

CVE-2026-3174 laat zien dat beveiligingsproblemen in WordPress-plugins niet alleen kunnen leiden tot malware of website-overname. Ook betaalstromen en externe koppelingen kunnen direct worden geraakt.

Bronnen

• Patchstack – CVE-2026-3174
• WordPress.org – Event Tickets and Registration
• CVE – CVE-2026-3174

CVE-2026-67401 is een kritieke beveiligingskwetsbaarheid in de EmailTrack-functionaliteit van cPanel/WHM waarmee een geauthenticeerde cPanel-gebruiker met mailgerelateerde rechten onder bepaalde omstandigheden code als root kan uitvoeren. Succesvolle exploitatie geeft een aanvaller volledige controle over de hostingserver.

De kwetsbaarheid heeft een CVSS-score van 9,9 en treft ondersteunde cPanel/WHM-versies vóór de door cPanel gepubliceerde beveiligingsbuilds. Vanwege de mogelijkheid tot privilege-escalatie naar root adviseert Vservs beheerders om cPanel/WHM direct bij te werken.

Wat is CVE-2026-67401?

CVE-2026-67401 bevindt zich in de EmailTrack-functionaliteit van cPanel. Volgens het officiële beveiligingsadvies kan een geauthenticeerde cPanel-accountgebruiker met mailgerelateerde rechten misbruik maken van onvoldoende veilige verwerking van invoer.

De kwetsbaarheid wordt geclassificeerd als SQL-injection. Via het kwetsbare codepad kan een aanvaller willekeurige bestanden op de server creëren. Dit kan uiteindelijk worden gebruikt om code met rootrechten uit te voeren.

Daarmee is de impact aanzienlijk groter dan alleen toegang tot mailtrackinggegevens. Een succesvolle aanvaller kan volledige controle over het besturingssysteem verkrijgen.

Welke cPanel/WHM-versies zijn getroffen?

cPanel geeft aan dat alle ondersteunde releasebranches vóór de volgende builds kwetsbaar zijn:

• 11.110.0.143
• 11.134.0.55
• 11.136.0.39
• 11.138.0.4
• WP2: 11.138.1.9

Servers moeten minimaal op de gepatchte build van hun releasebranch draaien. Vservs adviseert echter om, waar mogelijk, direct de meest recente stabiele en ondersteunde cPanel/WHM-versie te installeren.

Waarom is deze cPanel-kwetsbaarheid kritiek?

De kwetsbaarheid vereist wel een geldig cPanel-account met relevante mailrechten, maar succesvolle exploitatie eindigt bij uitvoering van code als root. Root is het hoogste privilege op een Linux-server.

Een aanvaller die rootrechten verkrijgt kan onder andere:

• hostingaccounts en websites uitlezen of aanpassen;
• databasegegevens benaderen;
• mailboxen en mailconfiguratie manipuleren;
• SSH-keys of systeemaccounts toevoegen;
• malware, webshells of backdoors plaatsen;
• firewall- en loggingconfiguratie wijzigen;
• cronjobs en systemd-services gebruiken voor persistence;
• andere klanten op dezelfde server compromitteren.

Op een multi-tenant hostingserver is de potentiële impact daarom serverbreed en niet beperkt tot het cPanel-account waarmee de aanval wordt uitgevoerd.

Wordt CVE-2026-67401 actief misbruikt?

Op het moment van publicatie is geen betrouwbare bevestiging gevonden van actieve exploitatie in het wild.

De CISA-beoordeling bij de CVE vermeldt op dit moment geen geobserveerde exploitatie. Dat verandert niets aan de patchprioriteit: de technische impact is volledig en de kwetsbaarheid heeft een CVSS-score van 9,9.

Vservs adviseert daarom niet te wachten op meldingen van daadwerkelijke aanvallen.

Wat moeten cPanel-beheerders doen?

• Controleer de actuele cPanel/WHM-build.
• Update onmiddellijk naar een gepatchte build of nieuwere ondersteunde versie.
• Controleer welke cPanel-accounts mailgerelateerde rechten hebben.
• Controleer accounts die niet langer nodig zijn en verwijder of blokkeer deze.
• Beperk cPanel-toegang waar mogelijk tot bekende beheerders en klanten.
• Controleer of recente software-updates daadwerkelijk succesvol zijn afgerond.

cPanel adviseert expliciet om naar de nieuwste gepatchte versie bij te werken. Voor deze kwetsbaarheid is geen tijdelijke configuratiemaatregel gepubliceerd die als volwaardige vervanging voor de update kan worden beschouwd.

Controle op mogelijke compromise

Omdat succesvolle exploitatie kan leiden tot root-code execution, moet onderzoek breder worden uitgevoerd dan alleen de EmailTrack-component.

• Controleer cPanel- en systeemlogs op verdachte activiteiten van hostingaccounts.
• Controleer onverwachte of recent aangemaakte bestanden buiten normale accountdirectories.
• Controleer /root/.ssh/authorized_keys en SSH-keys van beheerdersaccounts.
• Controleer nieuwe of gewijzigde systeemgebruikers.
• Controleer root-crontabs en systeembrede cronjobs.
• Controleer nieuwe of gewijzigde systemd-services.
• Controleer processen en uitgaande netwerkverbindingen op onbekende software.
• Controleer webdirectories op webshells of recent gewijzigde PHP-bestanden.
• Controleer beveiligings- en authenticatielogs op privilege-escalatie of afwijkende rootactiviteit.

De aanwezigheid van een kwetsbare cPanel-versie betekent niet automatisch dat een server is gecompromitteerd. Wanneer echter verdachte bestanden, accounts of rootactiviteit worden aangetroffen, moet worden uitgegaan van een mogelijk serverbreed incident.

Vservs Managed Hosting

Bij Vservs Managed VPS worden onder andere systeemupdates, serverbeveiliging, monitoring en technisch beheer uitgevoerd. Kritieke kwetsbaarheden in hostingsoftware worden binnen relevante managed omgevingen beoordeeld en waar nodig gepatcht.

Bij unmanaged servers blijft de klant zelf verantwoordelijk voor het installeren van beveiligingsupdates en het controleren van de server op mogelijke compromise.

Bronnen

• cPanel – CVE-2026-67401 Security Advisory
• CVE – CVE-2026-67401

CVE-2026-48888 is een nieuwe beveiligingskwetsbaarheid in WooCommerce waarmee een externe aanvaller een webshop via een Denial of Service-aanval sterk kan vertragen of tijdelijk onbereikbaar kan maken. De kwetsbaarheid kan zonder authenticatie worden misbruikt en treft WooCommerce-versies ouder dan 11.1.0.

De impact verdient extra aandacht omdat WooCommerce op miljoenen WordPress-websites wordt gebruikt en voor veel organisaties een bedrijfskritisch onderdeel van de website vormt. Uitval kan rechtstreeks gevolgen hebben voor bestellingen, betalingen en omzet.

Wat is CVE-2026-48888?

CVE-2026-48888 is een Denial of Service-kwetsbaarheid waarbij onvoldoende begrenzing van serverresources kan worden misbruikt. Een externe aanvaller hoeft hiervoor niet over een WordPress-account of andere geldige inloggegevens te beschikken.

Door speciaal gevormde verzoeken naar een kwetsbare WooCommerce-installatie te sturen, kan een aanvaller overmatig gebruik van serverresources veroorzaken. Hierdoor kunnen onder andere PHP-processen, CPU-capaciteit en andere beschikbare resources zwaar worden belast.

Wanneer voldoende requests worden verstuurd, kan de webshop steeds trager reageren. In het ernstigste geval ontstaan time-outs of HTTP 5xx-fouten en wordt de webshop tijdelijk volledig onbereikbaar voor bezoekers en klanten.

Welke WooCommerce-versies zijn kwetsbaar?

De kwetsbaarheid treft WooCommerce-versies ouder dan 11.1.0. De beveiligingsfix voor CVE-2026-48888 is opgenomen in WooCommerce 11.1.0.

• WooCommerce-versies ouder dan 11.1.0 zijn kwetsbaar.
• WooCommerce 11.1.0 bevat de beveiligingsfix.
• Nieuwere ondersteunde WooCommerce-versies bevatten eveneens de correctie.

Vservs adviseert WooCommerce-beheerders om niet uitsluitend naar de minimaal veilige versie te kijken, maar waar mogelijk de meest recente stabiele en ondersteunde WooCommerce-release te gebruiken.

Waarom is deze WooCommerce-kwetsbaarheid belangrijk?

Een Denial of Service-kwetsbaarheid geeft een aanvaller niet automatisch toegang tot WordPress-administratie, klantgegevens of de database. De primaire impact van deze kwetsbaarheid is beschikbaarheid.

Voor een webshop is beschikbaarheid echter essentieel. Wanneer bezoekers producten niet kunnen bekijken, geen winkelmand kunnen openen of de checkout niet kunnen bereiken, kunnen er geen bestellingen worden geplaatst.

Daarnaast kan een sterke toename van resourcegebruik gevolgen hebben voor andere websites wanneer meerdere websites dezelfde serverresources delen. Dit maakt een dergelijke kwetsbaarheid ook vanuit hostingperspectief relevant.

Wordt CVE-2026-48888 actief misbruikt?

Op het moment van publicatie is er geen betrouwbare bevestiging gevonden dat CVE-2026-48888 op grote schaal actief in het wild wordt misbruikt.

Dat betekent niet dat kwetsbare WooCommerce-installaties zonder update veilig kunnen blijven draaien. De kwetsbaarheid kan zonder authenticatie worden bereikt en de technische details zijn openbaar. Hierdoor bestaat het risico dat aanvallers exploitatiemethoden ontwikkelen of geautomatiseerde aanvallen uitvoeren.

Vservs adviseert daarom om de beschikbare beveiligingsupdate preventief te installeren en niet te wachten op bevestigde actieve exploitatie.

Wat moeten WooCommerce-beheerders doen?

Controleer eerst welke WooCommerce-versie momenteel op de WordPress-website actief is. Wanneer een versie ouder dan 11.1.0 wordt gebruikt, moet WooCommerce worden bijgewerkt.

• Update WooCommerce naar versie 11.1.0 of nieuwer.
• Gebruik bij voorkeur de meest recente stabiele WooCommerce-release.
• Maak vóór een productie-update een actuele back-up van bestanden en database.
• Controleer na de update de winkelwagen en checkout.
• Test de gebruikte betaalmethoden.
• Controleer maatwerkplugins en koppelingen met externe systemen.
• Blijf webserver- en applicatielogs controleren op opvallende request-pieken.

Bij webshops met veel maatwerk is het verstandig de update eerst gecontroleerd uit te voeren en vervolgens de belangrijkste bestelprocessen te testen. Een beveiligingsupdate mag niet onnodig worden uitgesteld, maar een functionerende checkout blijft uiteraard essentieel.

Controle op mogelijke Denial of Service-aanvallen

Een Denial of Service-aanval laat doorgaans niet dezelfde sporen achter als een traditionele WordPress-compromise waarbij bijvoorbeeld een webshell, administratoraccount of malware wordt geplaatst. Het onderzoek richt zich daarom vooral op verkeerspatronen en serverbelasting.

• Controleer webserverlogs op grote aantallen gelijksoortige requests.
• Controleer of dezelfde endpoints in korte tijd uitzonderlijk vaak zijn aangeroepen.
• Vergelijk perioden van hoge CPU- of PHP-belasting met de access logs van de webshop.
• Controleer monitoring op plotseling oplopende responstijden.
• Controleer op HTTP 500-, 502-, 503- en 504-fouten tijdens perioden van hoge belasting.
• Controleer PHP-FPM en databasebelasting wanneer de webshop ongebruikelijk traag is geweest.
• Onderzoek opvallende request-pieken vanaf één IP-adres of groepen adressen, maar houd rekening met aanvallen vanuit meerdere bronnen.

Hoge serverbelasting betekent op zichzelf niet dat CVE-2026-48888 is misbruikt. WooCommerce-webshops kunnen ook door legitiem verkeer, bots, slecht functionerende plugins, zware databasequeries of ongecontroleerde WordPress-crontaken veel resources gebruiken. Loggegevens en monitoring moeten daarom in samenhang worden beoordeeld.

Vservs Managed WordPress

Bij Vservs Managed WordPress worden WordPress Core, plugins en thema’s technisch beheerd. De dienstverlening omvat onder andere beveiligingsupdates, security hardening, malwaremonitoring, back-ups en performancecontrole.

Kwetsbaarheden zoals CVE-2026-48888 laten zien waarom actueel pluginbeheer belangrijk is voor zakelijke WordPress- en WooCommerce-websites. Niet iedere beveiligingskwetsbaarheid leidt direct tot diefstal van gegevens of een gehackte website; ook beschikbaarheidsproblemen kunnen voor een zakelijke webshop grote gevolgen hebben.

Bronnen

• Patchstack Vulnerability Database
• GitHub Advisory Database
• WordPress.org – WooCommerce
• WooCommerce Developer Resources

In Plesk Backup Manager zijn twee nieuwe beveiligingskwetsbaarheden ontdekt die in het ernstigste geval kunnen leiden tot volledige controle over een server als root. De kwetsbaarheden zijn geregistreerd als CVE-2026-68487 en CVE-2026-68488 en treffen Plesk Obsidian voor Linux.

Beheerders van Plesk-servers wordt geadviseerd de geïnstalleerde versie direct te controleren en de beschikbare beveiligingsupdates te installeren. Vooral op servers waarop meerdere klanten of subscriptions actief zijn, is de potentiële impact groot.

Welke Plesk Backup Manager-versies zijn getroffen?

Volgens de beveiligingsadviezen van Plesk zijn de volgende versies kwetsbaar:

• Plesk Obsidian 18.0.80.6 en ouder
• Plesk Obsidian 18.0.79.10 en ouder

De kwetsbaarheden zijn opgelost in:

• Plesk Obsidian 18.0.80.7
• Plesk Obsidian 18.0.79.11
• Nieuwere Plesk-versies en builds waarin deze beveiligingsupdates zijn opgenomen

Plesk voor Windows wordt volgens de fabrikant niet door deze twee kwetsbaarheden getroffen.

CVE-2026-68487: bestanden schrijven als root

CVE-2026-68487 bevindt zich in de verwerking van back-ups door Plesk Backup Manager. Een geauthenticeerde klant kan onder bepaalde omstandigheden path traversal misbruiken tijdens het verwerken of herstellen van een back-up.

Hierdoor kan een aanvaller proberen bestanden buiten de eigen hostingomgeving te laten schrijven. Het ernstige aspect van deze kwetsbaarheid is dat deze bestanden met root-rechten kunnen worden aangemaakt. Daarmee kan een normale hostingaccount potentieel worden gebruikt als opstap naar volledige controle over het onderliggende Linux-systeem.

Op een server met meerdere klanten is dit bijzonder relevant. De beveiligingsgrens tussen een afzonderlijke Plesk-subscription en het besturingssysteem mag normaal gesproken niet kunnen worden doorbroken. Wanneer een klant vanuit zijn eigen omgeving bestanden als root buiten die omgeving kan beïnvloeden, is er sprake van een privilege-escalatie met serverbrede impact.

CVE-2026-68488: privilege escalation via symlink race

De tweede kwetsbaarheid, CVE-2026-68488, heeft eveneens betrekking op het herstellen van gegevens via Plesk Backup Manager. Hierbij speelt een race condition rond symbolische links, oftewel symlinks.

Een klant met normale toegang tot het Plesk Panel en FTP kan onder bepaalde omstandigheden een symlink manipuleren tijdens een restore. Hierdoor kan het eigenaarschap van bestanden of directories buiten de eigen subscription worden gewijzigd.

Plesk geeft aan dat succesvolle exploitatie uiteindelijk kan leiden tot volledige root-toegang. Een aanvaller die root-rechten verkrijgt, is niet langer beperkt tot één website of hostingaccount en kan in principe het volledige systeem beïnvloeden.

Waarom zijn deze kwetsbaarheden ernstig?

Beide kwetsbaarheden doorbreken de scheiding die normaal gesproken bestaat tussen een hostingklant en het onderliggende besturingssysteem. Dit maakt de kwetsbaarheden vooral belangrijk voor shared en multi-tenant Plesk-omgevingen waarop meerdere websites, subscriptions of klanten worden gehost.

Root-toegang is het hoogste privilege op een Linux-server. Bij succesvolle exploitatie kan een aanvaller bijvoorbeeld systeembestanden wijzigen, persistente toegang creëren, aanvullende malware installeren of gegevens van andere omgevingen proberen te benaderen.

Het installeren van de beveiligingsupdate heeft daarom prioriteit, ook wanneer er op een server nog geen aanwijzingen voor misbruik zijn gevonden.

Worden CVE-2026-68487 en CVE-2026-68488 actief misbruikt?

Op het moment van publicatie melden de officiële beveiligingsadviezen van Plesk geen bevestigde actieve exploitatie van CVE-2026-68487 of CVE-2026-68488 in het wild.

Dat betekent nadrukkelijk niet dat kwetsbare servers zonder update veilig kunnen blijven draaien. De technische impact is hoog en er zijn beveiligingsupdates beschikbaar. Zodra details over een kwetsbaarheid openbaar zijn, kunnen aanvallers bovendien proberen zelf exploitatiemethoden te ontwikkelen.

Wat moeten Plesk-beheerders doen?

Controleer eerst welke Plesk Obsidian-versie op de server actief is en installeer vervolgens alle beschikbare updates.

• Servers op de 18.0.80-tak moeten minimaal Plesk Obsidian 18.0.80.7 gebruiken.
• Servers op de 18.0.79-tak moeten minimaal Plesk Obsidian 18.0.79.11 gebruiken.
• Installeer bij voorkeur de meest recente beschikbare en ondersteunde Plesk-build.
• Controleer of klanten toegang hebben tot back-up- en restorefuncties.
• Controleer recente restore-activiteiten wanneer de server langere tijd een kwetsbare versie heeft gebruikt.

Alleen het installeren van een update is niet voldoende wanneer er aanwijzingen bestaan dat een kwetsbaarheid vóór de update al is misbruikt. In dat geval moet de server aanvullend op compromise worden onderzocht.

Controle op mogelijke compromise

Plesk heeft bij deze beveiligingsadviezen geen specifieke indicators of compromise gepubliceerd. Beheerders kunnen wel gericht zoeken naar afwijkingen die kunnen wijzen op ongeautoriseerde activiteiten.

• Controleer recente Plesk Backup Manager- en restore-activiteiten.
• Controleer de logs onder /var/log/plesk/PMM/ op onverwachte of onbekende restores.
• Controleer op recent aangemaakte of gewijzigde root-owned bestanden buiten de verwachte systeemlocaties.
• Controleer SSH authorized_keys van root en andere beheeraccounts op onbekende sleutels.
• Controleer root-crontabs en systeemcron-directories op onbekende taken.
• Controleer onbekende of recent toegevoegde systemd-services.
• Controleer bij concrete aanwijzingen voor misbruik ook op onverwachte SUID- en SGID-bestanden.

Wanneer afwijkingen worden gevonden, moet niet alleen de betreffende Plesk-subscription worden onderzocht. Omdat beide kwetsbaarheden privilege escalation tot root mogelijk kunnen maken, moet in dat geval de volledige server als mogelijk gecompromitteerd worden beschouwd.

Vservs Managed Hosting

Bij Vservs Managed Hosting worden relevante serverupdates, beveiligingsmeldingen en serverconfiguraties proactief gecontroleerd. Hierdoor kunnen kritieke kwetsbaarheden in hostingsoftware zoals Plesk sneller worden beoordeeld en waar nodig worden verholpen.

Meer informatie over volledig beheerde serveromgevingen vindt u op onze pagina over Managed VPS hosting.

Bronnen

• Plesk Security Advisory – CVE-2026-68487
• Plesk Security Advisory – CVE-2026-68488

Drupal SAML SSO kwetsbaarheid: de Drupal Security Team heeft op 9 september 2026 een omvangrijke serie beveiligingsadviezen gepubliceerd voor de module miniOrange SAML SSO – Service Provider.

De problemen hebben onder andere betrekking op toegangscontrole, SAML-authenticatie, certificaatvalidatie, cryptografie, replay protection, cross-site scripting en Server Side Request Forgery.

De ernstigste kwetsbaarheid is door Drupal geclassificeerd als Critical 18/25. De kwetsbare versies moeten worden bijgewerkt naar miniOrange SAML SSO – Service Provider 3.2.0.

De module wordt volgens Drupal.org door ongeveer 2.374 Drupal-sites gebruikt. Vanwege de beveiligingsgevoelige functie van de module en het aantal afzonderlijke kwetsbaarheden adviseren wij gebruikers om de update niet uit te stellen.

Drupal SAML SSO kwetsbaarheid in miniOrange

miniOrange SAML SSO – Service Provider wordt gebruikt om Drupal-websites via SAML 2.0 aan een externe Identity Provider te koppelen.

Daarmee bevindt de module zich direct in het authenticatieproces van een website. Kwetsbaarheden in een dergelijke module kunnen daarom aanzienlijk meer impact hebben dan problemen in een normale content- of weergavemodule.

De Drupal Security Team publiceerde op 9 september meerdere afzonderlijke advisories voor hetzelfde product. Omdat deze problemen gezamenlijk door dezelfde update worden opgelost, behandelen wij ze in één beveiligingsmelding.

Feiten over de Drupal SAML SSO kwetsbaarheden

• Product: miniOrange SAML SSO – Service Provider
• Platform: Drupal
• Kwetsbare versies: versies ouder dan 3.2.0
• Gepatchte versie: 3.2.0
• Gemelde Drupal-installaties: circa 2.374
• Ernstigste Drupal security risk: Critical 18/25
• CVSS: geen afzonderlijke CVSS-score vermeld in de Drupal-advisories op het moment van publicatie
• Authenticatieproblemen: ja
• Access-controlproblemen: ja
• Actieve exploitatie: niet bevestigd; Drupal classificeert exploitability als Theoretical
• Vereiste actie: update miniOrange SAML SSO – Service Provider naar versie 3.2.0

Welke CVE’s zijn gepubliceerd?

De beveiligingsronde omvat meerdere afzonderlijke CVE’s voor miniOrange SAML SSO – Service Provider:

• CVE-2026-87943: Improper Access Control
• CVE-2026-87944: Improper Certificate Validation
• CVE-2026-87945: Open Redirect
• CVE-2026-87946: Weak Cryptographic Practices
• CVE-2026-87947: Authentication Bypass
• CVE-2026-87948: Cross-Site Scripting
• CVE-2026-87949: Cross-Site Scripting
• CVE-2026-87950: Embedded Credentials
• CVE-2026-87951: Information Disclosure
• CVE-2026-87952: Insufficient Replay Protection
• CVE-2026-87953: Server Side Request Forgery

CVE-2026-87943: onvoldoende toegangscontrole

De zwaarste advisory binnen deze beveiligingsronde betreft CVE-2026-87943.

Drupal classificeert deze kwetsbaarheid als Critical 18/25.

De module beschermt bepaalde functionaliteit die uitsluitend voor administratieve gebruikers bedoeld is onvoldoende.

Hierdoor kunnen onbevoegde gebruikers mogelijk toegang krijgen tot functies of configuratiewaarden wijzigen die uitsluitend voor gebruikers met hogere rechten beschikbaar horen te zijn.

Omdat het probleem direct betrekking heeft op de toegangscontrole van een SAML-authenticatiemodule, adviseren wij deze kwetsbaarheid met hoge prioriteit te behandelen.

CVE-2026-87947: probleem in SAML-authenticatie

CVE-2026-87947 betreft een authentication-bypassprobleem in de manier waarop de module de signature algorithm van een SAML assertion verwerkt.

Volgens Drupal wordt onvoldoende afgedwongen welk algoritme voor het controleren van een SAML assertion mag worden gebruikt.

Het gebruikte algoritme kan hierdoor worden beïnvloed door de binnenkomende SAML-response in plaats van uitsluitend te worden gekoppeld aan het type sleutel dat voor de Identity Provider is geconfigureerd.

Voor misbruik moet een aanvaller wel een speciaal geconstrueerde SAML-response aan de getroffen website kunnen aanbieden.

Problemen met certificaatvalidatie

CVE-2026-87944 betreft onvoldoende TLS-certificaatvalidatie wanneer de module uitgaande HTTPS-verbindingen uitvoert.

Een aanvaller die netwerkverkeer kan onderscheppen of omleiden, zou hierdoor mogelijk een vertrouwde externe dienst kunnen nabootsen en communicatie vanuit de Drupal-website kunnen beïnvloeden.

De aanval vereist dat de aanvaller daadwerkelijk in staat is netwerkverkeer vanaf de website te onderscheppen of om te leiden.

Replay protection en cryptografie

Ook de cryptografische verwerking van SAML-verkeer bevat beveiligingsproblemen.

CVE-2026-87952 betreft onvoldoende bescherming tegen het opnieuw gebruiken van eerder geaccepteerde SAML assertions.

Onder bepaalde omstandigheden kan een geldige assertion binnen de geldigheidsperiode opnieuw worden aangeboden.

Een aanvaller moet daarvoor eerst over een geldige SAML assertion beschikken.

CVE-2026-87946 heeft betrekking op zwakkere cryptografische implementaties, waaronder niet-constant-time vergelijkingen en voorspelbare waarden bij het genereren van bepaalde SAML request identifiers.

Drupal vermeldt dat voor deze zwakke cryptografische implementaties op zichzelf geen praktische authentication bypass is aangetoond.

Server Side Request Forgery

CVE-2026-87953 betreft Server Side Request Forgery, oftewel SSRF.

De module controleert URL’s uit Identity Provider metadata onvoldoende voordat vanaf de Drupal-server verbinding met deze URL’s wordt gemaakt.

Een aanvaller die de gebruikte Identity Provider metadata kan configureren, kan de applicatie daardoor mogelijk verbinding laten maken met ongewenste bestemmingen.

Dit kan onder bepaalde omstandigheden toegang geven tot interne netwerkdiensten die vanaf internet zelf niet rechtstreeks bereikbaar zijn.

De kwetsbaarheid wordt beperkt doordat de aanvaller eerst rechten moet hebben om de Identity Provider metadata te configureren.

XSS en informatielekken

De beveiligingsronde bevat daarnaast meerdere problemen rond de verwerking en weergave van SAML-gerelateerde gegevens.

CVE-2026-87948 en CVE-2026-87949 betreffen cross-site scriptingproblemen.

Andere advisories hebben betrekking op embedded credentials en de mogelijke blootstelling van gevoelige authenticatie-informatie.

Niet iedere afzonderlijke kwetsbaarheid leidt zelfstandig tot volledige overname van een Drupal-website. De combinatie is echter relevant omdat de module onderdeel is van de centrale authenticatieketen.

Update miniOrange SAML SSO naar versie 3.2.0

De structurele oplossing voor deze Drupal SAML SSO kwetsbaarheid is het installeren van de beveiligde versie.

Drupal adviseert gebruikers van miniOrange SAML SSO – Service Provider om te upgraden naar:

miniOrange SAML SSO – Service Provider 3.2.0

Wanneer de module via Composer wordt beheerd, controleer dan eerst de geïnstalleerde versie en voer de update volgens het normale Drupal deployment-proces uit.

Maak voor bedrijfskritische omgevingen een actuele back-up van bestanden, configuratie en database voordat de update wordt uitgevoerd.

Controleer SAML na de update

Omdat de update direct betrekking heeft op de authenticatielaag, moet na installatie worden gecontroleerd of de SAML-koppeling correct blijft functioneren.

Controleer minimaal:

• normale SAML-login via de Identity Provider;
• Single Sign-On;
• Single Logout indien gebruikt;
• role- en attribute-mapping;
• de ingestelde Identity Provider metadata;
• certificaten en signing-instellingen;
• redirect-URL’s;
• gebruikersprovisioning indien deze gekoppeld is;
• Drupal- en webserverlogs op authenticatiefouten.

Controle op mogelijke compromittering

Op het moment van publicatie is geen actieve exploitatie van deze beveiligingsproblemen bevestigd.

Er zijn eveneens geen betrouwbare specifieke Indicators of Compromise gepubliceerd waarmee exploitatie van deze kwetsbaarheden ondubbelzinnig kan worden vastgesteld.

Vservs publiceert daarom geen onbevestigde IP-adressen, bestanden of andere speculatieve IoC’s.

Beheerders van eerder kwetsbare installaties kunnen wel controleren op algemene afwijkingen rond de SAML-authenticatie:

• onbekende of onverwachte wijzigingen in de miniOrange SAML-configuratie;
• gewijzigde Identity Provider metadata;
• onverwachte wijzigingen aan certificaten of signing-instellingen;
• onbekende redirect-URL’s;
• onverwachte Administrator-accounts;
• afwijkende gebruikers- of role-mappings;
• onverklaarbare succesvolle SAML-logins;
• grote aantallen mislukte SAML-authenticatiepogingen;
• onverwachte uitgaande HTTP- of HTTPS-verbindingen vanaf de Drupal-server.

Deze controles zijn algemene compromise-checks. Een afzonderlijke afwijking bewijst niet automatisch dat een van deze CVE’s daadwerkelijk is misbruikt.

Geen bevestigde actieve exploitatie

De Drupal Security Team classificeert de exploitability van de gepubliceerde advisories als Theoretical.

Op het moment van publicatie hebben wij geen betrouwbare bevestiging gevonden dat de betreffende kwetsbaarheden actief in het wild worden misbruikt.

Vservs beschrijft deze beveiligingsproblemen daarom nadrukkelijk niet als actief misbruikt.

Door de combinatie van meerdere beveiligingsproblemen, de functie van de module binnen het authenticatieproces en de beschikbaarheid van een beveiligingsupdate adviseren wij gebruikers wel om versie 3.2.0 zonder onnodige vertraging te installeren.

Verantwoordelijkheid voor CMS security updates

Klanten zonder Managed WordPress/CMS-onderhoud of een afzonderlijk overeengekomen managed CMS-dienst zijn zelf verantwoordelijk voor het tijdig bijwerken van Drupal, WordPress, WooCommerce, Magento, andere CMS-systemen, plugins, modules, extensies en thema’s.

Wanneer misbruik, malware of aantoonbaar achterstallig onderhoud ervoor zorgt dat een website of dienst een risico vormt voor onze infrastructuur, andere klanten of derden, kan Vservs de getroffen website of dienst tijdelijk isoleren of uitschakelen.

Dit gebeurt uitsluitend als veiligheids- en continuïteitsmaatregel om verdere schade, misbruik of verstoring van onze infrastructuur en diensten te voorkomen.

Herstelwerkzaamheden aan niet-managed omgevingen buiten onze reguliere openingstijden, tijdens weekenden of op feestdagen zijn afhankelijk van de ernst van het incident en beschikbare capaciteit. Wanneer direct ingrijpen niet noodzakelijk is, kunnen herstelwerkzaamheden vanaf de eerstvolgende werkdag worden uitgevoerd.

Managed hosting en CMS-beheer door Vservs

Deze Drupal SAML SSO security update laat zien dat CMS-beveiliging niet uitsluitend draait om updates van het CMS zelf. Ook authenticatiemodules, plugins en andere extensies moeten actief worden onderhouden.

Vservs levert managed VPS- en serveroplossingen voor bedrijfskritische websites en applicaties, inclusief technisch serverbeheer, security hardening, monitoring, back-ups en ondersteuning bij beveiligingsincidenten.

Bronnen

• Drupal Security Team – Contributed Project Security Advisories
• Drupal.org – miniOrange SAML SSO – Service Provider

In meerdere WordPress-plugins van Newfold is een ernstige authenticatiekwetsbaarheid ontdekt. De kwetsbaarheid is geregistreerd als CVE-2026-80099 en kan ertoe leiden dat een aanvaller toegang krijgt tot WordPress met administratorrechten.

De kwetsbare component wordt onder andere gebruikt in WordPress-plugins van Bluehost, HostGator, Web.com en Crazy Domains. Voor websites waarop een getroffen versie aanwezig is, adviseert Vservs om de plugin zo snel mogelijk bij te werken.

Wat is CVE-2026-80099?

CVE-2026-80099 betreft een fout in de authenticatie binnen de gedeelde wp-module-data-component van verschillende Newfold WordPress-plugins.

De kwetsbaarheid zit in de verwerking van Bearer-tokens voor WordPress REST API-verzoeken. Wanneer de plugin onder bepaalde omstandigheden geen geldige authenticatiesleutel ontvangt, kan de gebruikte controle terugvallen op voorspelbare gegevens.

Hierdoor kan een aanvaller een token construeren waarmee de authenticatiecontrole kan worden omzeild. Bij succesvolle exploitatie kan WordPress vervolgens een bestaande administrator als ingelogde gebruiker behandelen.

Dit geeft een aanvaller potentieel toegang tot WordPress-functies die normaal alleen voor beheerders beschikbaar zijn.

Welke WordPress-plugins zijn getroffen?

Volgens de gepubliceerde CVE-informatie zijn onder andere de volgende versies getroffen:

• Bluehost WordPress Plugin: versie 4.19.0 en ouder
• HostGator WordPress Plugin: versie 3.2.0 en ouder
• Web WordPress Plugin: versie 2.3.5 en ouder
• Crazy Domains WordPress Plugin: versie 2.5.2 en ouder
• wp-module-data: versie 2.9.7 en ouder

Welke versies zijn veilig?

Voor de afzonderlijke hostingplugins zijn updates beschikbaar waarin de kwetsbare component is aangepast.

• Bluehost: update naar 4.19.1 of nieuwer
• HostGator: update naar 3.2.1 of nieuwer
• Web: update naar 2.3.6 of nieuwer
• Crazy Domains: update naar 2.5.3 of nieuwer

Gebruik bij voorkeur altijd de meest recente beschikbare versie van de betreffende plugin.

Technische impact

De kwetsbaarheid heeft een CVSS-score van 8.8 en is geclassificeerd als improper authentication.

Bij succesvolle exploitatie kan een aanvaller administratorrechten binnen WordPress verkrijgen. Daarmee kunnen onder andere nieuwe gebruikers worden aangemaakt, plugins worden geïnstalleerd, instellingen worden gewijzigd en inhoud worden aangepast.

Administratorrechten binnen WordPress kunnen daarnaast in veel hostingomgevingen worden misbruikt om PHP-code uit te voeren. Hierdoor kan een WordPress-accountovername uiteindelijk uitgroeien tot volledige compromittering van de website.

Wordt CVE-2026-80099 actief misbruikt?

Op het moment van publicatie zijn er geen betrouwbare aanwijzingen dat CVE-2026-80099 op grote schaal actief wordt misbruikt. Ook is de kwetsbaarheid op dit moment niet bekend als een actief uitgebuite CISA KEV-kwetsbaarheid.

Dat betekent echter niet dat uitstel verstandig is. De technische details van de kwetsbaarheid zijn openbaar en de aanval vereist geen interactie van een WordPress-beheerder.

Wat moeten websitebeheerders doen?

Controleer eerst of één van de getroffen plugins op de WordPress-website aanwezig is. Werk een getroffen installatie daarna direct bij naar de nieuwste beschikbare versie.

Wanneer de plugin niet langer noodzakelijk is, adviseren wij deze volledig te verwijderen in plaats van alleen te deactiveren.

Controleer daarnaast of er onbekende WordPress-gebruikers of beheerdersaccounts zijn aangemaakt.

Controleer op mogelijke compromittering

Voor websites waarop gedurende langere tijd een kwetsbare versie actief is geweest, adviseren wij minimaal de volgende controles uit te voeren:

• Controleer alle WordPress-gebruikers met administratorrechten.
• Controleer op recent aangemaakte of gewijzigde gebruikersaccounts.
• Controleer welke plugins recent zijn geïnstalleerd of geactiveerd.
• Controleer de websitebestanden op onverwachte PHP-bestanden en recente wijzigingen.
• Controleer de map wp-content/uploads op PHP- of andere uitvoerbare bestanden.
• Controleer webserverlogs op verdachte REST API-verzoeken.
• Controleer geplande WordPress-taken en server-cronjobs op onbekende opdrachten.
• Controleer op ongewenste redirects, gewijzigde JavaScript-bestanden en onbekende code in themes en plugins.

Wanneer onbekende administratoraccounts of verdachte bestanden worden aangetroffen, moet ervan worden uitgegaan dat alleen het installeren van de update niet voldoende is. De website en hostingomgeving moeten dan verder worden onderzocht.

Waarom deze kwetsbaarheid extra aandacht verdient

De kwetsbare component wordt niet uitsluitend door één losse WordPress-plugin gebruikt. Newfold gebruikt dezelfde functionaliteit in plugins die gekoppeld zijn aan verschillende grote hostingmerken.

Daardoor kan dezelfde programmeerfout op verschillende WordPress-installaties aanwezig zijn zonder dat een websitebeheerder zich realiseert dat de betreffende hostingplugin onderdeel is van het beveiligingsoppervlak van de website.

Managed WordPress bij Vservs

Bij een WordPress-website zijn niet alleen WordPress Core-updates belangrijk. Ook plugins en themes moeten continu worden gecontroleerd op beveiligingsproblemen.

Met Managed WordPress Hosting van Vservs verzorgen wij het technische WordPress-beheer, controleren wij beschikbare updates en bekende beveiligingsrisico’s en houden wij de omgeving actief in de gaten.

Gebruikt u onbeheerde WordPress-hosting, dan blijft het controleren en installeren van WordPress-, plugin- en theme-updates de verantwoordelijkheid van de websitebeheerder.

Bronnen

• Wordfence Threat Intelligence – CVE-2026-80099
• CVE / NVD – CVE-2026-80099
• Newfold wp-module-data beveiligingswijziging
• Newfold updates voor Bluehost, HostGator, Web en Crazy Domains