De WordPress File Upload kwetsbaarheid CVE-2026-62071 maakt SQL-injectie mogelijk zonder dat een aanvaller hoeft in te loggen. De kritieke beveiligingsfout treft de WordPress-plugin die tegenwoordig als Iptanus File Upload wordt uitgebracht en heeft een CVSS-score van 9,3.

De WordPress File Upload kwetsbaarheid treft versies tot en met 5.1.10. De beveiligingscorrectie is opgenomen in versie 5.2.0. Vservs adviseert gebruikers om direct naar versie 5.2.0 of een nieuwere beschikbare versie te updaten.

De plugin heeft volgens WordPress.org meer dan 10.000 actieve installaties.

Wat is de WordPress File Upload kwetsbaarheid CVE-2026-62071?

CVE-2026-62071 is een unauthenticated SQL Injection-kwetsbaarheid in WordPress File Upload.

De plugin wordt gebruikt om bezoekers bestanden naar een WordPress-website te laten uploaden en biedt daarnaast functionaliteit voor het beheren van geüploade bestanden.

Volgens de officiële plugin-changelog bevond de beveiligingsfout zich in de verwerking van een upload identifier die niet volledig werd gesanitized voordat deze in een databasequery werd verwerkt.

Een externe aanvaller kan daardoor speciaal geprepareerde invoer gebruiken om de structuur van een SQL-query te beïnvloeden.

Welke versies zijn getroffen?

• WordPress File Upload / Iptanus File Upload 5.1.10 en ouder – kwetsbaar
• Versie 5.2.0 en nieuwer – beveiligingscorrectie aanwezig

De ontwikkelaar bevestigt in de changelog van versie 5.2.0 expliciet dat een SQL-injectieprobleem is verholpen in een upload identifier die onvoldoende werd gesanitized.

Geen WordPress-account nodig

Een belangrijk aspect van CVE-2026-62071 is dat voor exploitatie geen WordPress-account nodig is.

De CVSS-vector vermeldt:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L

Dit betekent onder andere:

• de aanval kan via het netwerk plaatsvinden;
• de attack complexity is laag;
• geen privileges zijn vereist;
• geen user interaction is vereist;
• de impact op vertrouwelijkheid is hoog.

Wat kan een SQL-injectie veroorzaken?

SQL-injectie ontstaat wanneer invoer van een gebruiker onvoldoende wordt gescheiden van een databasequery.

Een aanvaller kan hierdoor delen van een query beïnvloeden die normaal uitsluitend door de applicatie zelf zouden moeten worden bepaald.

Voor CVE-2026-62071 geeft de officiële CVSS-vector een hoge impact op vertrouwelijkheid, geen directe integriteitsimpact en een lage beschikbaarheidsimpact aan.

Het belangrijkste bevestigde risico is daarom het ongeautoriseerd uitlezen van gevoelige informatie uit de WordPress-database.

Afhankelijk van de database en website kunnen daar onder andere onder vallen:

• WordPress-gebruikersgegevens;
• wachtwoordhashes;
• e-mailadressen;
• websiteconfiguratie;
• plugininstellingen;
• WooCommerce- of formuliergegevens indien deze zich in dezelfde database bevinden;
• andere informatie die plugins in de WordPress-database opslaan.

SQL-injectie betekent niet automatisch server-RCE

Het is belangrijk CVE-2026-62071 niet automatisch als Remote Code Execution te omschrijven.

De bevestigde kwetsbaarheid is SQL-injectie. De officiële CVSS-data beschrijft vooral een hoge confidentiality-impact.

Of een SQL-injectie in een specifieke omgeving kan worden gecombineerd met andere zwakke plekken hangt af van onder andere databaseprivileges, serverconfiguratie en aanwezige software.

Vservs classificeert dit probleem daarom als een kritieke unauthenticated SQL Injection en niet als een bevestigde serverovername.

Wordt CVE-2026-62071 actief misbruikt?

Op het moment van publicatie is geen bevestigde actieve exploitatie van CVE-2026-62071 aangetoond.

CISA’s vulnerability enrichment registreerde bij publicatie geen waargenomen exploitatie. De kwetsbaarheid staat op dit moment ook niet bekend als een CISA Known Exploited Vulnerability.

Patchstack classificeert de kwetsbaarheid wel als High Priority en waarschuwt dat unauthenticated SQL-injecties geschikt kunnen zijn voor geautomatiseerde aanvallen.

De afwezigheid van bevestigde actieve exploitatie is daarom geen reden om het updateproces uit te stellen.

Wat moeten WordPress-beheerders nu doen?

1. Controleer of WordPress File Upload of Iptanus File Upload is geïnstalleerd.
2. Controleer de exacte pluginversie.
3. Update direct naar versie 5.2.0 of nieuwer.
4. Controleer na het updaten of versie 5.2.0 of een latere versie daadwerkelijk actief is.
5. Verwijder de plugin volledig wanneer deze niet meer wordt gebruikt.
6. Controleer of publieke uploadfunctionaliteit daadwerkelijk noodzakelijk is.
7. Controleer webserverlogs op verdachte requests naar de uploadfunctionaliteit.

Tijdelijke mitigatie wanneer updaten niet mogelijk is

Kan versie 5.2.0 niet onmiddellijk worden geïnstalleerd, schakel de plugin dan tijdelijk uit.

Wanneer dat functioneel niet mogelijk is, moet publieke toegang tot de betreffende uploadfunctionaliteit zoveel mogelijk worden beperkt totdat de update is uitgevoerd.

Een Web Application Firewall kan generieke SQL-injectionpogingen blokkeren, maar vormt geen vervanging voor de officiële beveiligingsupdate.

Controleren op mogelijke exploitatie

Websites waarop versie 5.1.10 of ouder publiek bereikbaar was, kunnen aanvullend worden gecontroleerd.

Let onder andere op:

• ongebruikelijke requests naar pagina’s waarop de uploadfunctionaliteit actief is;
• lange of afwijkende waarden in uploadparameters en identifiers;
• requests met SQL-gerelateerde syntax of ongebruikelijke encoding;
• grote aantallen vergelijkbare requests vanaf één of meerdere IP-adressen;
• databasefouten rond hetzelfde tijdstip;
• plotselinge databasebelasting zonder functionele verklaring;
• onverwachte toegang tot grote hoeveelheden databasegegevens;
• applicatie- of PHP-errors na verdachte uploadrequests.

Een enkele vreemde request bewijst niet dat informatie daadwerkelijk is buitgemaakt.

Bij een concreet vermoeden moeten webserverlogs, databaseactiviteit, WordPress-logs en eventuele WAF-logs gezamenlijk worden onderzocht.

Wat te doen wanneer database-exfiltratie wordt vermoed?

Wanneer er aanwijzingen zijn dat een aanvaller daadwerkelijk databasegegevens heeft kunnen uitlezen, moet worden vastgesteld welke informatie toegankelijk was.

Afhankelijk van de opgeslagen gegevens kunnen vervolgstappen nodig zijn, waaronder:

• wachtwoorden resetten;
• WordPress salts wijzigen;
• API-keys vervangen;
• databasecredentials wijzigen;
• gebruikersaccounts controleren;
• WooCommerce- en formulierdata beoordelen;
• nagaan of persoonsgegevens mogelijk zijn ingezien;
• de noodzaak van verdere AVG/GDPR-acties beoordelen.

Wijzig credentials pas vanuit een omgeving waarvan redelijkerwijs kan worden vastgesteld dat deze schoon is.

Managed WordPress bij Vservs

Veel ernstige WordPress-incidenten ontstaan niet door WordPress Core zelf, maar door kwetsbare plugins die na publicatie van een beveiligingsupdate te lang actief blijven.

Met Vservs Managed WordPress verzorgen wij onder andere WordPress Core-, plugin- en theme-updates, hardening, monitoring, back-ups en relevante beveiligingscontroles.

Samenvatting

• Plugin: WordPress File Upload / Iptanus File Upload
• CVE: CVE-2026-62071
• Kwetsbaarheid: SQL Injection
• Severity: Critical
• CVSS: 9,3
• Actieve installaties: 10.000+
• Getroffen versies: 5.1.10 en ouder
• Veilige versie: 5.2.0 of nieuwer
• Authenticatie vereist: Nee
• User interaction: Nee
• Belangrijkste impact: ongeautoriseerde toegang tot gevoelige databasegegevens
• Actieve exploitatie: op het moment van publicatie niet bevestigd
• Advies: direct updaten naar 5.2.0 of nieuwer

Bronnen

• Patchstack – CVE-2026-62071
• NVD – CVE-2026-62071
• CISA ADP Vulnrichment – CVE-2026-62071
• WordPress.org – Iptanus File Upload changelog

De ACPT Premium kwetsbaarheid CVE-2026-105701 maakt het mogelijk voor een geauthenticeerde WordPress-gebruiker met slechts Subscriber-rechten om willekeurige code op de webserver uit te voeren. De beveiligingsfout heeft een CVSS-score van 8,8 en kan leiden tot Remote Code Execution.

De ACPT Premium kwetsbaarheid treft versies tot en met 2.0.66. De beveiligingscorrectie is opgenomen in versie 2.0.67. Vservs adviseert gebruikers van ACPT Premium om direct naar de meest recente beschikbare versie te updaten.

Wat is CVE-2026-105701?

CVE-2026-105701 is een Remote Code Execution-kwetsbaarheid in ACPT Premium, een WordPress-plugin voor het beheren van onder andere custom post types, meta fields, formulieren en dynamische content.

Volgens Wordfence ontstaat de kwetsbaarheid door een combinatie van twee beveiligingsproblemen:

• een ontbrekende capability-check op een REST API-endpoint waarmee ACPT-formulieren kunnen worden aangemaakt;
• het verwerken van e-mailtemplates via een niet voldoende afgeschermde Twig-templateomgeving.

Hierdoor kan een aanvaller met een geldig WordPress-account vanaf Subscriber-niveau een speciaal geprepareerd formulier aanmaken en kwaadaardige Twig-expressies in de configuratie opnemen.

Wanneer het betreffende formulier vervolgens wordt verwerkt, kunnen deze expressies server-side worden uitgevoerd.

Welke versies treft de ACPT Premium kwetsbaarheid?

• ACPT Premium 2.0.66 en ouder – kwetsbaar
• ACPT Premium 2.0.67 en nieuwer – beveiligingscorrectie aanwezig

De ACPT-ontwikkelaar heeft inmiddels meerdere nieuwere releases uitgebracht. Alleen naar 2.0.67 updaten is daarom niet noodzakelijk de beste keuze: installeer bij voorkeur de meest recente stabiele versie die voor uw website beschikbaar is.

Een Subscriber-account is voldoende

De kwetsbaarheid is niet volledig zonder authenticatie te misbruiken. Een aanvaller moet beschikken over een geldig WordPress-account met minimaal de rol Subscriber.

Dat verlaagt het risico ten opzichte van een volledig unauthenticated RCE, maar maakt de kwetsbaarheid nog steeds ernstig.

Subscriber is de WordPress-rol met de minste standaardrechten. Op websites waar publieke registratie is toegestaan, membershipsoftware wordt gebruikt of accounts automatisch worden aangemaakt, kan het verkrijgen van een Subscriber-account relatief eenvoudig zijn.

Ook een eerder gecompromitteerd gebruikersaccount kan als toegangspunt worden gebruikt.

Hoe werkt de kwetsbaarheid?

De aanval richt zich op functionaliteit voor het aanmaken van ACPT-formulieren via de REST API.

Door een onvoldoende capability-controle kan een gebruiker met beperkte rechten functionaliteit bereiken die niet voor Subscriber-gebruikers beschikbaar zou moeten zijn.

Een aanvaller kan vervolgens een formulier aanmaken waarbij kwaadaardige inhoud wordt opgenomen in de email_settings.

ACPT gebruikt Twig voor het renderen van bepaalde templates. De getroffen versie verwerkt deze templates in een omgeving waarin onvoldoende beperkingen worden toegepast.

Wanneer het formulier daarna wordt verzonden, kunnen de geïnjecteerde Twig-expressies worden geëvalueerd. Dit kan uiteindelijk leiden tot het uitvoeren van willekeurige code op de server.

Waarom is Remote Code Execution ernstig?

Bij succesvolle exploitatie draait de kwaadaardige code binnen de context van het PHP- of webserverproces waaronder WordPress wordt uitgevoerd.

Een aanvaller kan daardoor mogelijk:

• WordPress-bestanden wijzigen;
• malware of webshells plaatsen;
• configuratiebestanden en databasegegevens uitlezen;
• WordPress-credentials en andere secrets buitmaken;
• nieuwe administratoraccounts toevoegen;
• plugins of themes aanpassen;
• data uit de WordPress-database uitlezen of wijzigen;
• persistente toegang tot de website creëren;
• vanuit de website verdere aanvallen uitvoeren.

Op een correct gescheiden hostingomgeving betekent een WordPress-RCE niet automatisch root-toegang tot de volledige server. De betreffende website zelf moet echter wel als volledig compromitteerbaar worden beschouwd.

Wordt CVE-2026-105701 actief misbruikt?

Op het moment van publicatie heeft Vservs geen ondubbelzinnige publieke bevestiging gevonden dat CVE-2026-105701 actief in het wild wordt misbruikt.

Patchstack classificeert de kwetsbaarheid wel als High Priority en waarschuwt dat dit type Remote Code Execution-kwetsbaarheid aantrekkelijk is voor geautomatiseerde aanvallen.

Dat is geen bewijs dat er al aanvallen plaatsvinden. Het betekent wel dat uitstel van de beschikbare beveiligingsupdate onverstandig is.

Wat moeten WordPress-beheerders nu doen?

1. Controleer of ACPT Premium op de website is geïnstalleerd.
2. Controleer de exacte pluginversie.
3. Update minimaal naar ACPT Premium 2.0.67.
4. Installeer bij voorkeur de meest recente stabiele ACPT-versie.
5. Verwijder ongebruikte Subscriber- en andere gebruikersaccounts.
6. Controleer of publieke gebruikersregistratie noodzakelijk is.
7. Controleer ACPT-formulieren en formulierconfiguraties op onverwachte wijzigingen.
8. Voer bij verdachte activiteit aanvullende malware- en integriteitscontroles uit.

Tijdelijke mitigatie wanneer updaten niet direct mogelijk is

Wanneer een update niet onmiddellijk kan worden uitgevoerd, is het verstandig ACPT tijdelijk uit te schakelen indien de functionaliteit niet bedrijfskritisch is.

Beperk daarnaast het aanmaken van nieuwe WordPress-accounts en schakel publieke registratie tijdelijk uit wanneer deze niet noodzakelijk is.

Een Web Application Firewall kan aanvullende bescherming bieden, maar vervangt het installeren van de beveiligingsupdate niet.

Controleren op mogelijke compromise

Websites waarop ACPT Premium 2.0.66 of ouder actief is geweest, kunnen worden gecontroleerd op aanwijzingen voor misbruik.

Let onder andere op:

• onbekende of onverwachte WordPress-gebruikers;
• nieuwe Subscriber-accounts rond het tijdstip van verdachte activiteit;
• onverwacht aangemaakte ACPT-formulieren;
• verdachte waarden in formulier- of e-mailtemplate-instellingen;
• REST API-requests die betrekking hebben op het aanmaken of wijzigen van ACPT-formulieren;
• onverwachte PHP-bestanden in wp-content of andere schrijfbare directories;
• gewijzigde plugin- of themebestanden;
• nieuwe administratoraccounts;
• onbekende cronjobs of geplande WordPress-taken;
• uitgaande netwerkverbindingen die niet bij de website horen.

Een onbekende REST API-request is op zichzelf geen bewijs van succesvolle exploitatie. De activiteit moet worden gecorreleerd met WordPress-users, ACPT-formulierdata, filesystemwijzigingen en webserverlogs.

Wat te doen bij bevestigde Remote Code Execution?

Wanneer daadwerkelijk willekeurige code is uitgevoerd, is alleen het installeren van de ACPT-update niet voldoende.

De volledige WordPress-installatie moet dan als potentieel gecompromitteerd worden behandeld.

Controleer minimaal:

• WordPress Core-bestanden;
• plugins en themes;
• wp-config.php;
• WordPress-gebruikers en rollen;
• databasewijzigingen;
• uploads en tijdelijke directories;
• cronjobs;
• server- en applicatielogs;
• API-keys, databasecredentials en andere secrets.

Relevante wachtwoorden en credentials moeten na herstel vanuit een vertrouwde omgeving worden gewijzigd.

Managed WordPress bij Vservs

WordPress-beveiliging stopt niet bij het installeren van WordPress Core-updates. Plugins en themes vormen een groot deel van het aanvalsoppervlak en moeten continu worden gecontroleerd en onderhouden.

Met Vservs Managed WordPress verzorgen wij onder andere WordPress Core-, plugin- en theme-updates, hardening, monitoring, back-ups en relevante beveiligingscontroles.

Samenvatting

• Plugin: ACPT Premium
• CVE: CVE-2026-105701
• Kwetsbaarheid: Remote Code Execution
• CVSS: 8,8 High
• Getroffen versies: 2.0.66 en ouder
• Veilige versie: 2.0.67 of nieuwer
• Benodigde rechten: Subscriber of hoger
• User interaction: niet vereist
• Impact: willekeurige server-side code-uitvoering binnen de WordPress/webservercontext
• Actieve exploitatie: op het moment van publicatie niet bevestigd
• Advies: direct updaten naar de meest recente ACPT-versie

Bronnen

• Wordfence Intelligence – CVE-2026-105701
• Patchstack – ACPT Premium Remote Code Execution
• ACPT – officiële changelog

De Plesk kwetsbaarheid CVE-2026-68489 maakt het mogelijk dat een geauthenticeerde Plesk-gebruiker via kwetsbare versies van de Node.js Toolkit- of Ruby-extensie willekeurige code uitvoert met root-rechten. Een succesvolle aanval kan daardoor leiden tot volledige overname van de onderliggende Plesk-server.

De kwetsbaarheid heeft een CVSS 4.0-score van 8,7 en wordt als High geclassificeerd.

Alleen Plesk for Linux is via deze extensies getroffen. Plesk for Windows is volgens de leverancier niet kwetsbaar voor CVE-2026-68489.

Wat is de Plesk kwetsbaarheid CVE-2026-68489?

CVE-2026-68489 is een Static Code Injection-kwetsbaarheid in de Plesk-extensies Node.js Toolkit en Ruby.

De kwetsbaarheid bevindt zich in de verwerking van door een hostinggebruiker instelbare custom environment variables.

Deze waarden werden in kwetsbare versies onvoldoende veilig verwerkt voordat zij terechtkwamen in configuratie of code die met verhoogde rechten wordt uitgevoerd.

Hierdoor kan een normale geauthenticeerde Plesk-gebruiker onder kwetsbare omstandigheden willekeurige commando’s laten uitvoeren als root.

Welke Plesk-extensieversies zijn kwetsbaar?

• Plesk Node.js Toolkit 2.4.11 en ouder – kwetsbaar
• Plesk Node.js Toolkit 2.5.0 of nieuwer – gepatcht
• Plesk Ruby extension 1.6.5 en ouder – kwetsbaar
• Plesk Ruby extension 1.6.6 of nieuwer – gepatcht
• Plesk for Windows – niet getroffen door deze kwetsbaarheid

Controleer de extensieversies via Extensions > My Extensions binnen Plesk.

Waarom is deze kwetsbaarheid bijzonder ernstig voor hostingservers?

Plesk-hostingservers zijn ontworpen om meerdere hostingaccounts van elkaar en van het onderliggende besturingssysteem te scheiden.

Een gewone hostinggebruiker hoort alleen toegang te hebben tot resources die aan zijn eigen abonnement of hostingaccount zijn toegewezen.

CVE-2026-68489 doorbreekt deze beveiligingsgrens doordat code uiteindelijk met root-rechten kan worden uitgevoerd.

Een root-gebruiker kan in principe toegang krijgen tot vrijwel de volledige Linux-server, waaronder:

• andere hostingaccounts;
• websitebestanden;
• databases en databaseconfiguraties;
• e-maildata;
• webserver- en PHP-configuratie;
• SSL-private keys;
• systeemgebruikers;
• firewall- en netwerkconfiguratie;
• back-up- en beheerconfiguratie;
• andere secrets en credentials die op de server beschikbaar zijn.

Een bevestigde exploitatie van CVE-2026-68489 moet daarom als een mogelijke volledige servercompromittering worden behandeld.

Welke toegang heeft een aanvaller nodig?

Dit is geen unauthenticated internet-RCE.

De aanvaller moet beschikken over geldige Plesk-toegang met beperkte gebruikersrechten en de mogelijkheid hebben om functionaliteit van de kwetsbare Node.js Toolkit- of Ruby-extensie te gebruiken.

De CVSS-vector classificeert de vereiste privileges als Low en vereist geen verdere gebruikersinteractie.

In een hostingomgeving is dat nog steeds een serieus risico. Een gecompromitteerd hostingaccount of een kwaadwillende klant mag nooit kunnen escaleren van een normaal Plesk-account naar root op de volledige server.

Wordt CVE-2026-68489 actief misbruikt?

Op het moment van publicatie heeft Vservs geen betrouwbare bevestiging gevonden van actieve exploitatie van CVE-2026-68489 in het wild.

De kwetsbaarheid staat momenteel niet in de CISA Known Exploited Vulnerabilities Catalog en in de geraadpleegde bronnen is geen bevestigd publiek werkend exploit aangetroffen.

Door de root-impact is het desondanks noodzakelijk om de kwetsbare extensies zo snel mogelijk bij te werken.

Wat moeten Plesk-beheerders doen?

1. Log in op Plesk als Administrator.
2. Ga naar Extensions > My Extensions.
3. Controleer of Node.js Toolkit is geïnstalleerd.
4. Update Node.js Toolkit naar 2.5.0 of nieuwer.
5. Controleer of de Ruby-extensie is geïnstalleerd.
6. Update Ruby naar 1.6.6 of nieuwer.
7. Controleer na de update opnieuw de daadwerkelijk geïnstalleerde versies.
8. Controleer hostingaccounts die Node.js- of Ruby-functionaliteit gebruiken.

Tijdelijke mitigatie wanneer updaten niet direct mogelijk is

Plesk heeft een officiële tijdelijke mitigatie gepubliceerd voor situaties waarin de extensies niet onmiddellijk kunnen worden bijgewerkt.

Ga voor ieder actief serviceplan naar de permissions en schakel de volgende rechten uit:

• Node.js support management
• Ruby support management

Een andere tijdelijke mogelijkheid is het verwijderen van de Node.js Toolkit- en/of Ruby-extensie totdat een gepatchte versie kan worden geïnstalleerd.

Let op: toepassingen die afhankelijk zijn van deze extensies kunnen na verwijdering niet meer functioneren.

Dit is uitsluitend een tijdelijke workaround. Het installeren van de beveiligde extensieversies blijft de structurele oplossing.

Controleren op mogelijke compromittering

Op Plesk for Linux-servers waarop kwetsbare extensieversies actief waren, adviseren wij onder andere controle op:

• onverwachte wijzigingen aan custom environment variables van Node.js- of Ruby-applicaties;
• onbekende applicatieconfiguratiewijzigingen door normale Plesk-gebruikers;
• root-processen die rond dergelijke wijzigingen zijn gestart;
• verdachte entries in Plesk panel- en systeemlogs;
• nieuwe systeemgebruikers;
• onverwachte wijzigingen aan SSH authorized keys;
• nieuwe cronjobs of systemd-services;
• onverklaarbare firewallwijzigingen;
• nieuwe executables of scripts in tijdelijke directories;
• wijzigingen aan websites of hostingaccounts van andere klanten;
• webshells of andere onbekende PHP-, shell- of scriptbestanden.

Controleer bij verdachte activiteit niet uitsluitend de betreffende website. Omdat succesvolle exploitatie root-rechten oplevert, moet de volledige server worden onderzocht.

Wat doen bij bevestigde root-compromittering?

Wanneer er bewijs bestaat dat een aanvaller via deze kwetsbaarheid code als root heeft uitgevoerd, kan niet meer worden aangenomen dat alleen één hostingaccount geraakt is.

Alle data en credentials waartoe root toegang had, kunnen potentieel zijn ingezien of gewijzigd.

Controleer dan onder andere systeemintegriteit, gebruikersaccounts, SSH-sleutels, firewallregels, services, databases, SSL-private keys, Plesk-configuratie en websites van andere tenants.

Afhankelijk van de ernst van het incident kan een schone herinstallatie en migratie van gecontroleerde data betrouwbaarder zijn dan proberen een gecompromitteerd systeem volledig schoon te maken.

Managed VPS bij Vservs

Met een Vservs Managed VPS verzorgen wij onder andere relevante besturingssysteem- en beveiligingsupdates, monitoring en server hardening.

Bij controlpanelsoftware zoals Plesk is het belangrijk niet alleen het Plesk-hoofdpakket te onderhouden, maar ook geïnstalleerde extensies en aanvullende toolkits actueel te houden.

Samenvatting

• Software: Plesk for Linux
• Getroffen componenten: Node.js Toolkit en Ruby extension
• CVE: CVE-2026-68489
• Severity: High
• CVSS 4.0: 8,7
• Kwetsbare Node.js Toolkit: 2.4.11 en ouder
• Veilige Node.js Toolkit: 2.5.0 of nieuwer
• Kwetsbare Ruby extension: 1.6.5 en ouder
• Veilige Ruby extension: 1.6.6 of nieuwer
• Plesk for Windows: niet getroffen
• Benodigde toegang: geauthenticeerde Plesk-gebruiker met lage privileges
• Impact: willekeurige code-uitvoering als root en mogelijke volledige serverovername
• Actieve exploitatie: niet bevestigd
• Aanbevolen actie: extensies direct updaten

Bronnen

• Plesk – officiële CVE-2026-68489 security advisory
• CVE/NVD – CVE-2026-68489
• WebPros/Plesk vulnerability information

De All in One SEO kwetsbaarheid CVE-2026-100152 maakt het mogelijk dat een niet-ingelogde aanvaller onder specifieke omstandigheden willekeurige WordPress-shortcodes laat uitvoeren. De kwetsbaarheid heeft een CVSS-score van 6,5 en treft All in One SEO-versies tot en met 5.0.2.

All in One SEO, vaak afgekort tot AIOSEO, wordt op meer dan 2 miljoen WordPress-websites gebruikt. Door deze grote installed base is de kwetsbaarheid relevant, ondanks de Medium CVSS-classificatie.

De beveiligingscorrectie is opgenomen in All in One SEO 5.0.2.1, die op 1 oktober 2026 is uitgebracht.

Wat is de All in One SEO kwetsbaarheid CVE-2026-100152?

CVE-2026-100152 bevindt zich in de verwerking van zoekresultaten en AIOSEO-breadcrumbs.

In kwetsbare versies wordt onvoldoende gecontroleerd welke shortcode-inhoud afkomstig is uit door bezoekers beïnvloedbare zoekinvoer voordat WordPress de betreffende inhoud via do_shortcode() verwerkt.

Hierdoor kan een externe aanvaller zonder WordPress-account onder de juiste omstandigheden een op de website geregistreerde shortcode laten uitvoeren.

Welke All in One SEO-versies zijn kwetsbaar?

• All in One SEO 5.0.2 en ouder – kwetsbaar
• All in One SEO 5.0.2.1 of nieuwer – beveiligingsfix aanwezig

De officiële AIOSEO-changelog vermeldt bij versie 5.0.2.1 expliciet verbeterde beveiligingsmaatregelen voor shortcodes op zoekpagina’s.

Niet iedere AIOSEO-installatie is via deze aanvalsketen bereikbaar

Voor de gedocumenteerde aanval is een specifieke configuratie vereist.

De AIOSEO breadcrumb-functionaliteit moet op een WordPress-zoekresultatenpagina worden weergegeven, bijvoorbeeld via:

• het AIOSEO breadcrumb-block;
• een widget;
• een shortcode;
• een template tag in het gebruikte theme of template.

Wanneer AIOSEO-breadcrumbs niet op zoekresultatenpagina’s worden gerenderd, is de beschreven aanvalsketen niet rechtstreeks toepasbaar.

Dat is echter geen reden om versie 5.0.2 of ouder te laten staan. De structurele oplossing blijft het installeren van de beveiligde versie.

Wat betekent arbitrary shortcode execution?

WordPress-shortcodes zijn kleine commando’s die door WordPress Core, plugins of themes worden geregistreerd en vervolgens dynamische inhoud of functionaliteit kunnen uitvoeren.

Welke impact arbitrary shortcode execution heeft, verschilt daarom per website.

Op een eenvoudige WordPress-installatie kan een shortcode uitsluitend relatief onschuldige inhoud tonen. Andere plugins kunnen shortcodes registreren die bijvoorbeeld:

• gegevens uit de WordPress-database ophalen;
• formulieren of andere interactieve functies uitvoeren;
• server-side requests uitvoeren;
• gebruikers- of pluginfunctionaliteit activeren;
• vertrouwelijke informatie tonen die normaal niet via publieke zoekinvoer bereikbaar hoort te zijn.

CVE-2026-100152 moet daarom niet automatisch als volledige PHP Remote Code Execution worden beschreven. De uiteindelijke impact hangt af van de shortcodes die op de betreffende WordPress-installatie beschikbaar zijn.

Waarom is een Medium CVSS-score toch relevant?

De CVSS-score van 6,5 houdt rekening met de primaire impact van de kwetsbaarheid zelf.

Voor hostingomgevingen zijn daarnaast twee praktische factoren belangrijk:

• de aanval vereist geen WordPress-account;
• All in One SEO heeft een installed base van meer dan 2 miljoen websites.

Daardoor is het potentiële aantal bereikbare WordPress-installaties aanzienlijk en kan geautomatiseerde scanning aantrekkelijk worden wanneer technische details publiek beschikbaar zijn.

Let op: dezelfde kwetsbaarheid heeft mogelijk twee CVE-nummers

Voor deze onderliggende AIOSEO-shortcodekwetsbaarheid bestaan momenteel twee publieke CVE-records.

Wordfence publiceerde het probleem als CVE-2026-100152. WPScan publiceerde een zeer vergelijkbare beschrijving als CVE-2026-19856.

Patchstack heeft dit aangemerkt als een mogelijke CVE-collision. Beide beschrijvingen gaan over ongeauthenticeerde shortcode-uitvoering in All in One SEO vóór versie 5.0.2.1.

Vservs behandelt dit daarom als één onderliggend beveiligingsprobleem en niet als twee afzonderlijke kwetsbaarheidsartikelen.

Wordt CVE-2026-100152 actief misbruikt?

Op het moment van publicatie heeft Vservs geen betrouwbare bevestiging gevonden van actieve exploitatie van CVE-2026-100152 in het wild.

De kwetsbaarheid staat momenteel niet in de CISA Known Exploited Vulnerabilities Catalog.

Er is wel publieke technische informatie over de kwetsbaarheid beschikbaar. Het bestaan van technische exploitinformatie of een Proof of Concept is echter niet hetzelfde als bevestigde actieve exploitatie.

Wat moeten WordPress-beheerders doen?

1. Controleer of All in One SEO is geïnstalleerd.
2. Controleer de exacte pluginversie.
3. Update naar All in One SEO 5.0.2.1 of nieuwer.
4. Controleer of AIOSEO-breadcrumbs op WordPress-zoekresultatenpagina’s worden gebruikt.
5. Controleer custom themes en templates op AIOSEO breadcrumb-template-tags.
6. Leeg page cache, object cache en eventuele CDN-cache na de update indien noodzakelijk.

Tijdelijke mitigatie

Wanneer de beveiligingsupdate niet direct kan worden geïnstalleerd, verwijder of deactiveer dan tijdelijk de AIOSEO breadcrumb-output op zoekresultatenpagina’s.

Wanneer dit niet eenvoudig kan worden vastgesteld, is het tijdelijk deactiveren van de plugin veiliger dan een bekende kwetsbare versie publiek bereikbaar te houden.

Een Web Application Firewall kan bepaalde verdachte requestpatronen blokkeren, maar vervangt de pluginupdate niet.

Controleren op mogelijke exploitatie

Beheerders kunnen bij websites waarop AIOSEO 5.0.2 of ouder actief was onder andere controleren op:

• ongebruikelijke requests naar WordPress-zoekpagina’s;
• zoekparameters met onverwachte shortcode-achtige invoer;
• grote aantallen geautomatiseerde zoekrequests vanaf dezelfde of verwante IP-adressen;
• onverwachte WordPress- of pluginacties die samenvallen met dergelijke requests;
• onverklaarbare server-side requests naar externe of interne bestemmingen;
• nieuwe gebruikers, plugins of instellingen wanneer een krachtige shortcode misbruikt kan zijn;
• PHP- of applicatiefouten rond verdachte zoekrequests.

Een afwijkend zoekrequest is geen bewijs van succesvolle exploitatie. Controleer altijd of de gebruikte website daadwerkelijk kwetsbare breadcrumb-output bevatte en welke shortcodes beschikbaar waren.

Wat doen bij aanwijzingen voor vervolgmisbruik?

Wanneer uit logs blijkt dat een gevoelige shortcode daadwerkelijk is uitgevoerd, controleer dan welke functionaliteit die shortcode beschikbaar stelt.

Wanneer daarmee beheeracties, gegevensuitvoer of server-side functionaliteit kon worden bereikt, controleer aanvullend gebruikersaccounts, WordPress-sessies, plugins, themes, databasewijzigingen en het bestandssysteem.

Managed WordPress bij Vservs

Met Vservs Managed WordPress verzorgen wij onder andere plugin- en theme-updates, WordPress Core-onderhoud, hardening, monitoring, malwarecontroles en back-ups.

Een grote installed base in combinatie met een unauthenticated aanvalsvector maakt snelle patching belangrijk, ook wanneer de CVSS-score niet als Critical wordt geclassificeerd.

Samenvatting

• Plugin: All in One SEO
• Primaire CVE: CVE-2026-100152
• Mogelijk duplicaat: CVE-2026-19856
• Severity: Medium
• CVSS: 6,5
• Actieve installaties: 2 miljoen+
• Kwetsbare versies: 5.0.2 en ouder
• Veilige versie: 5.0.2.1 of nieuwer
• Impact: unauthenticated arbitrary shortcode execution
• Voorwaarde: AIOSEO-breadcrumbs worden op de zoekresultatenpagina gerenderd
• Actieve exploitatie: niet bevestigd
• Aanbevolen actie: direct updaten

Bronnen

• Wordfence / CVE – CVE-2026-100152
• AIOSEO – officiële changelog
• WordPress.org – All in One SEO
• WPScan – CVE-2026-19856

De Joomla 6.1.4 beveiligingsupdate en Joomla 5.4.9 dichten meerdere beveiligingsproblemen in Joomla Core, waaronder een SSRF-kwetsbaarheid, arbitrary directory deletion via path traversal, een MFA-bypass en onjuiste toegangscontroles in webservices. Het Joomla Project heeft beide beveiligde versies op 29 september 2026 uitgebracht.

Voor websites die op Joomla 5.4 draaien is het niet noodzakelijk om vanwege deze beveiligingsupdate direct naar Joomla 6 te migreren. Joomla 5.4.9 bevat dezelfde relevante securityfixes voor de 5.x-serie.

Joomla 5.4 blijft volgens het Joomla Project tot oktober 2027 beveiligingsupdates ontvangen.

Wat lost de Joomla 6.1.4 beveiligingsupdate op?

De securityrelease bevat meerdere Joomla Core-fixes. Tot de belangrijkste behoren:

• CVE-2026-90915: arbitrary directory deletion via path traversal in de cache purge-functionaliteit;
• CVE-2026-92222: Server-Side Request Forgery in verschillende Joomla Core-extensies;
• CVE-2026-92227: omzeilen van Multi-Factor Authentication via een te vroeg uitgegeven remember-me-cookie;
• CVE-2026-92226: onvoldoende ACL-controle bij verschillende webservice edit-acties;
• meerdere Cross-Site Scripting-problemen en aanvullende beveiligingscorrecties in Joomla Core.

De precieze getroffen versierange verschilt per kwetsbaarheid, maar de belangrijkste problemen treffen Joomla 4.x en Joomla 5.x tot en met 5.4.8 en Joomla 6.x tot en met 6.1.3.

CVE-2026-90915: willekeurige directories verwijderen

CVE-2026-90915 heeft volgens het Joomla Security Centre een High impact en High severity.

Het probleem bevindt zich in de cache purge-functionaliteit.

Een cache group name werd onvoldoende gevalideerd, waardoor path traversal mogelijk was. Hierdoor kon een aanvaller volgens Joomla directories buiten de bedoelde cachelocatie laten verwijderen.

De kans op succesvolle exploitatie wordt door Joomla als Low beoordeeld, maar de mogelijke impact is aanzienlijk.

CVE-2026-92222: SSRF in Joomla Core

CVE-2026-92222 is een Server-Side Request Forgery-kwetsbaarheid in verschillende core-extensies.

URL’s die Joomla gebruikt voor server-side requests werden onvoldoende gevalideerd.

Bij SSRF kan een aanvaller een webapplicatie ertoe bewegen vanaf de server zelf een request naar een andere bestemming uit te voeren.

Afhankelijk van de netwerkarchitectuur kan dat toegang geven tot diensten die niet rechtstreeks vanaf internet bereikbaar zijn, bijvoorbeeld interne HTTP-services of cloudmetadata-endpoints.

Joomla classificeert zowel de impact als severity van deze kwetsbaarheid als High en de exploit probability als Low.

CVE-2026-92227 kan MFA-beveiliging omzeilen

CVE-2026-92227 betreft een authenticatieprobleem waarbij Joomla een remember-me-cookie te vroeg kon uitgeven.

Hierdoor kon onder bepaalde omstandigheden de Multi-Factor Authentication-stap worden omzeild.

Dit is belangrijk voor beheerders die MFA juist gebruiken als extra beveiligingslaag wanneer een gebruikersnaam en wachtwoord onverhoopt bekend zijn geworden.

Joomla beoordeelt de impact als High, severity als Moderate en exploit probability als Moderate.

CVE-2026-92226: onvoldoende toegangscontrole in webservices

CVE-2026-92226 betreft incorrecte ACL-controles bij verschillende webservice edit-acties.

Een gebruiker kon daardoor wijzigingen uitvoeren op objecten waarvoor die gebruiker volgens de normale Joomla-toegangscontrole geen bewerkingsrechten hoorde te hebben.

Voor websites en integraties die de Joomla Web Services API gebruiken, is dit een extra reden om de update snel uit te voeren.

Welke Joomla-versies moeten worden bijgewerkt?

• Joomla 5.x tot en met 5.4.8 – getroffen door één of meerdere van de nieuwe core-kwetsbaarheden
• Joomla 5.4.9 – securityfixes aanwezig
• Joomla 6.x tot en met 6.1.3 – getroffen door één of meerdere van de nieuwe core-kwetsbaarheden
• Joomla 6.1.4 – securityfixes aanwezig

Sommige afzonderlijke kwetsbaarheden treffen ook oudere Joomla-versies. Joomla 4 wordt niet meer als actuele ondersteunde release onderhouden. Websites die nog op een dergelijke oudere branch draaien moeten daarom niet alleen één los securityprobleem oplossen, maar een migratie naar een ondersteunde Joomla-serie plannen.

Let op: bekende fout in Joomla 5.4.9 Web Services API

Het Joomla Project meldt een bekende functionele regressie in Joomla 5.4.9.

Web Services API PATCH-requests kunnen in 5.4.9 met een fatale fout mislukken wanneer via de API bijvoorbeeld een banner of gebruiker wordt bijgewerkt.

Joomla heeft hiervoor een officiële workaround gepubliceerd en meldt dat de structurele fix in Joomla 5.4.10 wordt opgenomen.

Sites die de Web Services API intensief gebruiken moeten de update daarom eerst op een stagingomgeving testen en indien nodig de officiële workaround toepassen.

Deze functionele regressie is geen reden om een kwetsbare Joomla 5.4.8-installatie onbeveiligd te laten staan.

Worden deze Joomla-kwetsbaarheden actief misbruikt?

Op het moment van publicatie heeft Vservs geen betrouwbare bevestiging gevonden dat de hierboven genoemde kwetsbaarheden actief in het wild worden misbruikt.

De door Joomla genoemde exploit probabilities zijn risico-inschattingen en mogen niet worden geïnterpreteerd als bewijs van daadwerkelijk waargenomen aanvallen.

Omdat de technische details en beveiligde versies openbaar beschikbaar zijn, blijft tijdig bijwerken noodzakelijk.

Wat moeten Joomla-beheerders doen?

1. Controleer de exacte Joomla-versie.
2. Update Joomla 5-installaties naar minimaal 5.4.9.
3. Update Joomla 6-installaties naar minimaal 6.1.4.
4. Maak vooraf een actuele backup van bestanden en database.
5. Test bedrijfskritische extensies en templates na de update.
6. Sites die Web Services API PATCH gebruiken moeten de bekende 5.4.9-regressie testen en zo nodig de officiële Joomla-workaround toepassen.
7. Controleer externe en interne requests wanneer de site kwetsbaar was voor de SSRF.
8. Controleer gebruikers, MFA-logins en webservicewijzigingen op afwijkende activiteiten.

Controleren op mogelijke compromittering

Bij Joomla-installaties die gedurende langere tijd op een kwetsbare versie draaiden, kan aanvullende controle zinvol zijn.

Let onder andere op:

• onverwachte uitgaande HTTP- of HTTPS-verbindingen vanaf de Joomla-server;
• requests naar interne IP-adressen of lokale services die niet bij normaal websitegebruik horen;
• onverwacht verwijderde directories of cache-gerelateerde filesystemfouten;
• verdachte remember-me-logins of sessies waarbij MFA normaal verwacht werd;
• onbekende gebruikers of onverwachte wijzigingen aan bestaande gebruikers;
• webservice edit-acties die niet overeenkomen met de rechten van de betreffende gebruiker;
• onverwachte wijzigingen aan Joomla-content of configuratie;
• vreemde scriptinhoud die kan wijzen op misbruik van een XSS-probleem.

Wanneer afwijkende activiteiten worden gevonden, combineer Joomla-logs waar beschikbaar met webserver-, reverse-proxy-, firewall- en systeemlogs om de volledige tijdlijn vast te stellen.

Managed VPS bij Vservs

Met een Vservs Managed VPS verzorgen wij onder andere relevante besturingssysteem- en beveiligingsupdates, monitoring en server hardening.

Voor Joomla zelf blijft applicatieonderhoud eveneens belangrijk: Joomla Core, extensies en templates moeten actueel worden gehouden en ondersteunde versies moeten tijdig worden gemigreerd.

Samenvatting

• Software: Joomla CMS
• Veilige 5.x-versie: Joomla 5.4.9
• Veilige 6.x-versie: Joomla 6.1.4
• Releasedatum: 29 september 2026
• Belangrijke CVE’s: CVE-2026-90915, CVE-2026-92222, CVE-2026-92227 en CVE-2026-92226
• Impact: path traversal en directory deletion, SSRF, MFA-bypass, incorrecte toegangscontrole en aanvullende XSS-problemen
• Actieve exploitatie: niet bevestigd
• Bekend probleem 5.4.9: Web Services API PATCH kan falen; officiële workaround beschikbaar
• Aanbevolen actie: direct naar 5.4.9 of 6.1.4 updaten en bedrijfskritische functionaliteit testen

Bronnen

• Joomla Project – Joomla 6.1.4 & 5.4.9 Security & Bugfix Release
• Joomla Security Centre – CVE-2026-90915
• Joomla Security Centre – CVE-2026-92222
• Joomla Security Centre – CVE-2026-92227
• Joomla Security Centre – CVE-2026-92226

De ModSecurity security update naar libmodsecurity3 3.0.17 en mod_security2 2.9.15 verhelpt acht beveiligingsproblemen in de veelgebruikte Web Application Firewall. Verschillende kwetsbaarheden kunnen ervoor zorgen dat beveiligingsregels worden omzeild, terwijl één probleem in libmodsecurity3 onder specifieke configuraties kan leiden tot geheugenbeschadiging en mogelijk beïnvloeding van de uitvoeringsstroom.

Welke problemen verhelpt de ModSecurity security update?

ModSecurity wordt wereldwijd gebruikt voor het inspecteren en filteren van HTTP-verkeer en vormt samen met bijvoorbeeld de OWASP Core Rule Set een belangrijke beveiligingslaag vóór websites en webapplicaties.

Een fout in de WAF betekent daardoor niet noodzakelijk dat ModSecurity zelf de uiteindelijke aanval uitvoert. Het gevaar is vooral dat verkeer dat normaal gesproken zou moeten worden herkend of geblokkeerd, alsnog de achterliggende website of applicatie bereikt.

Welke ModSecurity-versies zijn getroffen?

De acht advisories hebben niet allemaal exact hetzelfde versiebereik, maar voor beheerders geldt praktisch het volgende updatepad:

• libmodsecurity3 3.0.16 en ouder – getroffen door meerdere kwetsbaarheden
• libmodsecurity3 3.0.17 – bevat de beveiligingscorrecties
• mod_security2 2.9.14 en ouder – getroffen door zes van de acht problemen
• mod_security2 2.9.15 – bevat de beveiligingscorrecties

CVE-2026-73857 vormt een uitzondering binnen het algemene versiebereik en treft specifiek libmodsecurity3 3.0.15 en 3.0.16.

Acht beveiligingsproblemen in ModSecurity

Het ModSecurity-project heeft acht afzonderlijke security advisories gepubliceerd. Niet ieder probleem heeft op het moment van publicatie een eigen CVE-nummer gekregen.

De belangrijkste problemen zijn:

• CVE-2026-73856 – CVSS 8.6 High: bypass van response-body-inspectie door afwijkend hoofdlettergebruik in Content-Type;
• CVE-2026-73857 – CVSS 7.5 High: geheugenfout in de XML request-body parser die kan leiden tot denial of service, geheugenlekken of mogelijk beïnvloeding van de uitvoeringsstroom;
• GHSA-5pww-8rfg-9crf – CVSS 8.6 High: bypass van controles op bestandsnamen bij multipart file uploads via het RFC 2231 filename*-veld;
• CVE-2026-61812 – CVSS 5.3: incomplete HTML entity decoding waardoor WAF-regels kunnen worden omzeild;
• CVE-2026-61813 – CVSS 3.7: onvoldoende strikte TLS-hostnamecontrole bij bepaalde HTTPS-downloads;
• problemen in @rxGlobal-foutafhandeling;
• een bypass in de t:removeComments-transformatie;
• onjuiste verwerking van URL-safe Base64 door t:base64DecodeExt.

CVE-2026-73856: response-body-inspectie kan worden omzeild

CVE-2026-73856 heeft een CVSS-score van 8.6 en treft libmodsecurity3 tot en met versie 3.0.16.

ModSecurity vergeleek de Content-Type van een response hoofdlettergevoelig met de MIME-types die via SecResponseBodyMimeType waren geconfigureerd.

Een backend die bijvoorbeeld Text/Html retourneerde in plaats van text/html kon daardoor buiten de ingestelde inspectie vallen.

Hierdoor werden regels die afhankelijk zijn van RESPONSE_BODY niet uitgevoerd en kon informatie die normaal door een WAF-regel zou worden tegengehouden alsnog naar de bezoeker worden gestuurd.

ModSecurity noemt als mogelijke voorbeelden volledige SQL-foutmeldingen, stack traces en debug-informatie.

CVE-2026-73857: geheugenfout in XML-verwerking

CVE-2026-73857 treft libmodsecurity3 3.0.15 en 3.0.16 en heeft een CVSS-score van 7.5.

Een niet-ingelogde aanvaller kan met één speciaal opgebouwd HTTP-request een niet-geïnitialiseerde pointer laten dereferencen in de XML-parser.

Volgens het ModSecurity-project kan de impact variëren van denial of service en memory disclosure tot het beïnvloeden van de execution flow. In bepaalde omstandigheden kan dit mogelijk verder worden uitgebouwd richting code execution.

Deze kwetsbare code wordt alleen bereikt wanneer:

SecParseXmlIntoArgs On

of:

SecParseXmlIntoArgs OnlyArgs

is geconfigureerd.

De instelling staat standaard uit.

File-uploadregels kunnen worden omzeild met filename*

Een tweede High-severity probleem, GHSA-5pww-8rfg-9crf met CVSS 8.6, heeft betrekking op multipart file uploads.

HTTP multipart requests kunnen naast het traditionele filename-veld ook het volgens RFC 2231 gedefinieerde filename*-veld gebruiken.

ModSecurity herkende dit veld onvoldoende, terwijl verschillende backend-frameworks het wel volgens de standaard verwerken.

Een aanvaller kan daardoor een onschuldige bestandsnaam aan ModSecurity laten zien terwijl de achterliggende applicatie een andere bestandsnaam verwerkt.

Securityregels die bestandsuploads controleren op basis van onder andere MULTIPART_FILENAME of FILES kunnen hierdoor worden omzeild.

Ook SQL- en andere WAF-regels kunnen verkeerd worden genormaliseerd

Andere fixes hebben betrekking op transformaties die ModSecurity uitvoert voordat een waarde tegen beveiligingsregels wordt getest.

Zo kon de t:removeComments-transformatie bepaalde opeenvolgende comments verkeerd verwerken. Een constructie met inline comments kon daardoor anders bij de WAF terechtkomen dan bij de achterliggende applicatie.

Dit is relevant voor bijvoorbeeld regels die obfuscated SQL-injectiepogingen proberen te normaliseren voordat ze worden beoordeeld.

Ook de uitgebreide Base64-decoder behandelde de URL-safe tekens - en _ niet correct. Daardoor konden regels die encoded inhoud inspecteren, waaronder bepaalde JWT-gerelateerde controles, een payload missen.

Worden de ModSecurity-kwetsbaarheden actief misbruikt?

Tijdens onze controle hebben wij geen primaire bron gevonden die bevestigt dat deze nieuw gepubliceerde ModSecurity-kwetsbaarheden momenteel op grote schaal actief in het wild worden uitgebuit.

Dat betekent niet dat uitstel verstandig is. Een belangrijk deel van de problemen gaat juist over technieken waarmee de beveiligingslaag zelf kan worden omzeild.

Het ModSecurity-project adviseert voor meerdere advisories expliciet om direct naar een gepatchte release te upgraden.

Let op bij Debian-pakketten

Beheerders die ModSecurity via hun Linux-distributie installeren moeten niet uitsluitend het upstream versienummer vergelijken.

Op 2 oktober 2026 vermeldt de Debian Security Tracker voor CVE-2026-73857 de ModSecurity-pakketten in Debian Bookworm, Trixie en Sid nog als kwetsbaar en wordt nog geen fixed Debian-packageversie genoemd.

Controleer daarom altijd de actuele securitystatus van het gebruikte distributiepakket of het repository van het hostingcontrolpanel.

Zelf een upstream-versie over een door de distributie of het controlpanel beheerd pakket heen installeren is niet automatisch de juiste oplossing en kan toekomstige updates of integraties verstoren.

Tijdelijke mitigatie voor CVE-2026-73857

Wanneer libmodsecurity3 3.0.17 niet direct beschikbaar is en SecParseXmlIntoArgs niet noodzakelijk is voor de applicaties op de server, kan deze functionaliteit worden uitgeschakeld.

Dit voorkomt de specifieke kwetsbare codepath van CVE-2026-73857.

Deze maatregel beschermt echter niet tegen de andere in deze securityrelease gerepareerde WAF-bypasses.

Voor verschillende andere problemen bestaat geen equivalente configuratie-workaround. Updaten blijft daarom de structurele oplossing.

Wat moeten serverbeheerders nu doen?

1. Controleer welke ModSecurity-engine en versie op de server actief is.
2. Controleer of de installatie via het OS, controlpanel of een eigen build wordt beheerd.
3. Installeer libmodsecurity3 3.0.17 / mod_security2 2.9.15 zodra deze via het gebruikte updatekanaal beschikbaar zijn.
4. Controleer na de update of ModSecurity en de gebruikte rulesets correct laden.
5. Herstart of reload de betreffende webserver of WAF-stack waar nodig.
6. Controleer aangepaste ModSecurity-regels op compatibiliteit met de gewijzigde parser- en transformatielogica.
7. Controleer of SecParseXmlIntoArgs is ingeschakeld.
8. Controleer audit- en webserverlogs op afwijkende requests.

Waar moeten logs op worden gecontroleerd?

Veel van deze kwetsbaarheden zijn WAF-bypasses. Dat betekent dat een aanval mogelijk juist niet als een normale ModSecurity-block is vastgelegd.

Combineer daarom ModSecurity auditlogs met webserver- en applicatielogs.

Let onder andere op:

• multipart file uploads met filename*;
• requests met opvallende inline comments of encoded aanvalspayloads;
• URL-safe Base64 in onverwachte requestvelden;
• ongebruikelijke XML-requests wanneer XML-to-ARGS actief is;
• onverklaarde crashes of worker-process failures;
• SQL-injectie-, XSS- of file-uploadpayloads die door de applicatie zijn ontvangen maar niet door ModSecurity zijn geblokkeerd;
• onverwachte uploads of bestanden die na verdachte requests zijn ontstaan.

Een WAF is een extra beveiligingslaag

Deze beveiligingsproblemen laten opnieuw zien waarom een Web Application Firewall nooit de enige bescherming van een website of webshop mag zijn.

Een actuele applicatie, bijgewerkte plugins en extensies, correcte serverconfiguratie, least-privilege, monitoring en back-ups blijven noodzakelijk.

ModSecurity en de OWASP Core Rule Set vormen een belangrijke aanvullende beschermingslaag, maar een WAF kan een kwetsbare WordPress-, Joomla- of Magento-installatie niet vervangen door een veilige installatie.

Managed VPS bij Vservs

Bij een Managed VPS van Vservs verzorgen wij het technische serverbeheer, waaronder beveiligingsupdates, monitoring, hardening en het beheer van de serveromgeving.

Bij unmanaged VPS-servers blijft het controleren en installeren van server- en beveiligingsupdates de verantwoordelijkheid van de beheerder.

Samenvatting

• Software: ModSecurity / libmodsecurity
• Aantal security advisories: 8
• libmodsecurity3 kwetsbaar: meerdere problemen t/m 3.0.16
• libmodsecurity3 veilig: 3.0.17
• mod_security2 kwetsbaar: meerdere problemen t/m 2.9.14
• mod_security2 veilig: 2.9.15
• Belangrijke CVE’s: CVE-2026-73856, CVE-2026-73857, CVE-2026-61812 en CVE-2026-61813
• Hoogste gepubliceerde severity: High / CVSS 8.6
• Impact: WAF-bypasses, informatielekken, denial of service en onder specifieke omstandigheden mogelijke beïnvloeding van execution flow
• Exploitstatus: geen bevestigde grootschalige actieve exploitatie gevonden in de gecontroleerde primaire bronnen
• Actie: update via het juiste OS- of controlpanel-updatekanaal zodra de gepatchte packages beschikbaar zijn

Bronnen

• OWASP ModSecurity Project – September 2026 Security Update Digest
• Debian Security Tracker – CVE-2026-73857
• Varnish Software – Varnish WAF 1.3.2 release met ModSecurity 3.0.17

De W3 Total Cache kwetsbaarheid CVE-2026-87920 maakt het mogelijk dat een niet-ingelogde aanvaller kwaadaardige JavaScript-code opslaat in een WordPress-pagina. De kwetsbaarheid heeft een CVSS-score van 7.2 en wordt als High beoordeeld.

W3 Total Cache is met meer dan 900.000 actieve WordPress-installaties een van de meest gebruikte cachingplugins. Daardoor verdient een nieuwe ongeauthenticeerde kwetsbaarheid in deze plugin extra aandacht.

Versie 2.10.7 bevat de beveiligingscorrectie.

Welke versies van W3 Total Cache zijn kwetsbaar?

• W3 Total Cache 2.10.6 en ouder – kwetsbaar
• W3 Total Cache 2.10.7 en nieuwer – gepatcht voor CVE-2026-87920

WordPress.org vermeldt W3 Total Cache 2.10.7 als actuele release. In de changelog staat onder andere een correctie voor de Browser Cache-functionaliteit waarbij het herschrijven van niet-gequote URL’s bij het verwijderen van querystrings wordt beperkt.

Wat is CVE-2026-87920?

Het probleem zit in de manier waarop W3 Total Cache HTML-output kan herschrijven wanneer querystrings van statische resources worden verwijderd.

Door onvoldoende veilige verwerking van bepaalde HTML-inhoud kan een aanvaller kwaadaardige content via een WordPress-reactie opslaan. Tijdens de output-processing van W3 Total Cache kan deze content vervolgens op een manier worden herschreven waardoor de HTML-structuur wordt doorbroken.

Hierdoor kan door de aanvaller ingevoerde JavaScript-code worden uitgevoerd wanneer iemand de getroffen pagina bezoekt.

Geen WordPress-account vereist

Voor het plaatsen van de kwaadaardige invoer is volgens Wordfence geen WordPress-account vereist. Dit verhoogt het risico voor websites waarop bezoekers reacties kunnen plaatsen.

De kwetsbaarheid is echter niet onder iedere configuratie direct exploiteerbaar.

Specifieke W3 Total Cache-instelling vereist

CVE-2026-87920 kan volgens Wordfence alleen worden uitgebuit wanneer de optie Remove query strings from static resources binnen W3 Total Cache is ingeschakeld.

Deze functionaliteit verwerkt URL’s in de HTML-output om querystrings achter statische bestanden te verwijderen. Juist in dit herschrijfproces bevindt zich het probleem.

Websites waarop deze optie niet actief is, zijn niet via de door Wordfence beschreven aanvalsketen exploiteerbaar. Toch adviseren wij alle installaties met versie 2.10.6 of ouder te actualiseren.

Wat kan Stored Cross-Site Scripting veroorzaken?

Stored Cross-Site Scripting, vaak afgekort tot Stored XSS, betekent dat kwaadaardige JavaScript-code door de website wordt opgeslagen en later aan andere gebruikers wordt aangeboden.

Wanneer bijvoorbeeld een ingelogde WordPress-beheerder een getroffen pagina bekijkt, wordt de code uitgevoerd binnen de browsercontext van de website.

Afhankelijk van de payload kan XSS worden gebruikt voor onder andere:

• het uitvoeren van acties namens een ingelogde gebruiker;
• het wijzigen van website-instellingen;
• het manipuleren van pagina-inhoud;
• het doorsturen van bezoekers naar kwaadaardige websites;
• het verzamelen van informatie uit de browsersessie;
• het creëren van een verdere aanvalsketen richting website-overname.

Wordt CVE-2026-87920 actief misbruikt?

Op het moment van deze publicatie hebben wij geen betrouwbare primaire bron gevonden die bevestigt dat CVE-2026-87920 op grote schaal actief in het wild wordt uitgebuit.

De kwetsbaarheid is inmiddels wel publiek gedocumenteerd en de beveiligingsupdate is beschikbaar. Door de installed base van meer dan 900.000 websites is uitstel van de update daarom niet verstandig.

Wat moeten beheerders nu doen?

1. Controleer of W3 Total Cache is geïnstalleerd.
2. Controleer het geïnstalleerde versienummer.
3. Update naar W3 Total Cache 2.10.7 of nieuwer.
4. Controleer of Remove query strings from static resources actief was.
5. Wis na de update alle W3 Total Cache-caches.
6. Wis indien van toepassing ook reverse-proxy- en CDN-cache.
7. Controleer recente reacties op verdachte HTML- of JavaScript-inhoud.

Website controleren op mogelijk misbruik

Omdat de kwetsbaarheid via opgeslagen reactie-inhoud kan worden misbruikt, verdienen recente WordPress-reacties extra aandacht.

Controleer onder andere op:

• onbekende of opvallende HTML in reacties;
• <script-constructies;
• HTML-attributen zoals onerror, onload of vergelijkbare event handlers;
• javascript:-constructies;
• vreemde querystrings of bewust beschadigde HTML-attributen;
• reacties die kort na plaatsing onverwachte frontendproblemen veroorzaakten.

Een patroon in een reactie is niet automatisch bewijs van succesvolle exploitatie. Beoordeel verdachte inhoud samen met webserverlogs, het tijdstip waarop de reactie is geplaatst en eventuele wijzigingen aan gebruikers of websitebestanden.

Controleer ook op gevolgen van XSS

Wanneer een kwaadaardige payload daadwerkelijk is uitgevoerd terwijl een beheerder was ingelogd, kan de oorspronkelijke reactie slechts het begin van de aanval zijn geweest.

Controleer daarom bij concrete aanwijzingen voor misbruik ook:

• recent aangemaakte administratoraccounts;
• gewijzigde gebruikersrollen;
• onbekende plugins of thema’s;
• recent gewijzigde PHP-bestanden;
• onverwachte wijzigingen in WordPress-instellingen;
• verdachte loginactiviteiten.

Managed WordPress en Managed VPS bij Vservs

WordPress-beveiliging vraagt steeds vaker om snelle opvolging van plugin- en core-updates. Vooral veelgebruikte plugins zijn aantrekkelijk voor geautomatiseerde scans zodra details over een kwetsbaarheid openbaar worden.

Met een Managed VPS van Vservs verzorgen wij onder andere serverupdates, hardening, monitoring, back-ups en technisch serverbeheer.

Bij unmanaged hosting en unmanaged VPS-servers blijft het beheer en actualiseren van WordPress, plugins en thema’s de verantwoordelijkheid van de beheerder.

Samenvatting

• Plugin: W3 Total Cache
• CVE: CVE-2026-87920
• Severity: High
• CVSS: 7.2
• Kwetsbare versies: 2.10.6 en ouder
• Veilige versie: 2.10.7 of nieuwer
• Installed base: meer dan 900.000 actieve installaties
• Impact: ongeauthenticeerde Stored Cross-Site Scripting
• Voorwaarde: Remove query strings from static resources moet actief zijn
• Exploitstatus: geen bevestigde actieve exploitatie gevonden op het moment van publicatie
• Actie: updaten en caches volledig legen

Bronnen

• Wordfence Intelligence – CVE-2026-87920
• WordPress.org – W3 Total Cache pluginpagina en changelog

De WPMobile.App kwetsbaarheid CVE-2026-94541 maakt het onder bepaalde omstandigheden mogelijk om zonder account wachtwoord-resetlinks van WordPress-gebruikers te bemachtigen en daarmee accounts over te nemen. De kwetsbaarheid heeft een CVSS-score van 9.8 en wordt als Critical beoordeeld.

Wordfence heeft bovendien gemeld dat het in de afgelopen 24 uur 79 aanvalspogingen heeft geblokkeerd die specifiek op deze kwetsbaarheid waren gericht. Dit betekent dat CVE-2026-94541 inmiddels daadwerkelijk door aanvallers wordt getest en aangevallen.

Dat aantal mag niet worden geïnterpreteerd als 79 succesvol gehackte websites. Het gaat om door Wordfence gedetecteerde en geblokkeerde exploitpogingen.

Welke versies van WPMobile.App zijn kwetsbaar?

De kwetsbaarheid treft:

• WPMobile.App 11.82 en ouder – kwetsbaar
• WPMobile.App 11.85 en nieuwer – gepatcht voor CVE-2026-94541

Versie 11.83 schakelde de betreffende mail-to-push-functionaliteit tijdelijk uit en versie 11.84 bevatte aanvullende hardening. Wordfence adviseert voor volledige remediatie te upgraden naar versie 11.85 of nieuwer.

Hoe werkt CVE-2026-94541?

WPMobile.App kan e-mailberichten vanuit WordPress omzetten naar push-notificaties voor de bijbehorende mobiele applicatie.

Wanneer de functie mail-to-push actief is, worden uitgaande WordPress-e-mails verwerkt en gegevens daarvan in de push-queue opgeslagen.

Het beveiligingsprobleem ontstaat doordat de plugin onvoldoende controleert of een bezoeker bevoegd is om bepaalde gegevens uit deze push-queue op te vragen.

Dit wordt bijzonder gevaarlijk bij WordPress-wachtwoordherstel. Een e-mail voor het opnieuw instellen van een wachtwoord bevat een unieke reset-URL en reset-key. Wanneer zo’n bericht via mail-to-push wordt verwerkt, kan die informatie eveneens in de push-queue terechtkomen.

Een niet-ingelogde aanvaller kan onder de kwetsbare omstandigheden proberen deze resetinformatie uit te lezen en vervolgens gebruiken om het wachtwoord van het doelaccount opnieuw in te stellen.

Administratoraccount kan worden overgenomen

De aanval is niet beperkt tot gewone WordPress-gebruikers. Ook wachtwoord-resetlinks van accounts met de rol Administrator kunnen worden getroffen.

Een succesvolle aanval kan daardoor leiden tot volledige overname van de WordPress-website.

Een aanvaller met administratorrechten kan vervolgens bijvoorbeeld:

• nieuwe administratoraccounts toevoegen;
• plugins of thema’s installeren en wijzigen;
• PHP-code op de website plaatsen;
• websitegegevens wijzigen of verwijderen;
• malware, redirects of backdoors installeren;
• gegevens van bezoekers of klanten benaderen.

Wanneer is een website kwetsbaar?

Voor deze specifieke aanvalsketen moet de mail-to-push-functionaliteit van WPMobile.App actief zijn. Wordfence noemt hiervoor de instelling wpmobile_auto_mail=1.

Wanneer deze functie niet was ingeschakeld, is de beschreven methode voor het onderscheppen van wachtwoord-resetlinks niet direct toepasbaar.

Dat verandert echter niets aan het updateadvies. Websites met WPMobile.App 11.82 of ouder moeten worden bijgewerkt.

Actieve aanvalspogingen waargenomen

Wordfence meldt dat het 79 aanvallen tegen CVE-2026-94541 heeft geblokkeerd in de 24 uur voorafgaand aan de publicatie van de actuele kwetsbaarheidsinformatie.

Daarmee is dit geen kwetsbaarheid die uitsluitend theoretisch interessant is. Er zijn concrete aanwijzingen dat aanvallers de kwetsbaarheid proberen te misbruiken.

Er zijn op dit moment echter geen betrouwbare cijfers gepubliceerd waaruit blijkt hoeveel websites daadwerkelijk succesvol via deze kwetsbaarheid zijn gecompromitteerd.

Wat moeten WordPress-beheerders nu doen?

1. Controleer of WPMobile.App op de website is geïnstalleerd.
2. Controleer het geïnstalleerde versienummer.
3. Update WPMobile.App direct naar 11.85 of nieuwer.
4. Schakel de plugin tijdelijk uit wanneer onmiddellijk updaten niet mogelijk is.
5. Controleer of mail-to-push actief was op de website.
6. Controleer administratoraccounts op onverwachte wijzigingen.
7. Controleer recente wachtwoord-resets en beveiligingsmeldingen.
8. Controleer WordPress- en webserverlogs op verdachte activiteit.

Controleren op mogelijke misbruikspogingen

Webserverlogs kunnen worden gecontroleerd op ongebruikelijke requests richting WPMobile.App-functionaliteit. Bij deze kwetsbaarheid is onder andere de parameter wpapp_category[] relevant.

Het aantreffen van deze parameter is op zichzelf geen bewijs dat een website succesvol is gehackt. Requests moeten worden beoordeeld in combinatie met tijdstip, bron-IP, responsecode en andere activiteiten van dezelfde bezoeker.

Controleer daarnaast:

• onbekende of recent aangemaakte administratoraccounts;
• onverwachte wijzigingen van e-mailadressen van beheerders;
• recente wachtwoord-resets die niemand binnen de organisatie heeft aangevraagd;
• onbekende plugins en thema’s;
• recent gewijzigde PHP-bestanden;
• onverwachte wijzigingen in wp-config.php;
• verdachte nieuwe bestanden binnen wp-content;
• ongebruikelijke WordPress-loginactiviteiten.

Wat doen bij aanwijzingen voor accountovername?

Wanneer er aanwijzingen zijn dat een administratoraccount daadwerkelijk is overgenomen, is alleen het installeren van de update niet voldoende.

De website moet dan als mogelijk gecompromitteerd worden behandeld. Controleer bestanden, database, gebruikersaccounts, plugins, thema’s en serverlogs.

Wijzig administratorwachtwoorden en andere relevante toegangscodes nadat de integriteit van de website is gecontroleerd. Bij een bevestigde compromise is het daarnaast verstandig actieve WordPress-sessies ongeldig te maken en te controleren of aanvullende persistence is aangebracht.

Managed WordPress en Managed VPS bij Vservs

Het tijdig installeren van beveiligingsupdates en het controleren van websites op afwijkend gedrag wordt steeds belangrijker. Kwetsbaarheden in WordPress-plugins worden regelmatig kort na publieke bekendmaking door geautomatiseerde scanners opgezocht.

Met een Managed VPS van Vservs nemen wij het technische beheer van de serveromgeving uit handen, waaronder beveiligingsupdates, monitoring, hardening en technisch serverbeheer.

Bij unmanaged hosting en unmanaged VPS-servers blijft het bijhouden van WordPress, plugins en thema’s de verantwoordelijkheid van de beheerder.

Samenvatting

• Plugin: WPMobile.App – Android and iOS App Builder
• CVE: CVE-2026-94541
• Severity: Critical
• CVSS: 9.8
• Kwetsbare versies: 11.82 en ouder
• Veilige versie: 11.85 of nieuwer
• Impact: ongeauthenticeerde accountovername, inclusief Administrator-accounts
• Voorwaarde: mail-to-push-functionaliteit actief
• Exploitstatus: Wordfence heeft aanvalspogingen tegen de kwetsbaarheid waargenomen
• Actie: onmiddellijk updaten en accounts/logs controleren

Bronnen

• Wordfence Intelligence – CVE-2026-94541
• WordPress.org – WPMobile.App pluginpagina en changelog

De AcyMailing kwetsbaarheid CVE-2026-94132 kan onder de getroffen configuratie leiden tot remote code execution op een Joomla-website. De kritieke kwetsbaarheid bevindt zich in de mailbox actions-functionaliteit van AcyMailing Enterprise. AcyMailing-versies tot en met 11.0.5 zijn getroffen en AcyMailing 11.1.0 bevat de beveiligingsfix.

De Joomla CNA beoordeelt CVE-2026-94132 met een CVSS 4.0-score van 9.5 Critical. Een Joomla-account is niet vereist. Een aanvaller moet wel e-mail kunnen sturen naar een mailbox die door de kwetsbare AcyMailing-functionaliteit wordt gemonitord.

Extra aandacht is nodig omdat inmiddels publieke proof-of-conceptcode voor CVE-2026-94132 beschikbaar is. Daarnaast is ontdekt dat Joomla-installaties onder bepaalde omstandigheden de AcyMailing-update niet tonen doordat de update-site kan ontbreken. Controleer daarom het daadwerkelijk geïnstalleerde versienummer en vertrouw niet uitsluitend op de melding dat alle Joomla-extensies up-to-date zijn.

Wat is AcyMailing kwetsbaarheid CVE-2026-94132?

CVE-2026-94132 bevindt zich in de mailbox actions-functionaliteit van AcyMailing Enterprise voor Joomla.

AcyMailing kan een mailbox controleren en binnenkomende e-mail automatisch verwerken. Volgens het officiële CVE-record werden MIME-onderdelen van binnenkomende berichten bij kwetsbare versies opgeslagen onder:

media/com_acym/upload/

Daarbij werd de bestandsextensie onvoldoende gecontroleerd. Een aanvaller die e-mail naar de gemonitorde mailbox kan sturen, kan daardoor onder de kwetsbare omstandigheden een bestand met een gevaarlijk bestandstype, waaronder PHP, laten opslaan in een webtoegankelijke directory.

Wanneer de webserver PHP-bestanden in deze directory uitvoert, kan het geüploade bestand vervolgens via HTTP worden aangeroepen. Daarmee kan de kwetsbaarheid leiden tot Remote Code Execution.

Welke AcyMailing-versies zijn kwetsbaar?

• AcyMailing Enterprise 1.0.0 t/m 11.0.5 – kwetsbaar
• AcyMailing 11.1.0 of nieuwer – beveiligingsfix aanwezig

De Joomla CNA noemt specifiek de Enterprise-editie omdat de getroffen mailbox actions-functionaliteit daarin beschikbaar is.

AcyMailing heeft versie 11.1.0 op 24 september 2026 uitgebracht. In de officiële changelog vermeldt de ontwikkelaar dat een beveiligingsprobleem in een specifieke mailbox-actionsituatie is opgelost.

Wanneer kan de AcyMailing kwetsbaarheid worden misbruikt?

Het is belangrijk om de aanvalsvector correct te beschrijven. Een aanvaller hoeft niet bij Joomla of AcyMailing te kunnen inloggen.

Er moet echter wel een kwetsbare mailbox actions-configuratie aanwezig zijn en de aanvaller moet een e-mailbericht kunnen afleveren bij de mailbox die door AcyMailing wordt gemonitord.

De technische analyse van mySites.guru specificeert daarnaast dat de kwetsbare situatie betrekking heeft op mailbox actions of bounce handling die de POP3/non-IMAP (“pear”) connection method gebruiken.

Een standaard Joomla-installatie zonder deze AcyMailing-functionaliteit is dus niet automatisch via CVE-2026-94132 exploiteerbaar.

Wat kan een aanvaller bereiken?

Wanneer een uitvoerbaar PHP-bestand succesvol wordt opgeslagen en vervolgens via de webserver wordt aangeroepen, wordt de code uitgevoerd met de rechten van het PHP-proces van de betreffende website.

Afhankelijk van de serverconfiguratie kan dit onder andere leiden tot:

• plaatsing van een webshell of permanente backdoor;
• uitlezen van configuration.php en databasecredentials;
• wijzigen van Joomla-bestanden;
• toegang tot gegevens die voor het hostingaccount beschikbaar zijn;
• aanmaken of wijzigen van Joomla-gebruikers;
• installatie van aanvullende malware;
• volledige overname van de betreffende Joomla-website.

Bij correct geïsoleerde hostingaccounts blijft de impact normaal gesproken beperkt tot bestanden en resources waartoe het betreffende account toegang heeft. Dat neemt niet weg dat de Joomla-installatie zelf volledig kan worden gecompromitteerd.

Publieke proof-of-concept voor CVE-2026-94132 beschikbaar

Voor CVE-2026-94132 is inmiddels publieke proof-of-conceptcode gepubliceerd.

Dit verlaagt de technische drempel voor andere onderzoekers en potentiële aanvallers om de kwetsbaarheid te analyseren en exploitatie verder te automatiseren.

Een publieke PoC betekent echter niet dat actieve exploitatie in het wild is bevestigd.

Op het moment van deze publicatie is er geen betrouwbare bevestiging van daadwerkelijke aanvallen via CVE-2026-94132. De beschikbare CISA-vulnerability-enrichment vermeldt momenteel eveneens Exploitation: none.

Vservs adviseert daarom met hoge prioriteit te patchen vanwege de kritieke technische impact en publieke exploitinformatie, zonder te stellen dat de kwetsbaarheid momenteel aantoonbaar actief wordt misbruikt.

Let op: Joomla kan de AcyMailing-update missen

Naast de kwetsbaarheid zelf is een praktisch probleem met het AcyMailing-updatekanaal ontdekt.

Volgens onderzoek van mySites.guru definieert het Joomla-installatiepakket van AcyMailing zijn update-server niet via het gebruikelijke updateservers-element in het extensiemanifest. De update-site wordt tijdens installatie via PHP aan Joomla toegevoegd.

Wanneer in Joomla Update Sites → Rebuild wordt gebruikt, verwijdert Joomla niet-Core update-sites en reconstrueert deze vervolgens aan de hand van de extensiemanifesten.

Omdat de AcyMailing update-site daar niet in staat, kan deze na een Rebuild verdwijnen.

Het gevolg is belangrijk: een Joomla-installatie met een kwetsbare AcyMailing-versie kan melden dat alle extensies up-to-date zijn terwijl AcyMailing 11.1.0 wel beschikbaar is.

Controleer daarom het daadwerkelijke AcyMailing-versienummer

Vertrouw bij deze kwetsbaarheid niet uitsluitend op Joomla’s automatische updatecontrole.

Controleer de geïnstalleerde AcyMailing-versie rechtstreeks in de extensie en zorg dat minimaal 11.1.0 is geïnstalleerd.

Wanneer Joomla geen update aanbiedt terwijl een oudere versie aanwezig is, kan het actuele AcyMailing-pakket via de leverancier worden verkregen en over de bestaande installatie worden geïnstalleerd.

Controleer na het bijwerken ook of eventuele AcyMailing-add-ons correct blijven functioneren.

Wat moeten Joomla-beheerders nu doen?

1. Controleer of AcyMailing op de Joomla-website is geïnstalleerd.
2. Controleer het daadwerkelijke versienummer en vertrouw niet uitsluitend op Joomla’s updater.
3. Update naar AcyMailing 11.1.0 of nieuwer.
4. Controleer of mailbox actions of bounce handling worden gebruikt.
5. Controleer welke connection method voor de betreffende mailbox is ingesteld.
6. Controleer na de update of AcyMailing en eventuele add-ons correct functioneren.
7. Onderzoek kwetsbare installaties met actieve mailbox actions op verdachte bestanden en requests.

Tijdelijke mitigatie wanneer direct updaten niet mogelijk is

Wanneer AcyMailing niet onmiddellijk kan worden bijgewerkt, kan het uitschakelen van de kwetsbare mailbox-functionaliteit de aanvalsvector beperken.

De technische analyse noemt het overschakelen van de mailboxverbinding naar IMAP als tijdelijke maatregel voor de kwetsbare POP3-situatie.

Een aanvullende server-side maatregel is het blokkeren van PHP-uitvoering in de directory waarin AcyMailing mailboxbijlagen opslaat.

Deze maatregelen zijn uitsluitend tijdelijke mitigaties. De structurele oplossing blijft een update naar AcyMailing 11.1.0 of nieuwer.

Controle op mogelijke compromittering

Joomla-websites die vóór de update een kwetsbare AcyMailing Enterprise-versie met de betreffende mailbox actions-functionaliteit gebruikten, moeten aanvullend worden gecontroleerd.

Besteed in het bijzonder aandacht aan:

• onbekende PHP-, PHTML- of andere uitvoerbare bestanden onder media/com_acym/upload/;
• recent aangemaakte of gewijzigde bestanden in AcyMailing-directories;
• webserverrequests naar onbekende bestanden onder media/com_acym/;
• onverwachte berichten of bijlagen in de gemonitorde mailbox;
• onbekende Joomla Super User-accounts;
• nieuwe of gewijzigde Joomla-extensies;
• onverwachte wijzigingen aan templates of andere PHP-bestanden;
• verdachte uitgaande netwerkverbindingen vanuit het hostingaccount.

Het aantreffen van een onbekend uitvoerbaar bestand in een webtoegankelijke AcyMailing-directory is een ernstig signaal. Behandel de website in dat geval als potentieel gecompromitteerd.

Alleen het verwijderen van het bestand en bijwerken van AcyMailing is dan niet voldoende. Controleer de volledige Joomla-installatie op persistence, vergelijk bestanden met vertrouwde originelen en roteer relevante credentials nadat de integriteit van de omgeving is hersteld.

Managed VPS bij Vservs

De AcyMailing kwetsbaarheid laat zien waarom alleen vertrouwen op automatische updatechecks niet altijd voldoende is. De daadwerkelijk geïnstalleerde softwareversie en beveiligingsstatus moeten eveneens worden gecontroleerd.

Met een Managed VPS van Vservs verzorgen wij onder andere technisch serverbeheer, relevante beveiligingsupdates, monitoring en server-hardening.

Samenvatting

• Kwetsbaarheid: CVE-2026-94132
• Software: AcyMailing Enterprise voor Joomla
• Type: Unrestricted Upload of File with Dangerous Type / Remote Code Execution
• CVSS 4.0: 9.5 Critical
• Joomla-login vereist: nee
• Aanvalsvoorwaarde: e-mail kunnen afleveren bij een kwetsbaar gemonitorde mailbox
• Getroffen versies: 1.0.0 t/m 11.0.5
• Veilige versie: 11.1.0 of nieuwer
• Publieke PoC: ja
• Actieve exploitatie: momenteel niet bevestigd
• Extra risico: Joomla kan de beschikbare AcyMailing-update onder bepaalde omstandigheden niet tonen

Bronnen

• AcyMailing – officiële changelog versie 11.1.0
• CVE-2026-94132 – Joomla CNA / CVE-record
• mySites.guru – technische analyse CVE-2026-94132
• mySites.guru – ontbrekende AcyMailing update-site in Joomla

Het Joomla Project heeft Joomla 5.4.9 en Joomla 6.1.4 uitgebracht met in totaal zestien beveiligingsfixes in Joomla Core. De update verhelpt onder andere twee kwetsbaarheden met High severity, meerdere toegangscontroleproblemen, verschillende XSS-kwetsbaarheden, ongeautoriseerde accountcreatie en een nieuwe mogelijkheid om Multi-Factor Authentication te omzeilen.

De Joomla beveiligingsupdate is op 29 september 2026 gepubliceerd. Websites die Joomla 5 tot en met 5.4.8 of Joomla 6 tot en met 6.1.3 gebruiken, moeten naar respectievelijk Joomla 5.4.9 of 6.1.4 worden bijgewerkt.

Welke Joomla-versies zijn veilig?

• Joomla 5.4.9 of nieuwer: beveiligingsfixes aanwezig
• Joomla 6.1.4 of nieuwer: beveiligingsfixes aanwezig

De verschillende CVE’s hebben niet allemaal exact dezelfde affected range. Een groot deel treft Joomla 4.0.0 tot en met 5.4.8 en Joomla 6.0.0 tot en met 6.1.3, terwijl enkele problemen teruggaan tot veel oudere Joomla-versies.

Voor verouderde Joomla 3- en 4-installaties is dit opnieuw een belangrijke reden om naar een ondersteunde Joomla-versie te migreren.

Twee High severity-kwetsbaarheden

Van de zestien beveiligingsproblemen worden er twee door Joomla met High impact en High severity geclassificeerd.

CVE-2026-90915 – willekeurige directoryverwijdering via path traversal

Bij het legen van de Joomla-cache werd de naam van een cachegroep onvoldoende gevalideerd. Hierdoor kon path traversal ontstaan en konden onder de juiste omstandigheden willekeurige directories worden verwijderd.

Joomla vermeldt versies 4.0.0 tot en met 5.4.8 en 6.0.0 tot en met 6.1.3 als getroffen.

CVE-2026-92222 – Server-Side Request Forgery

URL’s die door verschillende Joomla Core-extensies voor server-side requests worden gebruikt, werden onvoldoende gevalideerd. Hierdoor ontstonden SSRF-mogelijkheden.

Een SSRF-kwetsbaarheid kan een aanvaller een server verzoeken laten uitvoeren naar bestemmingen die vanaf de buitenkant niet rechtstreeks bereikbaar hoeven te zijn.

Nieuwe MFA-bypass in Joomla

CVE-2026-92227 betreft een probleem met Remember Me-cookies. Volgens Joomla kan een cookie te vroeg worden uitgegeven, waardoor de Multi-Factor Authentication-controle bij een latere front-endlogin kan worden omzeild.

Deze kwetsbaarheid betekent niet dat een aanvaller zonder gebruikersnaam of wachtwoord automatisch kan inloggen. De normale primaire authenticatie blijft relevant, maar een tweede beveiligingslaag die juist bedoeld is om gestolen wachtwoorden minder bruikbaar te maken, kan onder de kwetsbare omstandigheden worden omzeild.

Accountcreatie terwijl registratie is uitgeschakeld

CVE-2026-90907 bevindt zich in de profile.save-controller. Joomla meldt dat de loginstatus onvoldoende werd gecontroleerd, waardoor een bezoeker een guest-level gebruikersaccount kon aanmaken op websites waarop publieke gebruikersregistratie was uitgeschakeld.

Een Guest-account is niet gelijk aan een Super User-account, maar ongeautoriseerde accountcreatie doorbreekt wel expliciet de configuratie waarmee een beheerder registratie heeft uitgeschakeld.

Andere beveiligingsproblemen in Joomla 5.4.9 en 6.1.4

De release bevat daarnaast meerdere beveiligingsfixes voor:

• Cross-Site Scripting in verschillende Joomla Core-layouts;
• onjuiste ACL-controles in webservice-endpoints;
• ongeautoriseerde edit-acties via webservices;
• toegang tot content die volgens ACL-regels niet zichtbaar hoort te zijn;
• HTML-mailtemplates en andere output die onvoldoende werd geescaped.

Worden deze Joomla-kwetsbaarheden actief misbruikt?

Het Joomla Project meldt in de geraadpleegde security advisories geen bevestigde actieve exploitatie in het wild van deze nieuwe kwetsbaarheden.

Ook voor de twee High severity-problemen is momenteel geen betrouwbare publieke informatie gevonden die een lopende aanvalscampagne bevestigt.

De combinatie van Joomla’s grote installed base en publiek beschikbare technische informatie maakt uitstel echter onnodig riskant. De patches zijn beschikbaar en moeten worden geïnstalleerd.

Let op bij Joomla 5.4.9 en de Web Services API

Joomla heeft voor versie 5.4.9 een bekende niet-beveiligingsgerelateerde regressie gemeld: PATCH-verzoeken via de Web Services API kunnen een fatal error veroorzaken.

Joomla 6.1.4 heeft dit specifieke probleem niet. Beheerders die op Joomla 5 intensief gebruikmaken van de Web Services API moeten daarom de officiële Joomla-informatie over de tijdelijke workaround controleren.

Dit bekende probleem is geen reden om de beveiligingsupdate onbeperkt uit te stellen; het moet onderdeel zijn van de updateplanning en functionele controle na installatie.

Wat moeten Joomla-beheerders nu doen?

1. Maak vóór de update een volledige back-up van bestanden en database.
2. Update Joomla 5 naar 5.4.9 of nieuwer.
3. Update Joomla 6 naar 6.1.4 of nieuwer.
4. Controleer na de update front-end, administrator en gebruikte webservices.
5. Controleer gebruikersaccounts en gebruikersgroepen op onverwachte wijzigingen.
6. Controleer server- en Joomla-logs op afwijkende toegang of foutmeldingen.
7. Plan migratie voor installaties die nog op niet-ondersteunde Joomla-versies draaien.

Compromise-checks

Er bestaat geen universele indicator waarmee alle zestien kwetsbaarheden achteraf betrouwbaar kunnen worden gedetecteerd. Afhankelijk van de gebruikte functionaliteit zijn onder andere de volgende controles zinvol:

• onbekende Joomla-gebruikers of onverwachte accounts;
• wijzigingen aan gebruikersgroepen of ACL-instellingen;
• onverklaarde ontbrekende directories of bestanden;
• ongebruikelijke requests naar Joomla webservice-endpoints;
• onbekende uitgaande netwerkverbindingen vanuit PHP/Joomla;
• onverwachte Remember Me-loginactiviteit;
• wijzigingen aan Joomla Core-bestanden.

Managed hosting bij Vservs

CMS-beveiliging bestaat niet alleen uit plugin- en extensie-updates. Ook Joomla Core en de onderliggende serveromgeving moeten actueel blijven.

Met een Managed VPS van Vservs verzorgen wij onder andere technisch serverbeheer, relevante beveiligingsupdates, monitoring en server-hardening.

Samenvatting

• Software: Joomla Core
• Aantal security fixes: 16
• Belangrijkste High CVE’s: CVE-2026-90915 en CVE-2026-92222
• Andere belangrijke problemen: MFA-bypass, ongeautoriseerde accountcreatie, XSS en ACL-fouten
• Veilige Joomla 5-versie: 5.4.9 of nieuwer
• Veilige Joomla 6-versie: 6.1.4 of nieuwer
• Actieve exploitatie: momenteel niet betrouwbaar bevestigd

Bronnen

• Joomla Project – Joomla 6.1.4 & 5.4.9 Security & Bugfix Release
• Joomla Security Centre – CVE-2026-90915
• Joomla Security Centre – CVE-2026-92222
• Joomla Security Centre – CVE-2026-92227