Een kritieke BookIt kwetsbaarheid maakt het mogelijk dat aanvallers zonder inloggegevens SQL-injectie uitvoeren op WordPress-websites die de BookIt-plugin gebruiken. Het beveiligingsprobleem is geregistreerd als CVE-2026-62048 en heeft een CVSS-score van 9.3. De kwetsbaarheid treft BookIt-versies tot en met 2.6.0.6. De ontwikkelaar heeft versie 2.6.0.7 uitgebracht om het probleem te verhelpen. Vservs adviseert beheerders van websites met online afspraken en reserveringen onmiddellijk hun pluginversie te controleren.

BookIt is een WordPress-plugin voor het beheren van online afspraken, reserveringen en beschikbaarheidskalenders.

De plugin wordt gebruikt door onder andere dienstverleners, bedrijven en organisaties die klanten via hun website afspraken laten maken.

Volgens WordPress.org heeft BookIt meer dan 4.000 actieve installaties.

Wat is de BookIt kwetsbaarheid?

CVE-2026-62048 is een SQL-injectiekwetsbaarheid.

SQL-injectie ontstaat wanneer een applicatie door een gebruiker aangeleverde gegevens onvoldoende controleert voordat deze worden verwerkt in databasequery’s.

Een aanvaller kan proberen speciaal geconstrueerde invoer te gebruiken om de betekenis van een databasequery te veranderen.

Afhankelijk van de kwetsbare code en de rechten van de databasegebruiker kan dit leiden tot ongeautoriseerde toegang tot gegevens.

Patchstack heeft bevestigd dat BookIt-versies tot en met 2.6.0.6 kwetsbaar zijn voor SQL-injectie zonder authenticatie.

Waarom is deze kwetsbaarheid ernstig?

WordPress gebruikt doorgaans een MySQL- of MariaDB-database voor het opslaan van websitegegevens.

Ook BookIt gebruikt de database voor het verwerken van reserveringen, klantgegevens en andere informatie.

Wanneer een aanvaller via een kwetsbare plugin databasequery’s kan manipuleren, kunnen de gevolgen ernstig zijn.

Afhankelijk van de gebruikte databaseconfiguratie kan een succesvolle aanval leiden tot:

• Ongeautoriseerde toegang tot databasegegevens.
• Uitlezen van reserveringsinformatie.
• Ongewenste wijzigingen aan opgeslagen gegevens.
• Manipulatie of verwijdering van database-inhoud.
• Mogelijke blootstelling van vertrouwelijke informatie.
• Verstoring van het reserveringssysteem.

De daadwerkelijke mogelijkheden van een aanvaller hangen af van de databasequery’s die kunnen worden beïnvloed en de rechten van de databasegebruiker.

SQL-injectie betekent niet automatisch dat een aanvaller rechtstreeks opdrachten kan uitvoeren op het Linux-besturingssysteem.

Welke BookIt-versies zijn kwetsbaar?

• Plugin: BookIt – Booking & Appointment Calendar.
• Plugin slug: bookit.
• Kwetsbare versies: 2.6.0.6 en ouder.
• Eerste veilige versie: 2.6.0.7.
• CVE: CVE-2026-62048.
• CVSS: 9.3 – Critical.
• Patchstack-prioriteit: High.
• Vereiste authenticatie: Geen.

De ontwikkelaar heeft op 29 oktober 2026 versie 2.6.0.7 uitgebracht.

Volgens de officiële changelog bevat deze versie beveiligingsverbeteringen voor het publiek toegankelijke reserveringsproces en de verwerking van prijzen.

Waarom verdient het reserveringsproces extra aandacht?

Een belangrijk onderdeel van BookIt is de mogelijkheid om rechtstreeks via een website een afspraak te maken.

Daarvoor moeten bezoekers gegevens kunnen versturen naar het reserveringssysteem.

Deze functionaliteit is in veel gevallen toegankelijk zonder dat bezoekers eerst een WordPress-account hoeven aan te maken.

Dat maakt een kwetsbaarheid in de verwerking van dergelijke verzoeken bijzonder relevant.

Wanneer onvoldoende beveiligde invoer in een databasequery terechtkomt, kan mogelijk SQL-injectie ontstaan.

De beveiligingsupdate bevat verbeteringen voor de verwerking van publiek toegankelijke reserveringsverzoeken.

Wordt CVE-2026-62048 actief misbruikt?

Met stand van 2 november 2026 is er geen ondubbelzinnige bevestiging gevonden van actieve exploitatie van deze specifieke kwetsbaarheid in het wild.

Patchstack heeft de kwetsbaarheid wel aangemerkt als een beveiligingsprobleem met hoge prioriteit dat geschikt kan zijn voor geautomatiseerde aanvallen.

Deze risicobeoordeling is geen bewijs dat dergelijke aanvallen daadwerkelijk plaatsvinden.

Vanwege de technische impact adviseert Vservs om de beschikbare beveiligingsupdate onmiddellijk te installeren.

Hoe controleert u de geïnstalleerde BookIt-versie?

Open het WordPress-dashboard en ga naar Plugins → Geïnstalleerde plugins.

Zoek BookIt en controleer het geïnstalleerde versienummer.

Beheerders met WP-CLI kunnen de pluginversie controleren met:

wp plugin get bookit --field=version

Wanneer versie 2.6.0.6 of ouder wordt gebruikt, moet de plugin worden bijgewerkt naar versie 2.6.0.7 of nieuwer.

Controleer reserveringen op verdachte activiteiten

Wanneer een kwetsbare versie van BookIt werd gebruikt, adviseert Vservs de website en reserveringsgegevens te onderzoeken.

Controleer onder andere:

• Ongebruikelijke verzoeken naar reserveringsfunctionaliteit.
• Verdachte invoer in reserveringsformulieren.
• Onverklaarbare wijzigingen aan afspraken.
• Afwijkende reserveringsgegevens.
• Onverwachte wijzigingen aan klantgegevens.
• Onverklaarbare afwijkingen in prijzen of betalingen.
• Databasefouten die samenvallen met verdachte HTTP-verzoeken.
• Onverwachte wijzigingen aan WordPress-gebruikersaccounts.

Deze indicatoren zijn algemene onderzoeksmaatregelen en bewijzen niet zelfstandig dat CVE-2026-62048 is misbruikt.

Bij aanwijzingen voor compromittering moeten relevante logbestanden en databasegegevens worden veiliggesteld voordat uitgebreide herstelwerkzaamheden plaatsvinden.

Welke beveiligingsmaatregelen adviseert Vservs?

1. Controleer alle WordPress-installaties waarop BookIt wordt gebruikt.
2. Maak een actuele back-up van de website en database.
3. Installeer BookIt 2.6.0.7 of nieuwer.
4. Controleer reserveringen op onverwachte wijzigingen.
5. Onderzoek verdachte verzoeken in webserverlogs.
6. Controleer de database op ongeautoriseerde wijzigingen wanneer daar concrete aanwijzingen voor bestaan.
7. Test het reserveringsproces na de beveiligingsupdate.
8. Controleer eventuele koppelingen met betalingsproviders en externe kalenders.

Wanneer een beveiligingsupdate niet onmiddellijk mogelijk is, kan het tijdelijk uitschakelen van de kwetsbare reserveringsfunctionaliteit worden overwogen.

Dit kan gevolgen hebben voor de beschikbaarheid van online afspraken.

Managed WordPress Hosting bij Vservs

Vservs biedt professioneel beheerde hostingoplossingen voor WordPress-websites en zakelijke applicaties.

Met Managed WordPress Hosting kunnen bedrijven en organisaties hun WordPress-omgeving professioneel laten beheren en onderhouden.

Daarnaast levert Vservs Managed VPS Hosting voor organisaties die behoefte hebben aan een professioneel beheerde Linux-serveromgeving.

De exacte verantwoordelijkheid voor applicatie- en pluginupdates is afhankelijk van het overeengekomen beheerpakket.

Volg regelmatig onze Vservs Security & Beveiligingsupdates voor actuele beveiligingsmeldingen.

Conclusie

De BookIt kwetsbaarheid CVE-2026-62048 vormt een ernstig risico voor WordPress-websites die kwetsbare pluginversies gebruiken.

Omdat het beveiligingsprobleem zonder authenticatie kan worden misbruikt voor SQL-injectie, is snelle installatie van de beveiligingsupdate belangrijk.

Vservs adviseert websitebeheerders om onmiddellijk naar versie 2.6.0.7 of nieuwer bij te werken en verdachte reserveringsactiviteiten waar nodig te onderzoeken.

Bronnen

• Patchstack – CVE-2026-62048
• WordPress.org – BookIt
• CVE.org – CVE-2026-62048

Een ernstige WP Social Login kwetsbaarheid kan aanvallers onder specifieke omstandigheden toegang geven tot bestaande WordPress-gebruikersaccounts. Het beveiligingsprobleem is geregistreerd als CVE-2026-103898 en heeft een CVSS-score van 8.1. De kwetsbaarheid bevindt zich in de verwerking van authenticatiegegevens die afkomstig zijn van externe social-loginproviders. Hierdoor kan een aanvaller mogelijk inloggen als een bestaande WordPress-gebruiker, waaronder een beheerder. Vservs adviseert websitebeheerders onmiddellijk te controleren of zij een kwetsbare pluginversie gebruiken.

WP Social Login and Register Social Counter wordt gebruikt om bezoekers via externe diensten te laten inloggen.

De plugin biedt daarnaast functionaliteit voor sociale deelknoppen en statistieken.

Met meer dan 70.000 actieve installaties is de plugin relevant voor een groot aantal WordPress-websites.

Wat is de WP Social Login kwetsbaarheid?

CVE-2026-103898 is een authentication bypass-kwetsbaarheid.

Dit betekent dat onder bepaalde omstandigheden beveiligingscontroles tijdens het inlogproces kunnen worden omzeild.

De kwetsbaarheid ontstaat doordat de plugin bepaalde identiteitsgegevens van externe authenticatieproviders onvoldoende controleert.

Wanneer een gebruiker zich via een externe dienst aanmeldt, ontvangt WordPress gegevens waarmee de externe identiteit aan een bestaand gebruikersaccount kan worden gekoppeld.

De kwetsbare plugin vertrouwt hierbij onvoldoende op de verificatiestatus van het opgegeven e-mailadres.

Hierdoor kan een foutieve koppeling tussen een externe identiteit en een bestaand WordPress-account ontstaan.

Hoe werkt de authenticatieomzeiling?

De kwetsbaarheid bevindt zich in de REST API-functionaliteit waarmee de plugin social-loginverzoeken verwerkt.

Volgens Wordfence gebruikt de kwetsbare implementatie het e-mailadres dat door de externe identityprovider wordt teruggegeven om een bestaand WordPress-account te zoeken.

Wanneer een overeenkomst wordt gevonden, kan de plugin een geauthenticeerde WordPress-sessie aanmaken.

De controle of het e-mailadres daadwerkelijk door de externe provider is geverifieerd, functioneert bij bepaalde social-loginproviders onvoldoende.

Hierdoor kan een aanvaller onder specifieke voorwaarden toegang verkrijgen tot een bestaand WordPress-account.

Welke externe diensten zijn relevant?

Wordfence noemt specifiek de verwerking van identiteitsgegevens via de geïntegreerde Facebook- en Twitter-adapters.

Voor succesvolle exploitatie moet de aanvaller een externe identiteit kunnen gebruiken waarvan het doorgegeven e-mailadres overeenkomt met een bestaand WordPress-gebruikersaccount.

Daarnaast moet de betreffende social-loginprovider op de kwetsbare website zijn geconfigureerd.

De kwetsbaarheid betekent daarom niet dat iedere willekeurige bezoeker automatisch toegang kan krijgen tot elk WordPress-account.

De configuratie van de identityprovider en de manier waarop e-mailadressen worden gevalideerd, bepalen mede of exploitatie mogelijk is.

Welke WP Social Login-versies zijn kwetsbaar?

• Plugin: WP Social Login and Register Social Counter.
• Plugin slug: wp-social.
• Kwetsbare versies: 3.2.2 en ouder.
• Eerste veilige versie: 3.2.3.
• CVE: CVE-2026-103898.
• CVSS: 8.1 – High.
• Openbaar gemaakt: 30 oktober 2026.

De ontwikkelaar heeft versie 3.2.3 op 14 oktober 2026 uitgebracht.

Volgens de officiële changelog verhelpt deze release de authentication bypass door onvoldoende verificatie van e-mailadressen tijdens social login.

Wat zijn de mogelijke gevolgen?

Wanneer een aanvaller de kwetsbaarheid succesvol misbruikt, kan toegang worden verkregen tot een bestaand WordPress-account.

De gevolgen hangen af van de rechten die aan dit account zijn toegewezen.

Mogelijke gevolgen zijn:

• Ongeautoriseerde toegang tot gebruikersaccounts.
• Toegang tot afgeschermde websitefunctionaliteit.
• Ongewenste wijzigingen aan gebruikersprofielen.
• Toegang tot vertrouwelijke gegevens.
• Manipulatie van website-inhoud.
• Mogelijke volledige overname van de WordPress-website wanneer een beheerdersaccount wordt getroffen.

De kwetsbaarheid geeft niet automatisch rechtstreeks toegang tot het onderliggende Linux-besturingssysteem.

Wordt CVE-2026-103898 actief misbruikt?

Met stand van 2 november 2026 is in de geraadpleegde primaire beveiligingsmeldingen geen actieve exploitatie van deze specifieke kwetsbaarheid bevestigd.

De technische kwetsbaarheid en de beschikbare beveiligingsupdate zijn wel bevestigd.

Vanwege het risico op accountovername adviseert Vservs de update met hoge prioriteit uit te voeren.

Hoe controleert u uw pluginversie?

Open het WordPress-dashboard en ga naar Plugins → Geïnstalleerde plugins.

Zoek WP Social Login and Register Social Counter en controleer het versienummer.

Met WP-CLI kan dit worden gecontroleerd:

wp plugin get wp-social --field=version

Wanneer een versie tot en met 3.2.2 wordt gebruikt, moet de plugin worden bijgewerkt naar versie 3.2.3 of nieuwer.

Controleer verdachte social-loginactiviteiten

Wanneer een kwetsbare pluginversie actief was, adviseert Vservs relevante authenticatiegegevens te onderzoeken.

Controleer onder andere:

• Onverwachte succesvolle social-loginverzoeken.
• Onbekende externe accounts die aan WordPress-gebruikers zijn gekoppeld.
• Ongewone aanmeldingen van beheerdersaccounts.
• Verdachte wijzigingen aan gebruikersprofielen.
• Nieuwe of onverwachte WordPress-beheerdersaccounts.
• Onbekende wijzigingen aan plugins en thema’s.
• Onverklaarbare administratieve acties.

Wanneer een ongeautoriseerde aanmelding wordt vermoed, moeten relevante logbestanden worden veiliggesteld.

Onderzoek vervolgens of bestaande sessies moeten worden beëindigd en of accountgegevens of externe accountkoppelingen gewijzigd moeten worden.

Een verdachte login betekent niet automatisch dat CVE-2026-103898 succesvol is misbruikt.

Welke beveiligingsmaatregelen adviseert Vservs?

1. Controleer of WP Social Login is geïnstalleerd.
2. Installeer versie 3.2.3 of nieuwer.
3. Controleer welke externe social-loginproviders zijn ingeschakeld.
4. Verwijder ongebruikte authenticatieproviders.
5. Controleer hoe externe e-mailadressen worden geverifieerd.
6. Onderzoek verdachte authenticatieactiviteiten.
7. Controleer WordPress-beheerdersaccounts en gebruikersrechten.
8. Schakel waar mogelijk tweefactorauthenticatie in voor administratieve toegang.

Wanneer een onmiddellijke update niet mogelijk is, kan de betreffende social-loginfunctionaliteit tijdelijk worden uitgeschakeld.

Zorg daarbij dat beheerders toegang behouden via een veilige alternatieve inlogmethode.

Managed WordPress Hosting bij Vservs

Vservs biedt professioneel beheerde WordPress-hosting voor bedrijven, organisaties en webdesignbureaus.

Met onze Managed WordPress Hosting verzorgen wij technisch WordPress-beheer, onderhoud en beveiliging binnen het overeengekomen hostingpakket.

Voor organisaties met een eigen serveromgeving biedt Vservs daarnaast Managed VPS Hosting.

Blijf op de hoogte van belangrijke beveiligingsmeldingen via de Vservs Security & Beveiligingsupdates.

Conclusie

De WP Social Login kwetsbaarheid CVE-2026-103898 kan onder specifieke omstandigheden leiden tot ongeautoriseerde toegang tot bestaande WordPress-gebruikersaccounts.

Vooral websites die kwetsbare pluginversies gebruiken in combinatie met de betreffende social-loginproviders verdienen aandacht.

Vservs adviseert om onmiddellijk de beschikbare beveiligingsupdate te installeren en verdachte authenticatieactiviteiten te onderzoeken.

Bronnen

• Wordfence – CVE-2026-103898
• WordPress.org – WP Social Login
• CVE.org – CVE-2026-103898

Een kritieke WP Project Manager kwetsbaarheid maakt het mogelijk dat aanvallers zonder inloggegevens schadelijke code uitvoeren op een WordPress-server. Het beveiligingsprobleem is geregistreerd als CVE-2026-116512 en heeft een CVSS-score van 9.8. De kwetsbaarheid treft WP Project Manager-versies tot en met 4.1.1. De ontwikkelaar heeft versie 4.1.2 uitgebracht om het probleem te verhelpen. Vservs adviseert websitebeheerders onmiddellijk te controleren of zij deze plugin gebruiken en de beschikbare beveiligingsupdate te installeren.

WP Project Manager is een WordPress-plugin voor projectbeheer, taakplanning, samenwerking en urenregistratie.

De plugin wordt gebruikt door bedrijven, organisaties en teams die projecten rechtstreeks vanuit WordPress beheren.

Met meer dan 5.000 actieve installaties vormt de kwetsbaarheid een serieus risico voor organisaties die deze software gebruiken.

Wat is de WP Project Manager kwetsbaarheid?

CVE-2026-116512 is een Remote Code Execution-kwetsbaarheid in de verwerking van REST API-verzoeken.

De kwetsbaarheid ontstaat doordat de plugin bepaalde invoer onvoldoende valideert voordat deze wordt gebruikt binnen een interne controlefunctie.

Een door een bezoeker aangeleverde waarde kan daardoor worden verwerkt als onderdeel van een dynamische PHP-functieaanroep.

Onder specifieke omstandigheden kan een aanvaller deze verwerking manipuleren en ongeautoriseerde code laten uitvoeren.

Het probleem bevindt zich in de beveiligingscontroles van de plugin en niet in WordPress Core zelf.

Waarom kan de kwetsbaarheid zonder login worden misbruikt?

Normaal gesproken moeten WordPress REST API-verzoeken worden gecontroleerd op de vereiste gebruikersrechten.

WP Project Manager gebruikt hiervoor eigen toegangscontroles.

Wordfence heeft echter vastgesteld dat WordPress bepaalde argumentvalidaties uitvoert voordat de toegangscontrole van een REST API-route wordt aangeroepen.

De kwetsbare plugin verwerkt de aangeleverde waarde tijdens deze eerdere validatiefase.

Daardoor kan de gevaarlijke verwerking plaatsvinden voordat wordt vastgesteld of de bezoeker voldoende rechten heeft.

Dit betekent dat een aanvaller niet noodzakelijk een geldig WordPress-account nodig heeft.

Welke WP Project Manager-versies zijn kwetsbaar?

• Plugin: Project Manager – AI Powered Project Management, Task Management, Kanban Board & Time Tracker.
• WordPress-plugin slug: wedevs-project-manager.
• Kwetsbare versies: 4.1.1 en ouder.
• Eerste veilige versie: 4.1.2.
• CVE: CVE-2026-116512.
• CVSS: 9.8 – Critical.
• Openbaar gemaakt: 30 oktober 2026.

De ontwikkelaar heeft op 29 oktober 2026 versie 4.1.2 uitgebracht.

Deze release bevat een beveiligingscorrectie voor de verwerking en validatie van projectwijzigingen.

Wat zijn de mogelijke gevolgen van Remote Code Execution?

Bij succesvolle exploitatie kan een aanvaller mogelijk PHP-code uitvoeren binnen de rechten van het getroffen webserverproces.

Afhankelijk van de serverconfiguratie kunnen de gevolgen ernstig zijn.

Mogelijke gevolgen zijn:

• Ongeautoriseerde toegang tot websitebestanden.
• Uitlezen van vertrouwelijke configuratiegegevens.
• Toegang tot gegevens die voor het getroffen PHP-proces bereikbaar zijn.
• Manipulatie van WordPress-bestanden.
• Installatie van schadelijke PHP-bestanden of webshells.
• Wijziging van website-inhoud.
• Verdere compromittering van de hostingomgeving.

De daadwerkelijke impact hangt af van de rechten van het PHP-proces en de beveiligingsmaatregelen op de server.

Remote Code Execution betekent niet automatisch dat een aanvaller rootrechten op de Linux-server verkrijgt.

Wordt CVE-2026-116512 actief misbruikt?

Met stand van 2 november 2026 is op basis van de geraadpleegde primaire beveiligingsmeldingen geen actieve exploitatie in het wild ondubbelzinnig bevestigd.

De technische beschrijving maakt wel duidelijk dat de kwetsbaarheid op afstand en zonder authenticatie kan worden misbruikt.

Vanwege de mogelijke gevolgen adviseert Vservs de beveiligingsupdate met de hoogste prioriteit te installeren.

Hoe controleert u de geïnstalleerde pluginversie?

Open het WordPress-dashboard en ga naar Plugins → Geïnstalleerde plugins.

Zoek WP Project Manager en controleer het geïnstalleerde versienummer.

Met WP-CLI kan de versie worden gecontroleerd:

wp plugin get wedevs-project-manager --field=version

Voer deze opdracht uit vanuit de betreffende WordPress-installatie.

Wanneer versie 4.1.1 of ouder wordt gebruikt, moet de plugin worden bijgewerkt.

Controleer WordPress op mogelijke compromittering

Wanneer een kwetsbare pluginversie bereikbaar was vanaf internet, adviseert Vservs aanvullende beveiligingscontroles.

Controleer onder andere:

• Ongebruikelijke verzoeken naar WordPress REST API-routes.
• Verdachte invoer in projectgerelateerde API-verzoeken.
• Onbekende PHP-bestanden binnen de WordPress-installatie.
• Onverwachte wijzigingen aan plugins en thema’s.
• Onbekende WordPress-beheerdersaccounts.
• Verdachte wijzigingen aan wp-config.php.
• Onverwachte geplande taken.
• Ongebruikelijke uitgaande netwerkverbindingen.

Deze signalen zijn algemene indicatoren van mogelijke compromittering en bewijzen niet zelfstandig dat CVE-2026-116512 is misbruikt.

Wanneer verdachte bestanden worden aangetroffen, adviseert Vservs eerst het bestandspad, de status en een SHA256-hash vast te leggen.

Bevestigd schadelijke bestanden kunnen vervolgens gecontroleerd in quarantaine worden geplaatst en uit de publiek toegankelijke webroot worden geïsoleerd.

Bewaar relevante logbestanden en andere bewijsmiddelen voordat uitgebreide herstelwerkzaamheden plaatsvinden.

Welke beveiligingsmaatregelen adviseert Vservs?

1. Controleer alle WordPress-websites waarop WP Project Manager is geïnstalleerd.
2. Maak een actuele back-up van websitebestanden en database.
3. Installeer WP Project Manager 4.1.2 of nieuwer.
4. Controleer de compatibiliteit met eventuele WP Project Manager Pro-uitbreidingen.
5. Onderzoek verdachte REST API-verzoeken.
6. Controleer de website op onbekende of gewijzigde PHP-bestanden.
7. Onderzoek verdachte WordPress-gebruikersaccounts.
8. Voer na de update een gerichte beveiligingsscan uit.

Wanneer een update niet onmiddellijk mogelijk is, kan tijdelijke deactivering van de plugin worden overwogen.

Houd er rekening mee dat hierdoor projectbeheerfunctionaliteit tijdelijk niet beschikbaar kan zijn.

Managed WordPress Hosting bij Vservs

Vservs biedt professionele hostingoplossingen voor WordPress-websites van bedrijven, organisaties en webdesignbureaus.

Met Managed WordPress Hosting verzorgt Vservs het technische beheer, onderhoud en de beveiliging van WordPress-websites binnen het overeengekomen beheerpakket.

Daarnaast biedt Vservs Managed VPS Hosting voor organisaties die behoefte hebben aan professioneel beheerde Linux-serverinfrastructuur.

Volg regelmatig onze Security & Beveiligingsupdates voor belangrijke beveiligingsmeldingen.

Conclusie

De WP Project Manager kwetsbaarheid CVE-2026-116512 vormt een ernstig beveiligingsrisico voor websites die kwetsbare pluginversies gebruiken.

Omdat de kwetsbaarheid mogelijk zonder authenticatie kan worden misbruikt om code uit te voeren, verdient deze beveiligingsupdate de hoogste prioriteit.

Vservs adviseert om onmiddellijk naar versie 4.1.2 of nieuwer bij te werken en waar nodig aanvullende controles uit te voeren.

Bronnen

• Wordfence – CVE-2026-116512
• WordPress.org – WP Project Manager
• CVE.org – CVE-2026-116512

Een kritieke Drupal OAuth Login kwetsbaarheid kan aanvallers onder specifieke omstandigheden toegang geven tot bestaande Drupal-gebruikersaccounts. Het beveiligingsprobleem, geregistreerd als CVE-2026-118572, bevindt zich in de module OAuth Login – OAuth OIDC SSO. Door onvoldoende toegangscontrole en onvolledige verificatie van identiteitsgegevens kan een aanvaller zich mogelijk aanmelden als een andere gebruiker. De kwetsbaarheid is op 28 oktober 2026 bekendgemaakt en verholpen in versie 3.1.1. Vservs adviseert beheerders van Drupal-websites met Single Sign-On om de module onmiddellijk te controleren en bij te werken.

Het Drupal Security Team beoordeelt de kwetsbaarheid als Critical, met een risicoscore van 15 op 25.

De kwetsbaarheid kan gevolgen hebben voor organisaties die externe identityproviders gebruiken om toegang tot Drupal-websites en applicaties te beheren.

Wat is de Drupal OAuth Login kwetsbaarheid?

De Drupal OAuth Login kwetsbaarheid CVE-2026-118572 betreft de manier waarop de module externe authenticatiegegevens verwerkt.

De module ondersteunt Single Sign-On via OAuth 2.0 en OpenID Connect.

Hiermee kunnen gebruikers zich aanmelden via externe identiteitsdiensten, bijvoorbeeld Microsoft Entra ID, Google of andere compatibele identityproviders.

De kwetsbaarheid ontstaat door een combinatie van onvoldoende toegangscontrole op een configuratieroute en onvoldoende verificatie van e-mailadressen die door een identityprovider worden teruggegeven.

Onder specifieke omstandigheden kan een aanvaller hierdoor de identiteit van een bestaande Drupal-gebruiker aannemen.

Hoe werkt de authentication bypass?

Bij Single Sign-On ontvangt Drupal identiteitsgegevens van een externe identityprovider.

Deze informatie wordt gebruikt om een gebruiker aan een bestaand account te koppelen of toegang te verlenen.

Wanneer de verificatie van bepaalde identiteitsgegevens onvoldoende betrouwbaar is, kan een onjuiste koppeling ontstaan.

De kwetsbare module controleert onder bepaalde omstandigheden onvoldoende of het door de identityprovider verstrekte e-mailadres daadwerkelijk is geverifieerd.

Hierdoor kan een aanvaller mogelijk inloggen als een bestaande Drupal-gebruiker waarvan het e-mailadres bekend is.

De aanval is echter alleen mogelijk wanneer aanvullende voorwaarden aanwezig zijn.

Onder welke omstandigheden is de aanval mogelijk?

Volgens het Drupal Security Team moet een aanvaller beschikken over een account bij een identityprovider die door de betreffende Drupal-website wordt gebruikt.

Daarnaast moet de aanvaller invloed kunnen uitoefenen op ten minste één attribuut dat deze identityprovider teruggeeft.

Een voorbeeld hiervan is een gebruikersnaam.

Ook moet de aanvaller het e-mailadres kennen van het Drupal-account dat hij wil overnemen.

Hierdoor is de kwetsbaarheid niet automatisch exploiteerbaar op iedere Drupal-website waarop de module is geïnstalleerd.

De configuratie van de identityprovider en de manier waarop gebruikersaccounts worden gekoppeld, spelen een belangrijke rol.

Welke Drupal OAuth Login-versies zijn kwetsbaar?

De officiële beveiligingsmelding vermeldt de volgende versies:

• Getroffen software: OAuth Login – OAuth OIDC SSO.
• Projectnaam: oauth_login_oauth2.
• CVE: CVE-2026-118572.
• Ernst: Critical, Drupal-risicoscore 15/25.
• Kwetsbare versies: alle versies ouder dan 3.1.1.
• Eerste veilige versie: 3.1.1.
• Publicatiedatum: 28 oktober 2026.

De beveiligingsupdate corrigeert onder andere problemen met attribute mapping en de verificatie van e-mailadressen.

Wat zijn de mogelijke gevolgen?

Bij succesvolle exploitatie kan een aanvaller mogelijk toegang krijgen tot een bestaand Drupal-account.

De gevolgen hangen af van de rechten die aan dat account zijn gekoppeld.

Mogelijke gevolgen zijn:

• Ongeautoriseerde toegang tot gebruikersaccounts.
• Toegang tot afgeschermde websiteonderdelen.
• Inzage in vertrouwelijke informatie.
• Wijzigingen aan gegevens waarvoor het overgenomen account rechten heeft.
• Mogelijke overname van administratieve functionaliteit wanneer een account met beheerdersrechten wordt getroffen.

Een succesvolle authenticatiebypass betekent niet automatisch dat iedere aanvaller volledige servertoegang krijgt.

De daadwerkelijke impact is afhankelijk van de rechten van het getroffen Drupal-account.

Wordt CVE-2026-118572 actief misbruikt?

Met stand van 30 oktober 2026 vermelden de geraadpleegde officiële beveiligingsadviezen geen bevestigde actieve exploitatie van deze kwetsbaarheid.

Er is dus onvoldoende bewijs om te stellen dat deze specifieke kwetsbaarheid al grootschalig wordt misbruikt.

Vanwege de mogelijke gevolgen voor gebruikersaccounts adviseert Vservs wel om de beschikbare beveiligingsupdate direct te installeren.

Hoe controleert u de geïnstalleerde versie?

Bij Drupal-installaties die met Composer worden beheerd, kan de geïnstalleerde moduleversie worden gecontroleerd met:

composer show drupal/oauth_login_oauth2

Wanneer een versie ouder dan 3.1.1 aanwezig is, moet de module worden bijgewerkt.

Controleer vóór het uitvoeren van de update of de nieuwe versie compatibel is met de gebruikte Drupal Core-versie en de bestaande identityproviderconfiguratie.

Welke beveiligingsmaatregelen zijn noodzakelijk?

1. Controleer of OAuth Login – OAuth OIDC SSO op de Drupal-website is geïnstalleerd.
2. Werk kwetsbare installaties bij naar versie 3.1.1 of nieuwer.
3. Controleer de configuratie van gekoppelde identityproviders.
4. Controleer of e-mailadressen door de identityprovider correct worden geverifieerd.
5. Beperk de mogelijkheid voor gebruikers om identiteitsattributen ongecontroleerd te wijzigen.
6. Controleer gebruikersrechten en accountkoppelingen.
7. Onderzoek verdachte aanmeldingen en onverwachte wijzigingen aan gebruikersaccounts.
8. Test de Single Sign-On-functionaliteit na de beveiligingsupdate.

Wanneer een onmiddellijke update onmogelijk is, kan tijdelijke uitschakeling van de kwetsbare SSO-functionaliteit worden overwogen.

Zorg in dat geval dat beheerders via een betrouwbare alternatieve methode toegang behouden tot Drupal.

Controle op mogelijke accountovername

Administratoren kunnen relevante authenticatie- en auditlogs onderzoeken om verdachte activiteiten te identificeren.

Let onder andere op:

• Onverwachte succesvolle SSO-aanmeldingen.
• Aanmeldingen via onbekende identityprovideraccounts.
• Ongebruikelijke wijzigingen in gebruikersprofielen.
• Nieuwe of gewijzigde accountkoppelingen.
• Onverwachte wijzigingen in gebruikersrollen.
• Ongeautoriseerde administratieve wijzigingen.
• Onverklaarbare activiteiten vanuit bestaande gebruikersaccounts.

Deze indicatoren zijn niet exclusief voor CVE-2026-118572.

Wanneer misbruik wordt vermoed, moeten relevante logbestanden en andere bewijsmiddelen worden veiliggesteld voordat accounts of sessies ingrijpend worden gewijzigd.

Managed VPS en Drupal Hosting bij Vservs

Vservs levert professionele hostinginfrastructuur voor bedrijven, organisaties en applicatieontwikkelaars.

Onze Managed VPS Hosting biedt professioneel serverbeheer, monitoring en onderhoud van de onderliggende Linux-serveromgeving.

Voor applicaties die gebruikmaken van Drupal en externe authenticatiesystemen blijft regelmatig onderhoud van modules en identityproviderconfiguraties essentieel.

Meer informatie over actuele beveiligingsrisico’s vindt u op onze Vservs Security & Beveiligingsupdates.

Conclusie

De Drupal OAuth Login kwetsbaarheid CVE-2026-118572 kan onder specifieke omstandigheden leiden tot ongeautoriseerde toegang tot bestaande Drupal-accounts.

De kwetsbaarheid is verholpen in versie 3.1.1.

Vservs adviseert organisaties die deze Single Sign-On-module gebruiken om hun installatie onmiddellijk bij te werken en de configuratie van gekoppelde identityproviders te controleren.

Bronnen

• Drupal Security Advisory SA-CONTRIB-2026-284
• Drupal OAuth Login 3.1.1 Security Release
• Drupal OAuth Login – Projectinformatie

De WordPress 7.1.4 beveiligingsupdate verhelpt 22 beveiligingsproblemen in WordPress Core. De update is op 28 oktober 2026 uitgebracht en bevat onder andere correcties voor meerdere Cross-Site Scripting-kwetsbaarheden en een beveiligingsprobleem in het updateproces dat onder specifieke omstandigheden remote code execution mogelijk kan maken. WordPress adviseert websitebeheerders de beveiligingsupdate onmiddellijk te installeren. Vservs adviseert daarnaast te controleren of automatische updates daadwerkelijk zijn uitgevoerd.

De beveiligingsrelease bevat oplossingen voor verschillende onderdelen van WordPress, waaronder de blokeditor, de Interactivity API, de Customizer en het updateproces.

Volgens beveiligingsonderzoeker Patchstack gaat het om 22 beveiligingsproblemen verdeeld over 17 beveiligingsadviezen.

Voor de in deze release verholpen problemen waren op het moment van deze controle geen afzonderlijke CVE-nummers vermeld in de officiële WordPress-release-informatie.

Welke beveiligingsproblemen verhelpt WordPress 7.1.4?

De WordPress 7.1.4 beveiligingsupdate corrigeert verschillende typen kwetsbaarheden.

De belangrijkste categorieën zijn:

• Een race condition in het WordPress-updateproces met mogelijke remote code execution.
• Meerdere Stored Cross-Site Scripting-kwetsbaarheden.
• Onvoldoende beveiligde onderdelen van de Interactivity API.
• Mogelijke openbaarmaking van ongepubliceerde Customizer-wijzigingen.
• Onvoldoende toegangscontroles op bepaalde WordPress Notes.
• Beveiligingsproblemen in verschillende WordPress-blokken.
• Aanvullende beveiligingsverbeteringen en een update van ingebouwde rootcertificaten.

De daadwerkelijke impact verschilt per kwetsbaarheid.

Voor verschillende aanvallen zijn gebruikersaccounts met specifieke rechten vereist.

Mogelijke remote code execution tijdens WordPress-updates

Een belangrijk beveiligingsprobleem bevindt zich in het mechanisme waarmee WordPress software-updates verwerkt.

Bij het uitvoeren van updates worden bestanden tijdelijk uitgepakt in een directory binnen de WordPress-installatie.

In kwetsbare versies kunnen deze tijdelijke bestanden onder bepaalde omstandigheden bereikbaar zijn via de webserver.

Een aanvaller die precies tijdens het updateproces toegang krijgt tot de betreffende bestanden, kan mogelijk functionaliteit misbruiken die normaal gesproken niet publiek toegankelijk hoort te zijn.

Volgens de officiële beveiligingsmelding kan dit onder specifieke omstandigheden leiden tot remote code execution.

Dit betekent dat een aanvaller mogelijk code kan uitvoeren op de server waarop WordPress draait.

De aanval vereist echter een zeer beperkt tijdvenster tijdens het uitvoeren van updates.

Patchstack beoordeelt de praktische uitbuitbaarheid daarom als moeilijk.

De aanwezigheid van deze kwetsbaarheid betekent niet dat iedere WordPress-installatie eenvoudig op afstand kan worden overgenomen.

Waarom is de wp-content/upgrade-directory belangrijk?

WordPress gebruikt de volgende directory tijdens installatie- en updateprocessen:

wp-content/upgrade/

Tijdelijke installatiebestanden mogen niet rechtstreeks door externe bezoekers kunnen worden uitgevoerd.

Patchstack adviseert daarom de publieke toegang tot deze directory op webserverniveau te blokkeren.

Het is belangrijk dat niet alleen directorylisting wordt voorkomen, maar ook rechtstreekse toegang tot eventuele PHP-bestanden binnen deze directory.

Een WordPress-beveiligingsplugin die uitsluitend binnen de WordPress-applicatie werkt, kan deze specifieke aanval niet noodzakelijk onderscheppen.

De toegangsbeperking moet daarom correct worden ingericht in bijvoorbeeld Apache of Nginx.

Deze maatregel is een aanvullende bescherming en vervangt de beveiligingsupdate niet.

Meerdere Stored XSS-kwetsbaarheden verholpen

WordPress 7.1.4 verhelpt daarnaast verschillende kwetsbaarheden waarbij ongewenste JavaScript-code kan worden opgeslagen en later in de browser van een bezoeker wordt uitgevoerd.

Deze kwetsbaarheden bevinden zich onder andere in:

• De WordPress-blokeditor.
• De Interactivity API.
• De Customizer.
• De Categories- en navigatieblokken.
• De verwerking van bepaalde afbeelding- en playlistblokken.

Voor veel van deze kwetsbaarheden is een gebruikersaccount met Contributor-rechten of hoger vereist.

Onder specifieke omstandigheden kan opgeslagen JavaScript worden uitgevoerd wanneer een beheerder of andere gebruiker de betreffende inhoud bekijkt.

De impact hangt af van de gebruikersrechten en de beveiligingscontext van de browser.

Welke WordPress-versies zijn kwetsbaar?

WordPress 7.1.3 en oudere versies binnen de 7.1-reeks missen de beveiligingscorrecties die in versie 7.1.4 zijn uitgebracht.

Voor oudere WordPress-reeksen zijn eveneens beveiligingsupdates beschikbaar.

Voorbeelden van gecorrigeerde versies zijn:

• WordPress 7.1: 7.1.4.
• WordPress 7.0: 7.0.8.
• WordPress 6.9: 6.9.11.
• WordPress 6.8: 6.8.12.
• WordPress 6.7: 6.7.11.
• WordPress 6.6: 6.6.11.
• WordPress 6.5: 6.5.14.
• WordPress 6.4: 6.4.14.

Ook voor oudere beveiligingsreleases zijn correcties beschikbaar, tot en met WordPress 4.7.39.

Niet iedere oudere versie bevat dezelfde kwetsbaarheden.

WordPress benadrukt bovendien dat uitsluitend de nieuwste hoofdversie actief wordt ondersteund. Beveiligingsupdates voor oudere branches worden als aanvullende ondersteuning aangeboden.

WordPress 4.6 en oudere releases ontvangen geen beveiligingsupdates meer.

Worden deze kwetsbaarheden actief misbruikt?

Met stand van 30 oktober 2026 bevatten de geraadpleegde officiële beveiligingsmeldingen geen bevestiging van actieve exploitatie van de specifieke problemen die in WordPress 7.1.4 zijn verholpen.

Er zijn wel technische analyses van verschillende kwetsbaarheden gepubliceerd.

Dat betekent dat de werking van bepaalde beveiligingsproblemen inmiddels bekend is.

Vservs adviseert daarom de beschikbare updates zonder onnodige vertraging te installeren.

Hoe controleert u de geïnstalleerde WordPress-versie?

De geïnstalleerde WordPress-versie kan worden gecontroleerd via het WordPress-dashboard.

Ga naar Dashboard → Updates en controleer of een beveiligingsupdate beschikbaar is.

Beheerders met WP-CLI kunnen de versie controleren via:

wp core version

Voer deze opdracht uit binnen de juiste WordPress-installatie.

Controleer bij meerdere websites of iedere afzonderlijke installatie de juiste beveiligingsupdate heeft ontvangen.

Welke maatregelen adviseert Vservs?

1. Maak een actuele back-up van bestanden en database.
2. Installeer WordPress 7.1.4 of de toepasselijke beveiligingsrelease voor de gebruikte oudere branch.
3. Controleer of automatische updates daadwerkelijk zijn uitgevoerd.
4. Beperk publieke toegang tot wp-content/upgrade op webserverniveau.
5. Controleer welke gebruikers Contributor-, Author-, Editor- en Administrator-rechten hebben.
6. Verwijder ongebruikte gebruikersaccounts.
7. Controleer of plugins en themes eveneens actueel zijn.
8. Test de website na het installeren van updates.

Wanneer het Gutenberg-plugin afzonderlijk is geïnstalleerd, moet ook daarvan de actuele versie worden gecontroleerd.

Controle op mogelijke compromittering

Wanneer een website gedurende langere tijd een kwetsbare WordPress-versie heeft gebruikt, kunnen aanvullende controles noodzakelijk zijn.

Controleer onder andere:

• Onbekende WordPress-beheerdersaccounts.
• Ongeautoriseerde wijzigingen aan plugins en themes.
• Verdachte bestanden in beschrijfbare directories.
• Onverwachte JavaScript-code in berichten en pagina’s.
• Ongebruikelijke toegangsverzoeken tijdens WordPress-updates.
• Verdachte wijzigingen aan wp-config.php.
• Onbekende geplande taken of gewijzigde serverconfiguraties.

Deze indicatoren zijn algemeen en bewijzen niet zelfstandig dat een kwetsbaarheid uit WordPress 7.1.4 is misbruikt.

Managed WordPress Hosting bij Vservs

Vservs biedt professionele hostingoplossingen voor WordPress-websites van bedrijven, organisaties en webdesignbureaus.

Onze Managed WordPress Hosting biedt mogelijkheden voor professioneel WordPress-beheer en beveiligingsonderhoud.

Daarnaast bieden onze Managed VPS Servers professionele serverbeheer- en monitoringdiensten.

Welke werkzaamheden aan WordPress Core, plugins en themes worden uitgevoerd, is afhankelijk van het afgenomen hosting- en beheerproduct.

Meer beveiligingsmeldingen vindt u op de Vservs Security & Beveiligingsupdates.

Conclusie

De WordPress 7.1.4 beveiligingsupdate bevat belangrijke beveiligingsverbeteringen voor WordPress Core.

De release verhelpt 22 beveiligingsproblemen, waaronder meerdere XSS-kwetsbaarheden en een kwetsbaarheid die onder specifieke omstandigheden code-uitvoering tijdens updates mogelijk kan maken.

Vservs adviseert alle WordPress-beheerders de geïnstalleerde versie te controleren en de beschikbare beveiligingsupdate zo snel mogelijk te installeren.

Bronnen

• WordPress.org – WordPress 7.1.4 Security Release
• WordPress.org – Version 7.1.4 Documentation
• Patchstack – Technical Analysis of WordPress 7.1.4

Een ernstige Drupal Commerce kwetsbaarheid wordt actief misbruikt door aanvallers. Het Drupal Security Team heeft op 28 oktober 2026 CVE-2026-118539 gepubliceerd en de kwetsbaarheid beoordeeld als Highly Critical, met een risicoscore van 21 op 25. Door onvoldoende toegangscontroles kunnen aanvallers bepaalde functies en gegevens van Drupal Commerce benaderen zonder de vereiste rechten. Dit kan financiële gevolgen hebben voor webwinkels. Vservs adviseert beheerders onmiddellijk de beschikbare beveiligingsupdates te installeren en bestaande bestellingen op afwijkingen te controleren.

Drupal Commerce is een veelgebruikt e-commerceframework voor het Drupal Content Management System.

Het platform ondersteunt onder andere productbeheer, winkelwagens, bestellingen, betalingen en integraties met externe applicaties.

De kwetsbaarheid bevindt zich in de Commerce Core-module en kan ook webshops treffen die gebruikmaken van API-koppelingen.

Wat is de Drupal Commerce kwetsbaarheid?

De Drupal Commerce kwetsbaarheid CVE-2026-118539 ontstaat doordat bepaalde routes en entityvelden onvoldoende worden beschermd door toegangscontroles.

Hierdoor kunnen gebruikers of externe partijen onder bepaalde omstandigheden toegang krijgen tot functionaliteit waarvoor zij normaal gesproken onvoldoende rechten hebben.

Het Drupal Security Team waarschuwt dat deze toegangscontrolefout financiële gevolgen kan hebben voor de eigenaar van een webwinkel.

De officiële beveiligingsmelding beschrijft niet alle technische details van de aanval.

Daarom kan niet zonder aanvullend onderzoek worden vastgesteld welke specifieke bestellingen, bedragen of gegevens bij een individuele webshop zijn beïnvloed.

Actieve exploitatie officieel bevestigd

Het Drupal Security Team bevestigt dat CVE-2026-118539 actief wordt misbruikt.

Dit betekent dat er voldoende bewijs bestaat van daadwerkelijke aanvallen op kwetsbare implementaties.

De leverancier adviseert uitdrukkelijk om bestellingen te controleren op inconsistenties.

Een beschikbare beveiligingsupdate voorkomt nieuwe aanvallen via de verholpen kwetsbaarheid, maar herstelt niet automatisch eventuele ongeautoriseerde wijzigingen die eerder zijn aangebracht.

Daarom is alleen het installeren van de update onvoldoende wanneer een webshop mogelijk al is getroffen.

Welke Drupal Commerce-versies zijn kwetsbaar?

Volgens de officiële beveiligingsmelding zijn de volgende versies getroffen:

• Drupal Commerce 2.x: versies ouder dan 2.41.
• Drupal Commerce 3.x: versies vanaf 3.0.0 tot, maar niet inclusief, 3.3.13.

De eerste gecorrigeerde versies zijn:

• Drupal Commerce 2.x: 8.x-2.41.
• Drupal Commerce 3.x: 3.3.13.

Beide beveiligingsupdates zijn op 28 oktober 2026 uitgebracht.

Commerce Core verhelpt meerdere beveiligingsproblemen

Naast de actief misbruikte kwetsbaarheid bevatten de beveiligingsupdates nog vijf andere correcties.

De volgende CVE-nummers zijn in de beveiligingsrelease opgenomen:

• CVE-2026-118539: onvoldoende toegangscontrole met mogelijke financiële gevolgen. Actieve exploitatie bevestigd.
• CVE-2026-118540: mogelijke openbaarmaking van ongepubliceerde productvariaties via JSON:API. Commerce 3.3.x is voor deze specifieke kwetsbaarheid niet getroffen.
• CVE-2026-118541: onvoldoende toegangscontrole op de relatie tussen promoties en kortingscodes wanneer schrijfbewerkingen via JSON:API of REST zijn toegestaan.
• CVE-2026-118542: onvoldoende controle bij het wijzigen van winkels, waardoor gebruikers met bepaalde beheerrechten hun winkel als standaardwinkel kunnen aanwijzen en onbedoeld bestellingen kunnen ontvangen.
• CVE-2026-118543: Cross-Site Request Forgery waardoor beveiligingsmeldingen in de Commerce-beheeromgeving kunnen worden verborgen.
• CVE-2026-118544: mogelijke informatielekken over ongepubliceerde productvariaties via JSON:API.

Niet iedere kwetsbaarheid is onder dezelfde omstandigheden exploiteerbaar.

De gevolgen hangen onder andere af van ingeschakelde API-modules, toegewezen gebruikersrechten en de configuratie van de webshop.

Controleer webshopbestellingen op afwijkingen

Omdat actieve exploitatie is bevestigd, adviseert Vservs een gerichte controle van recente webshopactiviteiten.

Controleer onder andere:

• Bestellingen met onverwachte totaalbedragen.
• Afwijkingen tussen orderbedragen en daadwerkelijk ontvangen betalingen.
• Onverklaarbare wijzigingen in orderregels of orderstatussen.
• Ongebruikelijke kortingsbedragen en promoties.
• Bestellingen die niet overeenkomen met gegevens van de betaalprovider.
• Onverwachte wijzigingen aan winkel- of betaalinstellingen.
• Verdachte toegang tot API-endpoints.
• Ongebruikelijke activiteiten van gebruikersaccounts.

Dit zijn algemene onderzoekscontroles en geen exclusieve indicatoren voor CVE-2026-118539.

Een afwijking bewijst niet automatisch dat de kwetsbaarheid is misbruikt.

Hoe controleert u de geïnstalleerde versie?

Bij Drupal-installaties die met Composer worden beheerd, kan de geïnstalleerde Commerce Core-versie worden gecontroleerd met:

composer show drupal/commerce

Controleer vervolgens of de versie overeenkomt met de gecorrigeerde release binnen de gebruikte hoofdversie.

Voer wijzigingen bij bedrijfskritische webshops bij voorkeur eerst uit in een testomgeving.

Maak vooraf een actuele back-up van de bestanden en database.

Welke beveiligingsmaatregelen zijn noodzakelijk?

1. Installeer Drupal Commerce 3.3.13 of 8.x-2.41, afhankelijk van de gebruikte hoofdversie.
2. Controleer of Composer de beveiligingsupdate daadwerkelijk heeft geïnstalleerd.
3. Controleer de webshop na de update op correcte werking van winkelwagen, checkout en betalingen.
4. Vergelijk recente bestellingen met transacties van de betaalprovider.
5. Controleer gebruikersrechten en API-toegang.
6. Onderzoek verdachte wijzigingen in bestellingen en winkelconfiguraties.
7. Bewaar relevante toegangslogs en auditgegevens wanneer misbruik wordt vermoed.

Controleer daarnaast of de geïnstalleerde Drupal Core-versie en andere uitbreidingen actuele beveiligingsupdates hebben ontvangen.

Wat als de webshop mogelijk is gecompromitteerd?

Bij vermoedens van misbruik is het belangrijk relevante logbestanden en andere bewijsmiddelen veilig te stellen.

Onderzoek vervolgens welke bestellingen en gegevens mogelijk zijn beïnvloed.

Controleer daarbij de samenhang tussen webshopbestellingen, betalingsregistraties en externe administratieve systemen.

Wanneer ongeautoriseerde toegang is vastgesteld, moeten ook gebruikersaccounts, API-sleutels en andere toegangsmogelijkheden worden onderzocht.

Verwijder geen mogelijke bewijsmiddelen voordat de relevante informatie is veiliggesteld.

Managed VPS Hosting bij Vservs

Vservs biedt professionele hostinginfrastructuur voor bedrijven, organisaties en webshops.

Met onze Managed VPS Hosting verzorgen wij het beheer, de monitoring en het onderhoud van de onderliggende serveromgeving.

Applicatieonderhoud, zoals het bijwerken van Drupal Core en Commerce-uitbreidingen, moet eveneens structureel worden uitgevoerd. De verantwoordelijkheid hiervoor is afhankelijk van de overeengekomen dienstverlening.

Volg voor actuele beveiligingsmeldingen onze Vservs Security & Beveiligingsupdates.

Conclusie

De Drupal Commerce kwetsbaarheid CVE-2026-118539 vormt een ernstig risico voor webwinkels die gebruikmaken van kwetsbare Commerce Core-versies.

Het Drupal Security Team heeft actieve exploitatie bevestigd.

Vservs adviseert daarom om onmiddellijk te updaten naar Commerce Core 3.3.13 of 8.x-2.41 en recente bestellingen zorgvuldig te controleren op afwijkingen.

Bronnen

• Drupal Security Advisory SA-CONTRIB-2026-254
• Drupal Commerce 3.3.13 Security Release
• Drupal Commerce 8.x-2.41 Security Release
• Drupal Commerce Additional Security Advisory

LiteSpeed Cache kwetsbaarheid: twee nieuwe beveiligingslekken treffen WordPress-websites die gebruikmaken van de populaire cachingplugin. De kwetsbaarheden CVE-2026-109215 en CVE-2026-116763 maken onder specifieke omstandigheden stored cross-site scripting (XSS) mogelijk. Beide beveiligingsproblemen treffen LiteSpeed Cache-versies tot en met 7.9.1 en zijn verholpen in versie 7.9.2. Met meer dan zeven miljoen actieve installaties behoort LiteSpeed Cache tot de meestgebruikte WordPress-plugins. Vservs adviseert websitebeheerders om de geïnstalleerde versie onmiddellijk te controleren.

Wordfence publiceerde beide beveiligingsmeldingen op 28 oktober 2026.

De kwetsbaarheden hebben CVSS-scores van respectievelijk 6,4 en 5,4.

Voor succesvolle exploitatie zijn specifieke aanvullende omstandigheden vereist.

Niet iedere WordPress-website die LiteSpeed Cache gebruikt, is daardoor automatisch op dezelfde manier exploiteerbaar.

Wat is de LiteSpeed Cache kwetsbaarheid?

LiteSpeed Cache is een veelgebruikte WordPress-plugin voor caching en websiteoptimalisatie.

De plugin biedt onder andere mogelijkheden voor paginacaching, HTML-optimalisatie, afbeeldingsoptimalisatie en verwerking van verschillende websiteonderdelen.

De twee nieuwe kwetsbaarheden bevinden zich in onderdelen die HTML-inhoud en afbeeldingsgegevens verwerken.

Wanneer invoer van gebruikers onvoldoende veilig wordt verwerkt, kan onder specifieke omstandigheden schadelijke JavaScript-code in de weergegeven website terechtkomen.

Dit wordt stored cross-site scripting genoemd.

CVE-2026-109215: kwetsbaarheid in Viewport Images

De eerste kwetsbaarheid, CVE-2026-109215, heeft een CVSS-score van 6,4.

Volgens Wordfence bevindt het beveiligingsprobleem zich in de verwerking van afbeeldingsattributen binnen de Viewport Images-functionaliteit.

Viewport Images, afgekort VPI, wordt gebruikt om afbeeldingen die direct zichtbaar zijn voor bezoekers te identificeren en te optimaliseren.

Onder bepaalde omstandigheden kan de verwerking van HTML-afbeeldingsattributen onvoldoende veilig plaatsvinden.

Hierdoor kan schadelijke JavaScript-code worden opgenomen in de uiteindelijke HTML-uitvoer.

Voor exploitatie is volgens Wordfence minimaal een aangemelde gebruiker met Subscriber-rechten vereist.

Daarnaast moet Viewport Images zijn ingeschakeld.

Ook moet de website een configuratie gebruiken waarbij de aanvaller geschikte afbeeldings-HTML kan plaatsen en de betreffende afbeelding overeenkomt met de ingestelde VPI-verwerking.

Een voorbeeld is een specifieke bbPress-configuratie waarin geregistreerde deelnemers afbeeldingscode kunnen opnemen in reacties.

CVE-2026-116763: kwetsbaarheid in HTML Minify

De tweede kwetsbaarheid, CVE-2026-116763, heeft een CVSS-score van 5,4.

Deze kwetsbaarheid betreft de HTML Minify-functionaliteit van LiteSpeed Cache.

HTML Minify verkleint HTML-code door overbodige tekens en onderdelen te verwijderen.

Volgens Wordfence kan de verwerking van bepaalde HTML-onderdelen onder specifieke omstandigheden leiden tot stored cross-site scripting.

Een aanvaller hoeft voor deze aanval niet noodzakelijk aangemeld te zijn.

Wel moeten meerdere voorwaarden aanwezig zijn.

De HTML Minify-optie moet zijn ingeschakeld en een aanvullende plugin moet opgeslagen reactie-inhoud verwerken binnen een onveilige HTML-context.

Wordfence noemt als voorbeeld een JSON-LD-scriptblok waarin door gebruikers aangeleverde reactie-inhoud terechtkomt.

Wanneer de vereiste combinatie van omstandigheden niet aanwezig is, kan de beschreven aanval niet op dezelfde manier worden uitgevoerd.

Waarom is stored cross-site scripting gevaarlijk?

Stored cross-site scripting ontstaat wanneer schadelijke JavaScript-code wordt opgeslagen en later wordt uitgevoerd in de browser van een bezoeker.

De gevolgen zijn afhankelijk van de pagina waarop de code wordt uitgevoerd en de rechten van de betreffende gebruiker.

Mogelijke gevolgen zijn:

• Manipulatie van zichtbare website-inhoud.
• Ongeautoriseerde JavaScript-uitvoering.
• Doorsturen van bezoekers naar schadelijke websites.
• Misbruik van browserfunctionaliteit.
• Mogelijke toegang tot gegevens die binnen de browsercontext beschikbaar zijn.
• Misbruik van beheerderssessies wanneer een administrator de getroffen pagina bezoekt.

Stored XSS betekent niet automatisch dat een aanvaller de volledige server kan overnemen.

De daadwerkelijke impact hangt af van de aanwezige beveiligingsmaatregelen en de context waarin de schadelijke code wordt uitgevoerd.

Welke LiteSpeed Cache-versies zijn kwetsbaar?

Beide beveiligingsmeldingen betreffen LiteSpeed Cache-versies tot en met 7.9.1.

• Plugin: LiteSpeed Cache.
• CVE: CVE-2026-109215.
• CVSS: 6,4.
• Aanvalstype: Authenticated Stored XSS.
• CVE: CVE-2026-116763.
• CVSS: 5,4.
• Aanvalstype: Unauthenticated Stored XSS onder specifieke voorwaarden.
• Getroffen versies: 7.9.1 en ouder.
• Gecorrigeerde versie: 7.9.2.
• Publicatiedatum beveiligingsmeldingen: 28 oktober 2026.

LiteSpeed Cache 7.9.2 verscheen al op 20 oktober 2026.

Websitebeheerders die deze versie inmiddels hebben geïnstalleerd, beschikken over de correcties voor beide beschreven kwetsbaarheden.

Zijn alle zeven miljoen installaties kwetsbaar?

Nee. Het aantal van meer dan zeven miljoen verwijst naar de totale actieve installed base van LiteSpeed Cache.

Dit is niet hetzelfde als het aantal kwetsbare installaties.

Een deel van de websites gebruikt inmiddels versie 7.9.2 of nieuwer.

Daarnaast zijn de beschreven aanvallen afhankelijk van specifieke instellingen en aanvullende websitefunctionaliteit.

Wel maakt de grote installed base het belangrijk om de beveiligingsmeldingen serieus te nemen.

Worden de kwetsbaarheden actief misbruikt?

Op 29 oktober 2026 is in de geraadpleegde beveiligingsmeldingen geen onafhankelijk bevestigde actieve exploitatie van CVE-2026-109215 of CVE-2026-116763 vastgesteld.

De kwetsbaarheden zijn technisch gedocumenteerd en een gecorrigeerde pluginversie is beschikbaar.

Vservs adviseert daarom om de update te installeren, maar maakt geen melding van grootschalige aanvallen zolang daarvoor geen betrouwbare bevestiging bestaat.

Hoe controleert u uw WordPress-installatie?

Open het WordPress-dashboard en ga naar Plugins → Geïnstalleerde plugins.

Zoek naar LiteSpeed Cache en controleer het versienummer.

Wanneer versie 7.9.1 of ouder is geïnstalleerd, adviseert Vservs om bij te werken naar versie 7.9.2 of nieuwer.

Maak vooraf een recente back-up van de website.

Controleer na de update of caching, HTML-optimalisatie en afbeeldingsoptimalisatie correct functioneren.

Bij websites met uitgebreide optimalisatie-instellingen kan het verstandig zijn om de wijzigingen eerst in een testomgeving te controleren.

Wat als direct updaten niet mogelijk is?

Wanneer een update niet onmiddellijk mogelijk is, kunnen bepaalde functies tijdelijk worden uitgeschakeld.

Voor CVE-2026-109215 kan het uitschakelen van Viewport Images het beschreven aanvalspad beperken.

Voor CVE-2026-116763 kan het uitschakelen van HTML Minify de betreffende kwetsbare verwerking voorkomen.

Deze maatregelen kunnen gevolgen hebben voor websiteprestaties en optimalisatie.

Ze vervangen bovendien niet het installeren van de gecorrigeerde pluginversie.

Controleer WordPress op mogelijke compromittering

Websitebeheerders kunnen bij verdachte activiteiten aanvullende controles uitvoeren.

Controleer onder andere:

• Onverwachte JavaScript-code in websitepagina’s.
• Verdachte reacties en andere door gebruikers aangeleverde inhoud.
• Onbekende wijzigingen in HTML-optimalisatie-instellingen.
• Onverwachte scripts in JSON-LD-gegevens.
• Verdachte afbeeldingsattributen.
• Ongebruikelijke activiteiten van geregistreerde gebruikers.
• Afwijkende WordPress-beheerderssessies.
• Onverwachte wijzigingen in plugin- en themebestanden.

Deze controles zijn algemene aanwijzingen voor mogelijke XSS-compromittering en vormen geen bevestiging dat de specifieke LiteSpeed Cache-kwetsbaarheden zijn misbruikt.

Managed WordPress Hosting bij Vservs

Vservs biedt professioneel beheerde hostinginfrastructuur voor bedrijven, organisaties en webdesignbureaus.

Onze Managed VPS Servers bieden professioneel serverbeheer, monitoring, back-ups en onderhoud van de hostingomgeving.

Ook bij managed hosting blijft het noodzakelijk om WordPress en de gebruikte plugins regelmatig te actualiseren.

Vservs adviseert websitebeheerders om de Vservs Security-beveiligingsupdates regelmatig te volgen.

Conclusie

De LiteSpeed Cache kwetsbaarheden CVE-2026-109215 en CVE-2026-116763 maken onder specifieke omstandigheden stored cross-site scripting mogelijk.

Beide kwetsbaarheden treffen versies tot en met 7.9.1.

LiteSpeed Cache 7.9.2 bevat de noodzakelijke beveiligingscorrecties.

Vservs adviseert beheerders om de geïnstalleerde pluginversie te controleren en de beschikbare update te installeren.

Bronnen

• Wordfence – CVE-2026-109215
• Wordfence – CVE-2026-116763
• WordPress.org – LiteSpeed Cache

De Node2Shell kwetsbaarheid CVE-2026-111497 vormt een ernstig beveiligingsrisico voor applicaties die gebruikmaken van kwetsbare Brotli-decompressie. De kwetsbaarheid kan leiden tot geheugenbeschadiging, het uitlezen van vertrouwelijke procesinformatie, het vastlopen van applicaties en mogelijk remote code execution. Op 27 oktober 2026 heeft CISA bevestigd dat deze kwetsbaarheid actief wordt misbruikt. Beheerders van Node.js-applicaties, VPS-servers en andere systemen die Brotli gebruiken, moeten daarom controleren of hun software is bijgewerkt.

De kwetsbaarheid wordt aangeduid met verschillende namen, waaronder Node2Shell, HTTP2Shell, Brotli2Shell en Broccoli2Shell.

Al deze namen verwijzen naar dezelfde kwetsbaarheid: CVE-2026-111497.

Google beoordeelt het beveiligingsprobleem met een CVSS 4.0-score van 9,2.

De officiële Node.js-beveiligingsupdates verschenen op 21 oktober 2026.

Wat is de Node2Shell kwetsbaarheid?

De Node2Shell kwetsbaarheid bevindt zich in de Brotli-decoder.

Brotli is een compressiealgoritme dat wordt gebruikt om gegevens efficiënter te versturen en op te slaan.

Het wordt onder andere toegepast binnen HTTP-verkeer, programmeerbibliotheken en verschillende serverapplicaties.

Wanneer een applicatie Brotli-gecomprimeerde gegevens ontvangt, moet de decoder deze gegevens weer uitpakken.

In kwetsbare Brotli-versies kan een speciaal geconstrueerde gegevensstroom ervoor zorgen dat de decoder buiten de grenzen van een interne geheugenbuffer schrijft.

Dit wordt een out-of-bounds write genoemd.

Hierdoor kan het geheugen van het betreffende proces beschadigd raken.

Hoe werkt CVE-2026-111497?

Volgens het Node.js Security Team ontstaat het probleem wanneer de Brotli-decoder een ongeldige overgang tussen gecomprimeerde gegevensblokken verkeerd verwerkt.

In plaats van de gegevens onmiddellijk als ongeldig af te wijzen, kan de decoder proberen aanvullende gegevens te verwerken.

Daarbij kunnen gegevens buiten een interne buffer terechtkomen.

Een aanvaller die controle heeft over Brotli-gecomprimeerde gegevens die door de applicatie worden uitgepakt, kan hierdoor mogelijk geheugenbeschadiging veroorzaken.

De gevolgen kunnen variëren van een applicatiecrash tot het uitlezen van procesgeheugen of het uitvoeren van ongeautoriseerde code.

Remote code execution is afhankelijk van de concrete softwareomgeving en de mogelijkheden van de aanvaller.

Welke applicaties zijn kwetsbaar?

De kwetsbaarheid is niet beperkt tot Node.js.

Het onderliggende probleem bevindt zich in de Brotli-bibliotheek die door meerdere softwareprojecten wordt gebruikt.

Onder andere de volgende software kan getroffen zijn:

• Node.js-applicaties.
• Software die kwetsbare Google Brotli-bibliotheken gebruikt.
• Bepaalde Python-applicaties met Brotli-afhankelijkheden.
• Applicaties die gebruikmaken van kwetsbare brotlicffi-versies.
• Bepaalde Envoy- en Istio-configuraties.
• Andere software waarin kwetsbare Brotli-code is opgenomen.

Een applicatie is niet automatisch op afstand exploiteerbaar alleen omdat Brotli aanwezig is.

Voor de beschreven aanval moet kwetsbare decoderfunctionaliteit daadwerkelijk gegevens verwerken die door een aanvaller kunnen worden beïnvloed.

Welke Node.js-versies zijn getroffen?

De officiële Node.js-beveiligingsmelding noemt de ondersteunde releasegroepen 22.x, 24.x en 26.x.

De eerste gecorrigeerde versies zijn:

• Node.js 22: versie 22.23.4.
• Node.js 24: versie 24.22.1.
• Node.js 26: versie 26.12.1.

Op 28 oktober 2026 verschenen daarnaast Node.js 24.22.2 en Node.js 26.13.0.

Vservs adviseert om binnen de gebruikte ondersteunde releasegroep de meest recente stabiele beveiligde versie te installeren.

Verouderde Node.js-releasegroepen die niet meer worden ondersteund, moeten worden vervangen door een ondersteunde versie.

Welke Brotli-versies zijn veilig?

De kwetsbaarheid betreft verschillende historische versies van Google Brotli.

De beveiligingscorrecties zijn beschikbaar in:

• Brotli 1.0.10.
• Brotli 1.1.1.
• Brotli 1.2.1.

Welke versie moet worden geïnstalleerd, hangt af van de gebruikte onderhoudslijn en de betreffende softwareleverancier.

Bij Linux-distributies kunnen beveiligingscorrecties worden teruggeplaatst naar oudere pakketversies.

Daardoor hoeft een gepatcht distributiepakket niet hetzelfde versienummer te hebben als de nieuwste upstreamrelease.

Specifieke aandacht voor Debian-servers

Voor beheerders van Debian-servers is het belangrijk om onderscheid te maken tussen de systeemversie van Brotli en eventueel meegeleverde bibliotheken binnen andere applicaties.

Volgens de Debian Security Tracker bevat Debian 12 een gecorrigeerde Brotli-package met versienummer:

1.0.9-2+deb12u1

Voor Debian 13 wordt de correctie vermeld in:

1.1.0-2+deb13u1

Deze distributiepatches bevatten de relevante beveiligingscorrectie, ondanks hun lagere upstreamversienummer.

Dat betekent niet automatisch dat alle andere software op dezelfde server ook veilig is.

Node.js-runtimes, containers en applicaties met eigen meegeleverde bibliotheken moeten afzonderlijk worden gecontroleerd.

Node2Shell wordt actief misbruikt

Op 27 oktober 2026 heeft CISA CVE-2026-111497 toegevoegd aan de Known Exploited Vulnerabilities-catalogus.

Daarmee is bevestigd dat voldoende aanwijzingen bestaan voor actieve exploitatie.

Beveiligingsonderzoekers hebben daarnaast exploitatiepogingen tegen kwetsbare Node.js-omgevingen beschreven.

Dat betekent echter niet dat iedere aanval succesvol is.

Ook zijn niet voor alle getroffen softwareproducten succesvolle aanvallen op productiesystemen onafhankelijk bevestigd.

Vservs adviseert daarom om onderscheid te maken tussen bevestigde exploitatieactiviteit en daadwerkelijk aangetoonde compromittering van individuele servers.

Welke gevolgen kan een aanval hebben?

Een succesvolle aanval kan verschillende gevolgen hebben:

• Onverwacht vastlopen van Node.js-processen.
• Geheugenbeschadiging binnen een applicatie.
• Mogelijke blootstelling van gevoelige procesinformatie.
• Verstoring van API’s en webapplicaties.
• Mogelijke uitvoering van ongeautoriseerde code.
• Verdere compromittering wanneer de aanvaller voldoende procesrechten verkrijgt.

De impact hangt af van de rechten waaronder de kwetsbare applicatie draait.

Een applicatie die met beperkte systeemrechten wordt uitgevoerd, heeft doorgaans minder mogelijkheden dan een proces met uitgebreide serverrechten.

Hoe controleert u uw Node.js-server?

Beheerders kunnen de geïnstalleerde Node.js-versie controleren met:

node --version

Controleer daarnaast of meerdere Node.js-versies op dezelfde server aanwezig zijn.

Bij gebruik van Docker moeten ook de Node.js-versies binnen containerimages worden gecontroleerd.

Een bijgewerkte versie op de host betekent namelijk niet automatisch dat bestaande containers eveneens zijn bijgewerkt.

Controleer daarnaast applicaties die gecomprimeerde verzoeken ontvangen of Brotli-gecomprimeerde antwoorden van externe systemen verwerken.

Welke maatregelen adviseert Vservs?

1. Inventariseer actieve Node.js-applicaties en hun runtimeversies.
2. Installeer de toepasselijke beveiligingsupdates.
3. Controleer distributiepatches voor Brotli.
4. Werk kwetsbare Python-afhankelijkheden bij.
5. Bouw containerimages opnieuw met bijgewerkte basisimages.
6. Herstart applicatieprocessen na het installeren van updates.
7. Controleer of kwetsbare Brotli-decompressie daadwerkelijk wordt gebruikt.
8. Beperk waar mogelijk het verwerken van niet-vertrouwde gecomprimeerde gegevens.
9. Controleer serverlogs op verdachte verzoeken en onverwachte procescrashes.

Het uitschakelen van Brotli-compressie voor uitgaande websiteverzoeken is niet noodzakelijk voldoende.

De kwetsbaarheid bevindt zich in de decompressie van gegevens.

Wanneer een applicatie nog steeds door aanvallers beïnvloedbare Brotli-gegevens kan uitpakken, kan het beveiligingsprobleem aanwezig blijven.

Hoe controleert u op mogelijke compromittering?

Wanneer een kwetsbare applicatie publiek bereikbaar was, adviseert Vservs om relevante beveiligingslogs en procesactiviteiten te onderzoeken.

Let onder andere op:

• Onverklaarbare crashes van Node.js-processen.
• Verdachte verzoeken met Content-Encoding: br.
• Ongewone subprocessen die door Node.js worden gestart.
• Onverwachte uitgaande netwerkverbindingen.
• Nieuwe bestanden in applicatie- en tijdelijke directories.
• Afwijkende wijzigingen in applicatiebestanden.
• Onbekende geplande taken of systeemdiensten.

Deze indicatoren zijn niet exclusief voor Node2Shell en vormen afzonderlijk geen bewijs van succesvolle exploitatie.

Bij een vermoeden van compromittering moeten relevante logs en andere bewijsmiddelen worden veiliggesteld.

Managed VPS en serverbeveiliging bij Vservs

Vservs beheert Linux-hostinginfrastructuur voor bedrijven, webshops, ontwikkelaars en organisaties.

Onze Managed VPS Servers bieden serverbeheer, monitoring, back-ups en onderhoud van de hostingomgeving.

Voor applicaties met eigen Node.js-runtimes en externe programmeerbibliotheken blijft het belangrijk om ook applicatieafhankelijkheden te onderhouden.

Via de Vservs Security-beveiligingsupdates informeren wij klanten over belangrijke kwetsbaarheden in hostingsoftware en webapplicaties.

Conclusie

De Node2Shell kwetsbaarheid CVE-2026-111497 vormt een ernstig beveiligingsrisico voor applicaties die kwetsbare Brotli-decompressie gebruiken.

CISA heeft op 27 oktober 2026 actieve exploitatie bevestigd.

Vservs adviseert beheerders om Node.js, Brotli en relevante applicatieafhankelijkheden onmiddellijk te controleren en waar nodig bij te werken.

Bij containeromgevingen moeten ook bestaande images opnieuw worden gebouwd en uitgerold.

Bronnen

• Node.js – October 2026 Security Releases
• Debian Security Tracker – CVE-2026-111497
• GitHub Security Advisory – Brotli Buffer Overflow
• Sophos – Node2Shell Active Exploitation
• CISA – Known Exploited Vulnerabilities Update

De Magento PolyShell kwetsbaarheid CVE-2026-48356 wordt actief misbruikt door cybercriminelen. Op 27 oktober 2026 heeft de Amerikaanse beveiligingsautoriteit CISA deze kritieke kwetsbaarheid toegevoegd aan haar Known Exploited Vulnerabilities-catalogus. PolyShell maakt het mogelijk om zonder geldige inloggegevens schadelijke bestanden te uploaden naar kwetsbare Adobe Commerce- en Magento Open Source-webshops. Onder bepaalde serverconfiguraties kunnen deze bestanden worden uitgevoerd als PHP-code, waardoor aanvallers toegang tot de webshop kunnen verkrijgen.

De kwetsbaarheid heeft volgens Adobe een CVSS-score van 9,6 en is daarmee geclassificeerd als kritiek.

Beveiligingsonderzoekers van Sansec ontdekten PolyShell in maart 2026 en documenteerden aanvallen waarbij schadelijke bestanden werden geplaatst in openbare uploaddirectories.

Hoewel Adobe op 14 juli 2026 beveiligingsupdates beschikbaar stelde, kunnen webshops die deze updates niet hebben geïnstalleerd nog steeds kwetsbaar zijn.

Vservs adviseert Magento-beheerders om onmiddellijk de beveiligingspatches te controleren en eerder kwetsbare webshops te onderzoeken op mogelijke compromittering.

Wat is de Magento PolyShell kwetsbaarheid?

De Magento PolyShell kwetsbaarheid CVE-2026-48356 is een beveiligingsprobleem in de verwerking van bestandsuploads via de REST API van Magento en Adobe Commerce.

Magento ondersteunt producten waarbij klanten tijdens het bestellen een bestand kunnen uploaden.

Deze functionaliteit maakt gebruik van zogenaamde custom options.

Bij bepaalde API-aanvragen kan een bestand worden meegestuurd dat vervolgens op de server wordt opgeslagen.

Volgens Sansec controleert de kwetsbare verwerking onvoldoende of de aangeleverde bestandsinformatie overeenkomt met een toegestane productoptie.

Daarnaast worden gevaarlijke bestandsextensies onvoldoende beperkt.

Hierdoor kunnen aanvallers bestanden uploaden die zowel op een afbeelding als op uitvoerbare PHP-code lijken.

Dergelijke bestanden worden polyglot-bestanden genoemd.

Hoe werkt de PolyShell-aanval?

De kwetsbaarheid bevindt zich in de verwerking van bestandsgegevens bij bepaalde winkelwagenaanvragen.

De betreffende REST API-functionaliteit is onder andere bereikbaar via gastwinkelwagens.

Omdat bezoekers zonder account een gastwinkelwagen kunnen gebruiken, is voor het bereiken van deze functionaliteit geen WordPress- of Magento-beheerdersaccount nodig.

De kwetsbare verwerking accepteert een bestand dat via de aanvraag wordt meegestuurd.

De inhoud kan vervolgens worden opgeslagen onder:

pub/media/custom_options/quote/

Wanneer de webserver verkeerd is geconfigureerd en PHP-uitvoering toestaat binnen deze directory, kan een aanvaller mogelijk de geüploade code uitvoeren.

Dit kan leiden tot remote code execution.

Ook wanneer PHP-uitvoering is geblokkeerd, kunnen schadelijke bestanden op de server achterblijven.

Deze bestanden kunnen later alsnog een risico vormen wanneer de serverconfiguratie verandert.

PolyShell wordt daadwerkelijk misbruikt

Op 27 oktober 2026 heeft CISA CVE-2026-48356 toegevoegd aan haar Known Exploited Vulnerabilities-catalogus.

Deze catalogus bevat kwetsbaarheden waarvoor voldoende aanwijzingen bestaan dat ze daadwerkelijk worden misbruikt.

De opname bevestigt dat PolyShell niet uitsluitend een theoretisch beveiligingsprobleem is.

Sansec rapporteerde bovendien al vanaf maart 2026 geautomatiseerde aanvallen op Magento-webshops.

Bij onderzochte aanvallen werden schadelijke PHP-bestanden geplaatst, waaronder webshells waarmee aanvallers verdere toegang tot een webshop konden verkrijgen.

De exacte omvang van succesvolle compromitteringen kan niet uitsluitend uit deze meldingen worden afgeleid.

Wel staat vast dat exploitatiepogingen zijn waargenomen en dat CISA de kwetsbaarheid als actief misbruikt classificeert.

Welke Magento- en Adobe Commerce-versies zijn getroffen?

Adobe heeft CVE-2026-48356 opgenomen in beveiligingsbulletin APSB26-73.

De volgende versies en eerdere releases van de betreffende onderhoudslijnen worden als getroffen aangemerkt:

• Adobe Commerce 2.4.9.
• Adobe Commerce 2.4.8-p5 en ouder.
• Adobe Commerce 2.4.7-p10 en ouder.
• Adobe Commerce 2.4.6-p15 en ouder.
• Adobe Commerce 2.4.5-p17 en ouder.
• Adobe Commerce 2.4.4-p18 en ouder.
• Magento Open Source 2.4.9.
• Magento Open Source 2.4.8-p5 en ouder.
• Magento Open Source 2.4.7-p10 en ouder.
• Magento Open Source 2.4.6-p15 en ouder.

Ook ondersteunde Adobe Commerce B2B-versies vallen binnen het betreffende beveiligingsbulletin.

Welke beveiligingsupdates zijn beschikbaar?

Adobe heeft de kwetsbaarheid verholpen via de beveiligingsupdates van juli 2026.

Voor Adobe Commerce zijn onder andere de volgende gecorrigeerde onderhoudsniveaus beschikbaar:

• 2.4.9-2026-jul.
• 2.4.8-2026-jul.
• 2.4.7-2026-jul.
• 2.4.6-2026-jul.
• 2.4.5-2026-jul.
• 2.4.4-2026-jul.

Voor Magento Open Source zijn beveiligingsupdates beschikbaar voor de ondersteunde releasegroepen 2.4.6 tot en met 2.4.9.

Adobe publiceerde op 13 oktober bovendien beveiligingsbulletin APSB26-153 met nieuwe beveiligingscorrecties.

Daarom adviseert Vservs om niet alleen de PolyShell-patch te controleren, maar ook vast te stellen of de aanvullende beveiligingsupdates van september en oktober correct zijn geïnstalleerd.

Voor CVE-2026-75650 is daarnaast een afzonderlijke hotfix vereist die Adobe expliciet noemt bij het oktoberbulletin.

Controleer altijd de daadwerkelijk geïnstalleerde patches. Alleen het basisversienummer van Magento is onvoldoende om vast te stellen of alle beveiligingscorrecties aanwezig zijn.

Welke gevolgen kan een succesvolle aanval hebben?

Wanneer een aanvaller schadelijke PHP-code kan uitvoeren, kunnen de gevolgen zeer ernstig zijn.

Mogelijke gevolgen zijn:

• Installatie van PHP-webshells en backdoors.
• Onbevoegde toegang tot webshopbestanden.
• Wijziging van Magento-configuratiebestanden.
• Manipulatie van winkelwagen- en checkoutfunctionaliteit.
• Injectie van schadelijke JavaScript-code.
• Mogelijke toegang tot klantgegevens.
• Installatie van aanvullende malware.
• Misbruik van de webshop voor betalingsfraude of phishing.

De daadwerkelijke impact hangt af van de webserverconfiguratie en de rechten waarmee de webapplicatie wordt uitgevoerd.

Controleer Magento op PHP-backdoors

Sansec heeft verschillende indicatoren gepubliceerd die kunnen helpen bij het onderzoeken van een mogelijke PolyShell-compromittering.

Controleer vooral de volgende directory:

pub/media/custom_options/

Bestanden met de extensies .php, .phtml of .phar binnen deze directory verdienen onmiddellijk nader onderzoek.

Sansec heeft daarnaast de bestandsnaam accesson.php gekoppeld aan aanvallen waarbij aanvullende backdoors werden geplaatst.

Ook bestandsnamen zoals index.php, json-shell.php en bypass.phtml zijn tijdens onderzochte aanvallen waargenomen.

Deze bestandsnamen zijn indicatoren en vormen afzonderlijk geen sluitend bewijs van compromittering.

Onderzoek daarnaast:

• Onbekende PHP-bestanden in schrijfbare directories.
• Onverwachte wijzigingen in CMS-pagina’s en statische contentblokken.
• Verdachte JavaScript-code in checkoutpagina’s.
• Nieuwe of onbekende Magento-beheerdersaccounts.
• Afwijkende REST API-aanvragen.
• Ongebruikelijke uitgaande netwerkverbindingen.
• Recente wijzigingen in Magento-configuratiebestanden.

Wat moet u doen wanneer PolyShell wordt aangetroffen?

Bij een vermoeden van compromittering adviseert Vservs om eerst relevante bestanden, toegangslogs en andere bewijsmiddelen veilig te stellen.

Verwijder niet uitsluitend het eerste aangetroffen schadelijke bestand.

Een aanvaller kan aanvullende backdoors of wijzigingen hebben aangebracht.

Laat de volledige webshop onderzoeken en controleer of de oorspronkelijke kwetsbaarheid daadwerkelijk is verholpen.

Wanneer onbevoegde toegang is bevestigd, moeten ook relevante beheerderssessies, toegangsgegevens en mogelijke gegevensblootstelling worden onderzocht.

Hoe beschermt u Magento tegen PolyShell?

Vservs adviseert de volgende maatregelen:

1. Controleer de geïnstalleerde Magento-versie en beveiligingspatches.
2. Installeer de toepasselijke PolyShell-beveiligingscorrectie.
3. Controleer ook de beveiligingsupdates van oktober 2026.
4. Verifieer dat PHP niet uitvoerbaar is binnen openbare uploaddirectories.
5. Controleer toegangsbeperkingen voor pub/media/custom_options/.
6. Onderzoek verdachte bestandsuploads en gewijzigde bestanden.
7. Controleer webshopaccounts en checkoutfunctionaliteit.
8. Maak gebruik van passende beveiligingsmonitoring en malwaredetectie.

Het blokkeren van PHP-uitvoering binnen een uploaddirectory kan de gevolgen van een aanval beperken, maar verhindert niet noodzakelijk dat schadelijke bestanden worden opgeslagen.

Een correcte beveiligingspatch blijft daarom noodzakelijk.

Managed VPS en Magento Hosting bij Vservs

Vservs levert professioneel beheerde hostinginfrastructuur voor bedrijven, organisaties en webshops.

Onze Managed VPS Servers bieden serverbeheer, monitoring, back-ups en onderhoud van de hostingomgeving.

Ook bij managed hosting blijft het noodzakelijk om Magento, Adobe Commerce en gebruikte extensies regelmatig te actualiseren.

Bezoek daarnaast de Vservs Security-beveiligingsupdates voor actuele beveiligingsinformatie.

Conclusie

De Magento PolyShell kwetsbaarheid CVE-2026-48356 wordt actief misbruikt en kan onder bepaalde omstandigheden leiden tot het uploaden en uitvoeren van schadelijke PHP-bestanden.

Adobe heeft beveiligingspatches beschikbaar gesteld, maar eerder kwetsbare webshops kunnen nog steeds schadelijke bestanden bevatten.

Vservs adviseert Magento- en Adobe Commerce-beheerders om de actuele patchstatus onmiddellijk te controleren en waar nodig onderzoek uit te voeren naar mogelijke PHP-backdoors.

Bronnen

• Adobe – Security Bulletin APSB26-73
• Adobe – Security Bulletin APSB26-153
• Sansec – PolyShell Technical Research
• CISA – Known Exploited Vulnerabilities Update, 27 October 2026

TRUST#GRAFT WordPress is een geavanceerde malwareaanval waarbij cybercriminelen misbruik proberen te maken van bestaande WordPress-beheerderssessies. In plaats van rechtstreeks wachtwoorden te kraken, gebruikt de aanval kwaadaardige JavaScript-code om een reeds aangemelde beheerder onbewust een schadelijke plugin te laten installeren. De malware kan vervolgens een verborgen PHP-backdoor plaatsen die buiten het normale pluginbeheer van WordPress blijft functioneren.

Beveiligingsonderzoekers van Securonix publiceerden op 22 oktober 2026 een technische analyse van de aanvalsketen, die zij TRUST#GRAFT noemen.

De aanval is bijzonder relevant voor WordPress-beheerders, webdesignbureaus en hostingpartijen die meerdere websites beheren.

Vservs adviseert beheerders om bestaande WordPress-installaties te controleren op verdachte plugins, onbekende PHP-bestanden en ongebruikelijke wijzigingen aan beheerderssessies.

Wat is TRUST#GRAFT WordPress?

TRUST#GRAFT WordPress is geen traditionele kwetsbaarheid waarbij een beveiligingscontrole in WordPress rechtstreeks wordt omzeild.

De aanval maakt juist gebruik van de rechten die een reeds aangemelde WordPress-beheerder heeft.

De kwaadaardige JavaScript-code probeert te herkennen of een bezoeker een actieve beheerderssessie heeft op de betreffende WordPress-installatie.

Wanneer dat het geval is, probeert de code de normale WordPress-functionaliteit voor het uploaden en activeren van plugins te misbruiken.

Daarvoor gebruikt de browser de bestaande sessiecookies en beveiligingstokens van de aangemelde beheerder.

De aanvaller hoeft hierdoor niet zelfstandig het WordPress-wachtwoord te achterhalen.

Wel moet de schadelijke JavaScript-code binnen de juiste websitecontext kunnen worden uitgevoerd en moet de betreffende gebruiker bevoegd zijn om plugins te installeren.

Hoe werkt de TRUST#GRAFT-aanval?

De door Securonix onderzochte aanvalsketen begint met kwaadaardige JavaScript-code die in een webpagina wordt uitgevoerd.

De oorspronkelijke methode waarmee deze code op de betreffende pagina terechtkwam, is nog niet definitief vastgesteld.

De code kan een volledig scherm tonen dat lijkt op de bekende beveiligingscontrole van Cloudflare.

Deze vervalste verificatiepagina bevat een melding die bezoekers laat geloven dat hun browser wordt gecontroleerd.

Ondertussen verzamelt de JavaScript-code informatie over de browseromgeving.

De code controleert vervolgens of de gebruiker een actieve WordPress-beheerderssessie heeft.

Wanneer de vereiste voorwaarden aanwezig zijn, probeert de aanvalsketen een ZIP-bestand met een kwaadaardige WordPress-plugin te installeren.

De plugin wordt vervolgens via de reguliere WordPress-functionaliteit geactiveerd.

Omdat deze acties via een reeds aangemelde beheerder verlopen, kunnen ze in logbestanden lijken op legitieme beheeractiviteiten.

Kwaadaardige plugin vermomt zich als Web Media Optimizer

De onderzochte malware gebruikt een WordPress-plugin met de naam Web Media Optimizer.

De plugin presenteert zichzelf als een hulpmiddel voor mediabeheer en prestatieoptimalisatie.

Volgens Securonix bevat de onderzochte versie 2.1 echter functionaliteit die bedoeld is om ongeautoriseerde toegang tot de website mogelijk te maken.

De malware kan externe JavaScript-code in openbare websitepagina’s injecteren.

Daarnaast bevat de plugin functionaliteit waarmee onder bepaalde voorwaarden een bestaande beheerderssessie kan worden aangemaakt.

Hierdoor kunnen aanvallers de controle over een getroffen website behouden.

Waarom is de verborgen PHP-backdoor gevaarlijk?

Een belangrijk onderdeel van TRUST#GRAFT is het gebruik van zogenaamde must-use plugins.

WordPress ondersteunt een speciale directory waarin plugins automatisch worden geladen.

Deze directory bevindt zich normaal gesproken op:

wp-content/mu-plugins/

De TRUST#GRAFT-malware probeert zichzelf naar deze directory te kopiëren.

Het onderzochte bestand gebruikt de naam:

wp-content/mu-plugins/wmedia-recovery.php

Must-use plugins worden automatisch geladen en verschijnen niet op dezelfde manier als reguliere plugins in het standaardoverzicht.

Hierdoor kan de malware actief blijven wanneer een beheerder uitsluitend de zichtbare plugin verwijdert.

Volgens Securonix probeert de kwaadaardige plugin zichzelf bovendien te verbergen voor normale plugin- en updateoverzichten.

Welke signalen kunnen wijzen op TRUST#GRAFT?

Beveiligingsonderzoekers hebben verschillende bestanden en infrastructuurkenmerken geïdentificeerd die bij de onderzochte malware horen.

Controleer onder andere op:

• Onbekende plugins met de naam Web Media Optimizer.
• Het bestand wp-content/mu-plugins/wmedia-recovery.php.
• Onbekende PHP-bestanden in must-use pluginmappen.
• Onverwachte JavaScript-code in de HTML-bron van de website.
• Plugins die zonder bekende beheerhandeling zijn geïnstalleerd.
• Ongebruikelijke wijzigingen aan WordPress-opties.
• Nieuwe beheerderssessies zonder verklaarbare aanmeldactiviteit.

De onderzoekers hebben ook de volgende domeinen gekoppeld aan onderdelen van de onderzochte aanvalsinfrastructuur:

• gerlace[.]com
• vtevens[.]icu
• caapman[.]me
• vilialobos[.]lol

Deze domeinen zijn bewust onklikbaar weergegeven.

De aanwezigheid van een dergelijk domein in logbestanden is aanleiding voor onderzoek, maar vormt op zichzelf geen definitief bewijs van een geslaagde aanval.

Is TRUST#GRAFT actief in gebruik?

Securonix heeft een concrete JavaScript-loader, een tweede malwarecomponent en de bijbehorende PHP-backdoor technisch onderzocht.

Daarmee is de werking van de kwaadaardige aanvalsketen bevestigd.

De beschikbare onderzoeksgegevens bewijzen echter niet hoeveel WordPress-websites daadwerkelijk via deze methode zijn gecompromitteerd.

Ook de oorspronkelijke verspreidingsmethode is nog niet definitief vastgesteld.

Vservs adviseert daarom onderscheid te maken tussen bevestigde malwarefunctionaliteit en onbevestigde claims over grootschalige infecties.

Hoe beschermt u WordPress tegen TRUST#GRAFT?

De aanval laat zien dat een sterk wachtwoord en tweefactorauthenticatie niet alle beveiligingsrisico’s kunnen voorkomen.

Wanneer kwaadaardige code wordt uitgevoerd binnen een reeds aangemelde beheerderssessie, kan de browser acties uitvoeren waarvoor de gebruiker al bevoegd is.

Vservs adviseert daarom:

1. Gebruik een apart browserprofiel voor WordPress-beheer.
2. Gebruik beheerdersaccounts uitsluitend wanneer beheerdersrechten nodig zijn.
3. Log uit wanneer administratieve werkzaamheden zijn afgerond.
4. Beperk de mogelijkheid om nieuwe plugins te installeren.
5. Controleer wijzigingen aan WordPress-plugins.
6. Controleer regelmatig de must-use plugindirectory.
7. Gebruik actuele beveiligingssoftware en malwaredetectie.
8. Beperk het aantal WordPress-beheerdersaccounts.
9. Houd WordPress, plugins en thema’s bijgewerkt.
10. Onderzoek onbekende JavaScript-code die op websitepagina’s wordt geladen.

Een beveiligingsplugin of web application firewall kan aanvullende bescherming bieden, maar is geen garantie tegen misbruik van bestaande beheerderssessies.

Wat moet u doen wanneer TRUST#GRAFT wordt aangetroffen?

Wanneer de beschreven malware wordt aangetroffen, moet de website als mogelijk gecompromitteerd worden beschouwd.

Bewaar eerst relevante bestanden, logbestanden en andere onderzoeksgegevens.

Controleer vervolgens zowel de normale plugindirectory als de must-use plugindirectory.

Verwijder niet uitsluitend de zichtbare plugin, omdat achtergebleven PHP-bestanden opnieuw toegang kunnen bieden.

Onderzoek ook hoe de schadelijke JavaScript-code oorspronkelijk in de website terecht is gekomen.

Na het veiligstellen van onderzoeksgegevens en het verwijderen van alle kwaadaardige componenten moeten beheerderswachtwoorden worden gewijzigd en bestaande sessies worden ingetrokken.

Controleer daarnaast overige beheerdersaccounts, geplande taken, websitebestanden en eventuele externe verbindingen.

Wanneer de integriteit van de installatie niet meer kan worden vastgesteld, kan herstel vanuit een aantoonbaar schone back-up noodzakelijk zijn.

WordPress-beveiliging en Managed Hosting bij Vservs

Moderne WordPress-aanvallen richten zich niet uitsluitend op bekende softwarekwetsbaarheden.

Ook bestaande beheerderssessies, onveilige website-inhoud en verborgen malware kunnen worden misbruikt.

Vservs biedt professioneel beheerde hostinginfrastructuur met monitoring, beveiligingsonderhoud en serverbeheer.

Onze Managed VPS Hosting is geschikt voor bedrijven, webbureaus en organisaties die hun hostinginfrastructuur professioneel willen laten beheren.

Voor een veilige WordPress-omgeving blijven daarnaast goed applicatiebeheer, malwarecontroles en regelmatige updates essentieel.

Volg onze Security- en Beveiligingsupdates voor informatie over nieuwe kwetsbaarheden en beveiligingsdreigingen.

Conclusie

TRUST#GRAFT WordPress laat zien hoe aanvallers bestaande beheerderssessies kunnen misbruiken om een verborgen PHP-backdoor te installeren.

De onderzochte malware gebruikt een vervalste beveiligingscontrole en een schadelijke plugin die zich voordoet als Web Media Optimizer.

Een belangrijk onderdeel van de aanval is het plaatsen van een verborgen PHP-bestand in de must-use plugindirectory.

Vservs adviseert WordPress-beheerders om plugininstallaties, actieve beheerderssessies en verdachte PHP-bestanden regelmatig te controleren.

Wanneer een infectie wordt vastgesteld, moeten alle achtergebleven malwarecomponenten worden verwijderd en moet de oorspronkelijke toegangsmethode worden onderzocht.

Bronnen

• Securonix Threat Research – TRUST#GRAFT Technical Analysis
• Cyber Security News – WordPress Administrator Session Attacks