Magento kwetsbaarheid CVE-2026-103849 is een kritiek beveiligingslek in Adobe Commerce met een CVSS-score van 10.0. Adobe heeft op 13 oktober 2026 beveiligingsbulletin APSB26-153 gepubliceerd, waarin elf kwetsbaarheden worden verholpen. De ernstigste kwetsbaarheid maakt uitvoering van willekeurige code mogelijk zonder authenticatie. Organisaties die Adobe Commerce of Magento Open Source gebruiken, moeten controleren welke beveiligingspatches voor hun installatie beschikbaar zijn.

Voor organisaties die Magento of Adobe Commerce gebruiken voor hun webwinkel is het belangrijk om de beschikbare beveiligingsupdates zo snel mogelijk te installeren. Een succesvolle aanval kan gevolgen hebben voor de integriteit van de webshop, klantgegevens en de onderliggende hostingomgeving.

Wat is er aan de hand?

Adobe heeft beveiligingsbulletin APSB26-153 gepubliceerd. Hierin worden elf kwetsbaarheden beschreven die verschillende onderdelen van Adobe Commerce, Adobe Commerce B2B en Magento Open Source treffen.

De kwetsbaarheden kunnen onder meer leiden tot:

• Remote Code Execution (RCE): uitvoering van willekeurige code op de server.
• Privilege escalation: het verkrijgen van hogere gebruikersrechten.
• Arbitrary file system write: ongeautoriseerde wijzigingen in bestanden.
• Security feature bypass: het omzeilen van beveiligingsmaatregelen.
• Stored Cross-Site Scripting (XSS): het uitvoeren van ongewenste scripts in de browser van gebruikers.

Kritieke kwetsbaarheid CVE-2026-103849

De ernstigste kwetsbaarheid is CVE-2026-103849. Adobe kent deze kwetsbaarheid een CVSS-score van 10.0 toe.

Het beveiligingsprobleem ontstaat door onvoldoende veilige verwerking van gegevens binnen een template-engine. Hierdoor kan een aanvaller onder bepaalde omstandigheden zelf aangeleverde instructies laten uitvoeren.

Volgens Adobe vereist exploitatie geen authenticatie en geen interactie van een bestaande gebruiker.

Een succesvolle aanval kan leiden tot volledige compromittering van de getroffen applicatieomgeving.

Welke andere kritieke kwetsbaarheden zijn verholpen?

Naast CVE-2026-103849 heeft Adobe vier andere kritieke kwetsbaarheden verholpen:

• CVE-2026-92909 – CVSS 9.8: onvoldoende autorisatiecontroles binnen Adobe Commerce B2B, waardoor uitvoering van willekeurige code mogelijk is zonder authenticatie.
• CVE-2026-91013 – CVSS 9.3: stored XSS met mogelijke privilege escalation.
• CVE-2026-100133 – CVSS 9.3: stored XSS met mogelijke privilege escalation.
• CVE-2026-92464 – CVSS 9.1: onvoldoende invoervalidatie met mogelijke uitvoering van willekeurige code. Voor deze kwetsbaarheid zijn reeds hoge gebruikersrechten nodig.

Daarnaast zijn vijf kwetsbaarheden met een hoge ernstscore en één kwetsbaarheid met een gemiddelde ernstscore verholpen.

Welke Magento- en Adobe Commerce-versies zijn getroffen?

Volgens Adobe zijn onder meer de volgende versiereeksen getroffen:

• Adobe Commerce 2.4.4 tot en met 2.4.9, inclusief de beveiligingsstand van september 2026 en eerdere releases.
• Magento Open Source 2.4.6 tot en met 2.4.9, inclusief de beveiligingsstand van september 2026 en eerdere releases.
• Adobe Commerce B2B 1.3.3 tot en met 1.5.3, voor zover opgenomen in het beveiligingsbulletin.

Adobe vermeldt beveiligde oktoberstanden voor de ondersteunde releasebranches. De daadwerkelijke installatie verloopt via de toepasselijke beveiligingspatches.

Welke versie is veilig?

Adobe heeft voor oktober 2026 afzonderlijke beveiligingspatches beschikbaar gesteld.

Voor Magento Open Source zijn beveiligde oktoberstanden opgenomen voor versie 2.4.7, 2.4.8 en 2.4.9.

Voor Adobe Commerce zijn daarnaast patches beschikbaar voor oudere ondersteunde branches, waaronder 2.4.4, 2.4.5 en 2.4.6.

Belangrijk: de beveiligingspatches van oktober worden als afzonderlijke Isolated patches aangeboden. Adobe heeft hiervoor niet gelijktijdig nieuwe reguliere Composer-pakketten uitgebracht.

De patches moeten worden toegepast volgens de instructies voor de betreffende productversie. Eerdere maandelijkse Isolated patches moeten daarbij in de juiste volgorde aanwezig zijn.

Magento Open Source-gebruikers op versie 2.4.6 moeten extra aandacht besteden aan hun upgradepad, omdat Adobe deze versie niet opneemt in de lijst met nieuwe beveiligde Open Source-oktoberreleases.

Worden deze kwetsbaarheden actief aangevallen?

Adobe heeft op 13 oktober 2026 aangegeven niet bekend te zijn met actieve exploitatie van de elf kwetsbaarheden uit APSB26-153.

Dat betekent niet dat het veilig is om beveiligingsupdates uit te stellen.

Bijzonder belangrijk is dat de eerder ontdekte kwetsbaarheid CVE-2026-75650 wel actief is misbruikt.

Adobe benadrukt daarom dat beheerders de hotfix voor CVE-2026-75650 naast de nieuwe beveiligingspatches moeten toepassen.

Wat moeten Magento-beheerders nu doen?

1. Controleer welke Magento- of Adobe Commerce-versie momenteel is geïnstalleerd.
2. Controleer welke beveiligingspatches al zijn toegepast.
3. Download de juiste oktoberpatch via de officiële Adobe-kanalen.
4. Controleer of alle vereiste eerdere Isolated patches aanwezig zijn.
5. Installeer de nieuwe beveiligingspatch en test de werking van de webshop.
6. Controleer afzonderlijk of de hotfix voor CVE-2026-75650 aanwezig is.
7. Controleer betaalprocessen, extensies, integraties en administratieve functies.
8. Volg het advies van Adobe om encryptiesleutels en bijbehorende toegangsgegevens te vervangen.

Adobe biedt hiervoor de Commerce Version Tool aan. Vanuit de Magento-projectdirectory kan de patchstatus worden gecontroleerd met:

php vendor/bin/patch-status

Deze controle geeft inzicht in ontbrekende beveiligingspatches en de beschermingsstatus per kwetsbaarheid.

Controleer ook op mogelijke compromittering

Het installeren van een beveiligingspatch herstelt niet automatisch eventuele schade die vóór de update is ontstaan.

Vservs adviseert daarom om bij mogelijk kwetsbare installaties ook de volgende controles uit te voeren:

• Controleer op onbekende Magento-beheerdersaccounts en gewijzigde gebruikersrechten.
• Onderzoek wijzigingen aan applicatiebestanden en onverwachte PHP-bestanden.
• Controleer de mappen pub/media, app/code en andere schrijfbare directories.
• Onderzoek ongebruikelijke API-tokens, integraties en administratieve sessies.
• Controleer serverlogs op afwijkende verzoeken en verdachte POST-aanvragen.
• Controleer cronjobs en processen op ongeautoriseerde wijzigingen.
• Onderzoek afwijkend uitgaand netwerkverkeer en mogelijke gegevensoverdracht.

Wanneer daadwerkelijk misbruik wordt vermoed, moet de omgeving onderzocht worden voordat deze opnieuw volledig in productie wordt genomen.

Veilige Magento-hosting bij Vservs

Voor professionele Magento- en Adobe Commerce-webshops is goed serverbeheer belangrijk. Beveiligingsupdates van het besturingssysteem, PHP-configuratie, databasebeveiliging, toegangscontrole en monitoring vormen samen een belangrijk onderdeel van een veilige hostingomgeving.

Vservs levert Managed VPS-servers voor zakelijke hostingomgevingen waarbij controle, prestaties en beveiliging centraal staan.

Naast het installeren van applicatiepatches blijft het belangrijk om de volledige serveromgeving goed te onderhouden.

Bronnen

• Adobe Security Bulletin APSB26-153 – 13 oktober 2026
• Adobe Experience League – oktoberpatches en installatie-instructies

De Magento kwetsbaarheid CVE-2026-103849 ontstaat door onvoldoende veilige verwerking van speciale elementen binnen een template-engine. Hierdoor kan een externe aanvaller onder bepaalde omstandigheden willekeurige code laten uitvoeren.

Volgens Adobe zijn voor exploitatie geen gebruikersrechten of interactie van een bestaande gebruiker vereist. De kwetsbaarheid heeft daarom de maximale CVSS-score van 10.0 gekregen.

Adobe heeft op 13 oktober 2026 aangegeven niet bekend te zijn met actieve exploitatie van deze kwetsbaarheid. Desondanks adviseert Vservs om de beschikbare beveiligingspatches zo snel mogelijk te installeren.

Beveiligingsonderzoekers van Wordfence hebben aangetoond dat een kritieke kwetsbaarheid in Ghostscript onder specifieke omstandigheden kan leiden tot het uitvoeren van kwaadaardige code op Linux-servers.

De kwetsbaarheid, geregistreerd als CVE-2026-39919, bevindt zich in de verwerking van speciaal geprepareerde PDF-bestanden met JPEG 2000-afbeeldingen.

Ghostscript wordt door uiteenlopende applicaties gebruikt voor het verwerken, converteren en weergeven van documenten. Daardoor is deze beveiligingsmelding niet alleen relevant voor WordPress, maar ook voor andere websites, documentverwerkingssystemen en hostingomgevingen.

Wat is Ghostscript?

Ghostscript is software waarmee PDF- en PostScript-bestanden kunnen worden verwerkt en geconverteerd.

Veel applicaties gebruiken Ghostscript indirect via andere softwarebibliotheken, zoals ImageMagick.

Ook WordPress kan hiervan gebruikmaken wanneer een PDF-document wordt geüpload en automatisch een voorbeeldafbeelding wordt gegenereerd.

Afhankelijk van de serverconfiguratie verloopt deze verwerking via WordPress, de PHP-extensie Imagick, ImageMagick en uiteindelijk Ghostscript.

Een websitebeheerder hoeft Ghostscript dus niet zelf te hebben geïnstalleerd om er indirect gebruik van te maken.

Hoe werkt CVE-2026-39919?

De kwetsbaarheid betreft een heap-based buffer overflow in de JPEG 2000-verwerking van Ghostscript.

Bij het verwerken van bepaalde afbeeldingsgegevens reserveert de software onvoldoende geheugen voor de hoeveelheid gegevens die daadwerkelijk wordt weggeschreven.

Een speciaal samengesteld PDF-bestand kan daardoor geheugen buiten de toegewezen buffer overschrijven.

Dit kan leiden tot:

• Het onverwacht beëindigen van een Ghostscript-proces.
• Geheugencorruptie tijdens documentverwerking.
• Het uitvoeren van kwaadaardige code onder de rechten van het verwerkingsproces.
• Mogelijke toegang tot bestanden en gegevens die dat proces kan benaderen.

De ernst van de kwetsbaarheid is vastgesteld op CVSS 9.8 (kritiek).

Kan een aanvaller zonder login toegang krijgen?

Onder bepaalde omstandigheden is dat mogelijk.

Wordfence heeft in een gecontroleerde WordPress-testomgeving aangetoond dat een aanvaller zonder authenticatie code kon uitvoeren door een speciaal geprepareerd PDF-bestand te laten verwerken.

Daarvoor moeten verschillende voorwaarden aanwezig zijn:

• De website accepteert PDF-uploads van bezoekers of gebruikers met beperkte rechten.
• De geüploade PDF-bestanden worden automatisch verwerkt tot afbeeldingen of voorbeelden.
• De server gebruikt daarbij een kwetsbare Ghostscript-installatie.
• De documentverwerking is daadwerkelijk bereikbaar via de betreffende uploadfunctionaliteit.

Een standaard WordPress-installatie biedt anonieme bezoekers niet automatisch de mogelijkheid om PDF-bestanden naar de mediabibliotheek te uploaden.

Het risico kan echter ontstaan wanneer aanvullende plugins, formulieren of maatwerkapplicaties deze functionaliteit beschikbaar stellen.

Welke versies zijn kwetsbaar?

• CVE: CVE-2026-39919
• Software: Artifex Ghostscript
• Kwetsbare upstream-versies: 9.21 tot en met 10.07.1
• Beveiligde upstream-versie: 10.08.0
• CVSS 3.1: 9.8 – kritiek
• CVSS 4.0: 9.3 – kritiek
• Kwetsbaarheidstype: heap-based buffer overflow
• Mogelijke impact: remote code execution

Let op: Linux-distributies kunnen beveiligingscorrecties terugporteren naar oudere softwareversies. Een lager Ghostscript-versienummer betekent daarom niet automatisch dat de geïnstalleerde distributieversie nog kwetsbaar is.

Controleer altijd de volledige pakketversie en de beveiligingsadviezen van de gebruikte Linux-distributie.

Bijzonder aandachtspunt voor Debian 12 en Debian 13

Op 13 oktober 2026 meldt de Debian Security Tracker dat de beschikbare Ghostscript-pakketten voor Debian 12 (Bookworm) nog kwetsbaar zijn voor CVE-2026-39919.

Voor Debian 13 (Trixie) is inmiddels een beveiligingscorrectie beschikbaar.

De eerste gecorrigeerde Debian 13-pakketversie is:

10.05.1~dfsg-1+deb13u2

Nieuwere pakketversies waarin dezelfde beveiligingscorrectie aanwezig is, zijn eveneens geschikt.

Voor Debian 12 moet de beschikbaarheid van een officiële beveiligingsupdate opnieuw worden gecontroleerd. Totdat een correctie beschikbaar is, zijn aanvullende maatregelen noodzakelijk op systemen die PDF-bestanden van niet-vertrouwde bronnen verwerken.

Hoe controleert u Ghostscript op uw server?

Linux-beheerders kunnen controleren of Ghostscript is geïnstalleerd met:

command -v gs

De gebruikte programmaversie kan worden opgevraagd met:

gs --version

Op Debian en Ubuntu kan de volledige pakketversie worden gecontroleerd met:

dpkg-query -W ghostscript

Omdat distributies beveiligingsupdates kunnen terugporteren, moet deze pakketversie worden vergeleken met het officiële beveiligingsadvies van de betreffende distributie.

Wanneer Ghostscript niet is geïnstalleerd, is de betreffende installatie niet rechtstreeks kwetsbaar via dit softwarepakket. Controleer bij containers en afwijkende installaties ook of andere Ghostscript-versies aanwezig zijn.

Wordt CVE-2026-39919 actief misbruikt?

Er is op dit moment geen publiek bevestigd bewijs dat CVE-2026-39919 actief wordt misbruikt bij aanvallen op productieomgevingen.

Wordfence heeft wel aangetoond dat de kwetsbaarheid onder specifieke omstandigheden kan worden uitgebuit voor het uitvoeren van code.

De onderzoekers ontwikkelden werkende exploits voor een specifieke testomgeving. Die exploits bleken niet zonder aanpassingen te werken op tien andere onderzochte Linux-pakketomgevingen.

Dit betekent dat de kwetsbaarheid niet eenvoudig met één universeel exploitbestand op iedere server kan worden misbruikt.

Gerichte aanvallen op systemen met een bekende softwareconfiguratie blijven echter mogelijk. Het ontbreken van bevestigd actief misbruik is daarom geen reden om beveiligingsupdates uit te stellen.

Hoe controleert u mogelijke compromittering?

Beheerders van systemen die PDF-documenten van externe gebruikers verwerken, wordt geadviseerd de volgende onderdelen te controleren:

• Onverwachte crashes van Ghostscript- of documentconversieprocessen.
• Foutmeldingen bij het verwerken van PDF-bestanden.
• Ongebruikelijke aantallen PDF-uploads of herhaalde conversiepogingen.
• Afwijkende processen die door de webservergebruiker worden gestart.
• Onverwachte wijzigingen in websitebestanden.
• Onbekende uitvoerbare bestanden in tijdelijke uploadmappen.
• Verdachte netwerkverbindingen vanaf processen die documenten verwerken.

Een crash of foutmelding vormt op zichzelf geen bewijs van een aanval. Dergelijke signalen moeten in samenhang met webserverlogs en andere beveiligingsinformatie worden onderzocht.

Welke maatregelen zijn noodzakelijk?

1. Controleer of Ghostscript op de server aanwezig is.
2. Controleer of websites of applicaties PDF-bestanden automatisch verwerken.
3. Installeer de officiële beveiligingsupdate van de Linux-distributie zodra deze beschikbaar is.
4. Werk containerimages bij en bouw containers opnieuw wanneer zij een kwetsbare Ghostscript-versie bevatten.
5. Schakel waar mogelijk tijdelijke PDF-verwerking van niet-vertrouwde bestanden uit totdat de correctie is geïnstalleerd.
6. Overweeg om PDF-verwerking tijdelijk te blokkeren via het beveiligingsbeleid van ImageMagick.
7. Beperk de rechten en toegangsmogelijkheden van documentverwerkingsprocessen.
8. Controleer logs op afwijkende documentverwerking en mogelijke compromittering.

Het blokkeren van PDF-verwerking kan gevolgen hebben voor het genereren van documentvoorbeelden en andere websitefunctionaliteiten.

Een aanvullende sandbox of beperkte procesrechten kunnen de impact van een aanval verminderen, maar verhelpen de onderliggende kwetsbaarheid niet.

Waarom is dit belangrijk voor hostingproviders?

De kwetsbaarheid bevindt zich niet in WordPress zelf, maar in software die op de onderliggende server aanwezig kan zijn.

Daardoor kunnen meerdere websites op dezelfde server afhankelijk zijn van één kwetsbare softwarecomponent.

Dit onderstreept het belang van regelmatig serveronderhoud, beveiligingsupdates en controle van gebruikte systeemsoftware.

Managed hosting bij Vservs

Een veilige website begint niet alleen bij het bijwerken van WordPress, plugins en thema’s. Ook het besturingssysteem en de onderliggende servercomponenten moeten actief worden onderhouden.

Vservs biedt Managed VPS-hosting waarbij serverbeheer, beveiligingsupdates en monitoring onderdeel kunnen zijn van de beheerde dienstverlening.

Wij adviseren klanten die zelf Linux-servers beheren om regelmatig beveiligingsadviezen van hun distributie te controleren en updates tijdig te installeren.

Bronnen

• Wordfence – Technisch onderzoek naar CVE-2026-39919, 12 oktober 2026
• Debian Security Tracker – Actuele pakketstatus
• CVE.org – Officiële kwetsbaarheidsregistratie

Een kritieke beveiligingskwetsbaarheid in de WordPress-plugin Bricksforge wordt actief aangevallen. De kwetsbaarheid, geregistreerd als CVE-2026-85097, maakt het mogelijk om zonder inloggegevens kwaadaardige PHP-bestanden op een kwetsbare WordPress-server te plaatsen en uit te voeren.

Beveiligingsonderzoekers van Patchstack hebben daadwerkelijk aanvalspogingen waargenomen. De eerste activiteit werd geregistreerd op 7 oktober 2026 om 21:47 UTC. Websitebeheerders die Bricksforge gebruiken, wordt dringend geadviseerd hun installatie te controleren en onmiddellijk bij te werken.

Wat is Bricksforge?

Bricksforge is een commerciële uitbreiding voor Bricks Builder, een populaire visuele websitebouwer voor WordPress. De plugin biedt aanvullende mogelijkheden voor onder andere formulieren, animaties, dynamische content en aanpassingen aan de WordPress-beheeromgeving.

De kwetsbaarheid bevindt zich in de verwerking van bestandsuploads binnen de Pro Forms-functionaliteit.

Hoe ernstig is CVE-2026-85097?

De kwetsbaarheid maakt een zogenaamde unauthenticated arbitrary file upload mogelijk. Dit betekent dat een aanvaller zonder geldig WordPress-account bestanden naar de server kan uploaden.

Door onvoldoende controle van aangeleverde bestandsinformatie kan een aanvaller deze functionaliteit misbruiken om PHP-code op de server uit te voeren. Dit wordt aangeduid als Remote Code Execution (RCE).

De mogelijke gevolgen zijn ernstig:

• Uitvoering van kwaadaardige PHP-code op de webserver.
• Plaatsing van webshells en andere malware.
• Manipulatie van websitebestanden en databasegegevens.
• Ongeautoriseerde toegang tot gevoelige informatie.
• Het creëren van aanvullende toegangsmogelijkheden voor aanvallers.

De uitgevoerde code draait met de rechten van het proces dat de website verwerkt. De kwetsbaarheid geeft dus niet automatisch rootrechten op de server, maar kan wel leiden tot volledige compromittering van de betreffende WordPress-installatie.

Welke versies zijn kwetsbaar?

• CVE: CVE-2026-85097
• Software: Bricksforge voor WordPress
• Kwetsbare versies: 3.1.8.9 en ouder volgens Patchstack
• Beveiligingsupdate 3.x: 3.1.8.10
• Actuele beveiligingsupdate 4.x: 4.0.1
• Ernst: kritiek
• CVSS: 9.8 volgens de CVE-beoordeling; 10.0 volgens Patchstack
• Authenticatie vereist: nee
• Exploitstatus: actieve aanvalspogingen bevestigd

De ontwikkelaar bevestigt dat versie 4.0.1 een beveiligingsprobleem met Pro Forms-bestandsuploads verhelpt. Omdat de publieke kwetsbaarheidsregistratie vooral de 3.x-versies beschrijft, adviseren wij gebruikers van versie 4.0.0 eveneens onmiddellijk naar versie 4.0.1 te updaten.

Aanvallers misbruiken kwetsbare formulieren

De kwetsbaarheid ontstaat doordat Bricksforge bepaalde bestandsinformatie onvoldoende opnieuw controleert wanneer een formulier wordt verzonden.

Een aanvaller kan deze ontbrekende validatie misbruiken om een eerder geüpload bestand onder een uitvoerbare PHP-bestandsnaam op de server te laten opslaan.

Volgens Patchstack richten de waargenomen aanvallen zich voornamelijk op het volgende WordPress REST API-endpoint:

/wp-json/bricksforge/v1/form_submit

Ook de WordPress AJAX-functionaliteit wordt gebruikt om kwetsbare installaties aan te vallen.

Belangrijk: de ontwikkelaar meldt dat iedere website met de Pro Forms-functionaliteit ingeschakeld mogelijk kwetsbaar is, ook wanneer formulieren geen zichtbaar bestandsuploadveld bevatten.

Wordt de kwetsbaarheid actief misbruikt?

Ja. Patchstack bevestigt dat aanvallers sinds 7 oktober 2026 pogingen ondernemen om CVE-2026-85097 uit te buiten.

De onderzoekers registreerden activiteit afkomstig van 63 verschillende IP-adressen. Een deel van de aanvallen vertoonde kenmerken van geautomatiseerde exploitatie.

Deze waarnemingen bevestigen actieve aanvalspogingen, maar betekenen niet dat alle aangevallen websites daadwerkelijk zijn gecompromitteerd. Het aantal succesvol overgenomen websites is niet vastgesteld.

Hoe controleert u of uw website is aangevallen?

Beheerders van websites die een kwetsbare Bricksforge-versie gebruikten, wordt geadviseerd de website en serverlogs te onderzoeken.

Controleer in het bijzonder:

• POST-verzoeken naar /wp-json/bricksforge/v1/form_submit.
• Verdachte verzoeken met de parameter temporaryFileUploads.
• Onverwachte PHP-bestanden in /wp-content/uploads/.
• Verdachte bestanden in /wp-content/uploads/bricksforge/tmp/.
• Onbekende bestanden met namen zoals login_admin_*.php.
• Onbekende WordPress-beheerdersaccounts.
• Onverwachte wijzigingen in plugins, thema’s en WordPress-bestanden.

Controleer waar mogelijk ook historische logs vanaf 7 oktober 2026. Een inmiddels bijgewerkte plugin sluit niet uit dat eerder kwaadaardige bestanden zijn geplaatst.

Wanneer aanwijzingen voor compromittering worden aangetroffen, adviseren wij de website te isoleren, relevante logbestanden veilig te stellen en een volledig beveiligingsonderzoek uit te voeren voordat de website opnieuw beschikbaar wordt gemaakt.

Wat moeten websitebeheerders nu doen?

1. Controleer of Bricksforge op uw WordPress-website aanwezig is.
2. Werk Bricksforge onmiddellijk bij naar een beveiligde versie, bij voorkeur de actuele release 4.0.1 of nieuwer.
3. Controleer of de update daadwerkelijk is geïnstalleerd.
4. Onderzoek kwetsbare installaties op verdachte bestanden en activiteiten.
5. Controleer WordPress-gebruikersaccounts en administratieve wijzigingen.
6. Maak een betrouwbare back-up en controleer de integriteit van de website.
7. Gebruik waar mogelijk aanvullende bescherming tegen kwetsbare WordPress-componenten.

Patchstack heeft een specifieke beveiligingsregel beschikbaar gesteld om aanvallen op deze kwetsbaarheid tegen te houden. Dit kan aanvullende bescherming bieden wanneer een update niet onmiddellijk mogelijk is.

Een firewallregel is echter geen vervanging voor het installeren van de beveiligingsupdate.

WordPress-beveiliging bij Vservs

Kwetsbaarheden in WordPress-plugins kunnen ernstige gevolgen hebben voor websites, webshops en de gegevens die zij verwerken.

Vservs adviseert websitebeheerders om WordPress, geïnstalleerde plugins en thema’s regelmatig bij te werken en beveiligingsmeldingen tijdig op te volgen.

Met onze Managed VPS-oplossingen bieden wij professionele hostingomgevingen met aandacht voor serverbeheer, beveiligingsupdates en monitoring.

De beveiliging van applicaties blijft daarbij een gezamenlijke verantwoordelijkheid van de hostingprovider, websitebeheerder en eventuele websiteontwikkelaar.

Bronnen

• Patchstack – Technische analyse en bevestigde aanvalspogingen
• Patchstack – CVE-2026-85097 kwetsbaarheidsregistratie
• Bricksforge – Officiële versiegeschiedenis en beveiligingsupdate

Een ernstige LatePoint kwetsbaarheid kan WordPress-websites blootstellen aan SQL-injection en privilege-escalatie. Beveiligingsonderzoekers hebben twee afzonderlijke beveiligingsproblemen ontdekt, geregistreerd als CVE-2026-96662 en CVE-2026-104766. De kwetsbaarheden treffen verschillende versies van de populaire afsprakenplugin, die op meer dan 100.000 WordPress-websites wordt gebruikt.

De beveiligingsproblemen zijn geregistreerd als CVE-2026-96662 en CVE-2026-104766.

LatePoint wordt gebruikt door meer dan 100.000 WordPress-websites en biedt functionaliteit voor het beheren van afspraken, reserveringen, klanten en betalingen.

Beveiligingsonderzoekers van Wordfence hebben de kwetsbaarheden op 9 oktober 2026 openbaar gemaakt.

De problemen zijn opgelost in de inmiddels beschikbare beveiligingsupdates. Vservs adviseert alle LatePoint-gebruikers om direct versie 5.7.4 of nieuwer te installeren.

Wat is LatePoint?

LatePoint is een WordPress-plugin waarmee bedrijven online afspraken en reserveringen kunnen aanbieden.

De software wordt onder andere gebruikt door:

• zorgpraktijken en klinieken;
• consultants en zakelijke dienstverleners;
• kappers en schoonheidssalons;
• trainers en coaches;
• organisaties die afspraken en evenementen aanbieden.

LatePoint ondersteunt onder andere reserveringsformulieren, klantaccounts, betalingsverwerking en verschillende gebruikersrollen.

Omdat dergelijke websites regelmatig persoonsgegevens en afspraakgegevens verwerken, kunnen beveiligingsproblemen binnen de plugin aanzienlijke gevolgen hebben.

CVE-2026-96662: SQL-injection zonder authenticatie

De eerste kwetsbaarheid, CVE-2026-96662, betreft een SQL-injectionprobleem waarvoor geen bestaande WordPress-account noodzakelijk is.

De kwetsbaarheid bevindt zich in de verwerking van de parameter:

booking[service_id]

Volgens Wordfence wordt deze parameter onvoldoende veilig verwerkt voordat de waarde onderdeel wordt van een databasequery.

Hierdoor kan een aanvaller onder bepaalde omstandigheden de werking van SQL-query’s beïnvloeden.

Een succesvolle aanval kan worden gebruikt om gevoelige informatie uit de WordPress-database te verkrijgen.

Welke versies zijn kwetsbaar?

• CVE: CVE-2026-96662
• Kwetsbaarheid: SQL Injection
• Getroffen versies: Tot en met 5.7.2
• Eerste gecorrigeerde versie: 5.7.3
• CVSS 3.1: 7,5 – High
• Authenticatie vereist: Nee

CVE-2026-104766: privilege-escalatie via gebruikersrollen

De tweede kwetsbaarheid heeft mogelijk nog ernstigere gevolgen voor WordPress-installaties met een specifieke LatePoint-configuratie.

CVE-2026-104766 maakt het mogelijk om onder bepaalde omstandigheden de standaard WordPress-gebruikersrol voor nieuwe LatePoint-klanten te wijzigen.

Het probleem ontstaat doordat de plugin bepaalde instellingen onvoldoende controleert voordat wijzigingen worden opgeslagen.

Een gebruiker met de LatePoint-bevoegdheid settings__edit kan hierdoor mogelijk de instelling default_wp_role_for_customer aanpassen.

Deze instelling bepaalt welke WordPress-rol wordt toegekend aan nieuwe klanten die via LatePoint worden geregistreerd.

Door deze waarde te wijzigen naar administrator kunnen nieuwe klantaccounts onder bepaalde omstandigheden volledige WordPress-beheerdersrechten verkrijgen.

Welke voorwaarden gelden voor misbruik?

Volgens Wordfence moet aan meerdere voorwaarden worden voldaan:

• Een kwetsbare LatePoint-versie is geïnstalleerd.
• Een LatePoint-agent of aangepaste gebruikersrol beschikt over de bevoegdheid settings__edit.
• Deze bevoegdheid is door een WordPress-beheerder toegekend.
• De aanvaller kan de relevante LatePoint-instelling aanpassen.
• Na de wijziging wordt via LatePoint een nieuw klantaccount geregistreerd.

De kwetsbaarheid maakt dus niet automatisch iedere bezoeker tot WordPress-beheerder.

Er is een bestaande LatePoint-account met specifieke bevoegdheden noodzakelijk.

Welke versies zijn kwetsbaar?

• CVE: CVE-2026-104766
• Kwetsbaarheid: Privilege Escalation
• Getroffen versies: Tot en met 5.7.3
• Gecorrigeerde versie: 5.7.4
• CVSS 3.1: 8,8 – High
• Authenticatie vereist: Ja, met specifieke LatePoint-bevoegdheden

Welke risico’s lopen WordPress-websites?

De twee kwetsbaarheden hebben verschillende technische gevolgen.

Bij SQL-injection bestaat het risico dat vertrouwelijke databasegegevens worden blootgesteld.

Dit kan onder andere betrekking hebben op:

• WordPress-gebruikersgegevens;
• klant- en afspraakgegevens;
• opgeslagen configuratiegegevens;
• gegevens van andere WordPress-plugins;
• informatie die toegankelijk is voor het gebruikte databaseaccount.

De privilege-escalatiekwetsbaarheid kan onder de beschreven voorwaarden leiden tot volledige WordPress-beheerdersrechten.

Een aanvaller met dergelijke rechten kan mogelijk plugins installeren, website-instellingen wijzigen en aanvullende schadelijke code toevoegen.

Worden de kwetsbaarheden actief misbruikt?

Op 12 oktober 2026 is geen betrouwbare bevestiging gevonden van actieve exploitatiecampagnes gericht op CVE-2026-96662 of CVE-2026-104766.

De technische kwetsbaarheden zijn echter bevestigd door Wordfence en er zijn beveiligingsupdates beschikbaar.

Vanwege de mogelijke gevolgen adviseert Vservs om de updates met hoge prioriteit uit te voeren.

Controleer LatePoint op mogelijke compromittering

Beheerders die kwetsbare versies hebben gebruikt, moeten onder andere de volgende onderdelen controleren:

• onbekende WordPress-beheerdersaccounts;
• nieuwe klantaccounts met onverwachte beheerdersrechten;
• wijzigingen aan de standaardgebruikersrol van LatePoint-klanten;
• gebruikers met de LatePoint-bevoegdheid settings__edit;
• verdachte verzoeken met afwijkende waarden voor booking[service_id];
• onverwachte databasefouten;
• afwijkende activiteiten in webserver- en WordPress-auditlogs;
• onverklaarbare wijzigingen aan plugins of website-instellingen.

Deze controles zijn algemene onderzoeksmaatregelen. Er zijn geen universele Indicators of Compromise bevestigd waarmee iedere exploitatie van deze kwetsbaarheden kan worden vastgesteld.

Wat moeten WordPress-beheerders doen?

1. Controleer of LatePoint op de website is geïnstalleerd.
2. Werk LatePoint direct bij naar versie 5.7.4 of nieuwer.
3. Maak vooraf een actuele back-up van de website en database.
4. Controleer welke gebruikers toegang hebben tot LatePoint-instellingen.
5. Controleer of de standaard WordPress-rol voor nieuwe klanten correct is ingesteld.
6. Onderzoek onbekende beheerdersaccounts en verdachte wijzigingen.
7. Controleer na de update de werking van afspraken, reserveringen en betalingen.

Wanneer een update niet onmiddellijk mogelijk is, kan het tijdelijk uitschakelen van kwetsbare functionaliteit het aanvalsoppervlak beperken.

Een passende webapplicatiefirewall kan daarnaast aanvullende bescherming bieden tegen bepaalde SQL-injectionpogingen.

Deze maatregelen vervangen de beveiligingsupdate niet.

Managed WordPress Hosting bij Vservs

Websites die afspraken, klantgegevens en betalingen verwerken, vereisen zorgvuldig technisch beheer.

Met Managed WordPress Hosting van Vservs kunnen organisaties het technische onderhoud van hun WordPress-omgeving uitbesteden.

Vservs verzorgt binnen de afgesproken dienstverlening onder andere WordPress-updates, plugin- en themabeheer, beveiligingscontroles, monitoring en back-ups.

Voor websites met hogere eisen aan beveiliging en beschikbaarheid biedt Vservs daarnaast beheerde WordPress-omgevingen op een eigen VPS.

Conclusie

CVE-2026-96662 en CVE-2026-104766 zijn twee ernstige beveiligingskwetsbaarheden in LatePoint.

De problemen kunnen onder verschillende omstandigheden leiden tot SQL-injection en ongeautoriseerde verkrijging van WordPress-beheerdersrechten.

Vservs adviseert alle beheerders van LatePoint-websites om direct versie 5.7.4 of nieuwer te installeren en bestaande gebruikersrechten te controleren.

Bronnen

• Wordfence – CVE-2026-96662 SQL Injection
• Wordfence – CVE-2026-104766 Privilege Escalation
• WordPress.org – LatePoint en officiële versiegeschiedenis
• NIST NVD – CVE-2026-104766

Een kritieke kwetsbaarheid in het WordPress-thema Traveler kan aanvallers zonder bestaande gebruikersaccount in staat stellen om ongeautoriseerde databasequery’s uit te voeren.

Het beveiligingsprobleem is geregistreerd als CVE-2026-93947 en heeft een CVSS 3.1-score van 9,3.

De kwetsbaarheid betreft Blind SQL Injection en is op 9 oktober 2026 openbaar gemaakt.

Wat is Traveler CVE-2026-93947?

Traveler is een commercieel WordPress-thema dat voornamelijk wordt gebruikt voor reiswebsites, hotelreserveringen, vakantieverhuur, tours en boekingsplatformen.

Het thema bevat verschillende functies voor het beheren van accommodaties, reserveringen, beschikbaarheid en klantgegevens.

CVE-2026-93947 ontstaat doordat bepaalde gegevens die door bezoekers worden aangeleverd onvoldoende veilig worden verwerkt in SQL-databasequery’s.

Een aanvaller kan hierdoor onder specifieke omstandigheden de structuur of werking van een databasequery beïnvloeden.

Welke Traveler-versies zijn kwetsbaar?

• CVE: CVE-2026-93947
• Software: Traveler WordPress Theme
• Getroffen versies: Tot en met 3.2.9
• Eerste gecorrigeerde versie volgens de beschikbare CVE-informatie: 3.3
• Actuele aanbevolen versie: 3.4 of nieuwer
• Kwetsbaarheid: Blind SQL Injection
• CVSS 3.1: 9,3
• Ernst: Critical
• Authenticatie vereist: Nee

De ontwikkelaar heeft Traveler 3.3 op 25 september 2026 uitgebracht met beveiligingsverbeteringen.

Op 9 oktober 2026 verscheen versie 3.4 met aanvullende beveiligingsaanpassingen.

Vservs adviseert daarom om niet bij een oudere release te blijven, maar waar mogelijk direct de nieuwste ondersteunde versie te installeren.

Hoe werkt Blind SQL Injection?

WordPress gebruikt een database voor het opslaan van berichten, gebruikers, instellingen en aanvullende gegevens van plugins en thema’s.

Bij SQL-injection kan een aanvaller proberen om speciaal samengestelde invoer te laten verwerken als onderdeel van een databasequery.

Wanneer de betreffende query onvoldoende is beveiligd, kan deze invoer de werking van de databaseopdracht veranderen.

Bij Blind SQL Injection worden de resultaten niet noodzakelijk rechtstreeks zichtbaar voor de aanvaller.

Door verschillen in serverreacties, foutmeldingen of verwerkingstijden te analyseren, kan onder bepaalde omstandigheden toch informatie uit de database worden afgeleid.

Welke gegevens kunnen risico lopen?

De gevolgen zijn afhankelijk van de databaseconfiguratie en de rechten van het WordPress-databaseaccount.

Mogelijke risico’s zijn:

• ongeautoriseerde toegang tot opgeslagen databasegegevens;
• uitlezen van gebruikersinformatie;
• blootstelling van boekings- en reserveringsgegevens;
• inzicht in WordPress-configuratiegegevens;
• verhoogde databasebelasting door gemanipuleerde query’s;
• verstoring van de websitebeschikbaarheid.

De CVSS-classificatie vermeldt een hoge potentiële impact op vertrouwelijkheid.

Dit betekent niet dat voor iedere kwetsbare installatie daadwerkelijk gegevens zijn buitgemaakt.

Wordt CVE-2026-93947 actief uitgebuit?

Op 11 oktober 2026 is geen betrouwbare bevestiging gevonden van actieve exploitatiecampagnes die specifiek gericht zijn op CVE-2026-93947.

De kwetsbaarheid is wel ernstig vanwege de mogelijkheid om zonder authenticatie databasequery’s te beïnvloeden.

Omdat technische informatie over de kwetsbaarheid openbaar is, moeten beheerders rekening houden met mogelijke toekomstige exploitatiepogingen.

Controleer Traveler-websites op verdachte activiteiten

Wanneer een website langere tijd een kwetsbare Traveler-versie heeft gebruikt, is aanvullend onderzoek verstandig.

Controleer onder andere:

• ongebruikelijke verzoeken naar publieke boekings- en zoekfunctionaliteit;
• herhaalde verzoeken met afwijkende queryparameters;
• onverklaarbare databasefouten;
• opvallend lange verwerkingstijden van bepaalde verzoeken;
• onverwachte databasebelasting;
• verdachte wijzigingen aan WordPress-gebruikers;
• ongebruikelijke activiteiten in webserver- en database-auditlogs.

Deze controles zijn algemene onderzoekspunten en vormen geen specifieke, bevestigde Indicators of Compromise voor CVE-2026-93947.

Wat moeten beheerders doen?

1. Controleer of het Traveler-thema wordt gebruikt.
2. Controleer de geïnstalleerde themaversie.
3. Installeer Traveler 3.4 of een nieuwere gecorrigeerde versie.
4. Maak vooraf een actuele back-up.
5. Controleer ook de bij Traveler behorende plugins.
6. Test reserveringen, betalingen en andere belangrijke functionaliteit na de update.
7. Controleer de database en beschikbare serverlogs op verdachte activiteiten.
8. Beperk de rechten van het WordPress-databaseaccount tot wat noodzakelijk is.

Wanneer bijwerken niet direct mogelijk is, kan een webapplicatiefirewall met geschikte SQL-injectiondetectie aanvullende bescherming bieden.

Een WAF vervangt de beveiligingsupdate niet.

Managed WordPress Hosting bij Vservs

WordPress-websites met reserverings- of betalingsfunctionaliteit stellen aanvullende eisen aan beveiliging en beschikbaarheid.

Met Managed WordPress Hosting van Vservs kunnen organisaties hun WordPress-omgeving technisch laten beheren.

Vservs biedt onder andere beheerde WordPress-omgevingen met monitoring, beveiligingsupdates en back-ups.

Voor websites met intensieve databaseactiviteiten of bedrijfskritische functionaliteit zijn ook eigen beheerde VPS-omgevingen beschikbaar.

Conclusie

CVE-2026-93947 is een kritieke SQL-injectionkwetsbaarheid in het WordPress-thema Traveler.

Een aanvaller kan onder bepaalde omstandigheden zonder bestaande gebruikersaccount databasegegevens benaderen.

Vservs adviseert beheerders van Traveler-websites om direct naar versie 3.4 of nieuwer bij te werken.

Bronnen

• NIST NVD – CVE-2026-93947
• Traveler – Officiële versiegeschiedenis
• Patchstack – Traveler SQL Injection

Beveiligingsonderzoekers van Wordfence waarschuwen voor een kritieke kwetsbaarheid in Avada, een veelgebruikt WordPress-thema met een eigen pagebuilder. De kwetsbaarheid, geregistreerd als CVE-2026-97670, maakt het onder specifieke omstandigheden mogelijk om zonder authenticatie interne WordPress-acties uit te voeren.

Een succesvolle aanval kan leiden tot ongeautoriseerde wijzigingen, verstoring van websitefunctionaliteit en zelfs het permanent verwijderen van bepaalde websitegegevens.

De kwetsbaarheid heeft een CVSS 3.1-score van 9,1 en wordt als kritiek beschouwd.

Wat is Avada CVE-2026-97670?

Avada is een uitgebreid WordPress-thema waarmee websites, webshops, formulieren en dynamische pagina’s kunnen worden ontwikkeld.

De kwetsbaarheid bevindt zich in de verwerking van formuliergegevens binnen de bijbehorende Avada Builder-functionaliteit.

WordPress gebruikt zogenaamde action hooks waarmee interne functies op bepaalde momenten worden uitgevoerd.

Onder normale omstandigheden mogen gevoelige acties uitsluitend worden gestart wanneer de gebruiker daarvoor voldoende rechten heeft.

Bij CVE-2026-97670 worden bepaalde aangeleverde formuliergegevens onvoldoende gecontroleerd voordat een WordPress-action-hook wordt aangeroepen.

Hierdoor kan een externe aanvaller onder specifieke omstandigheden WordPress-acties laten uitvoeren waarvoor normaal gesproken aanvullende autorisatie vereist is.

Welke Avada-versies zijn kwetsbaar?

• CVE: CVE-2026-97670
• Software: Avada / Fusion Builder
• Getroffen versies volgens Wordfence: Tot en met Avada-versieniveau 7.16.1
• Gecorrigeerde Avada-release: 7.16.2
• CVSS 3.1: 9,1
• Ernst: Critical
• Authenticatie vereist: Nee
• Gebruikersinteractie vereist: Nee

Avada heeft versie 7.16.2 op 30 september 2026 uitgebracht.

Deze release bevat meerdere beveiligingscorrecties, waaronder verbeteringen aan de verwerking van Avada Forms en notificatieberichten.

Let op: Avada bestaat uit een thema en bijbehorende plugins. De afzonderlijke Builder-plugin kan een andere versienummering gebruiken. Controleer daarom of zowel het thema als de bijbehorende Avada-componenten zijn bijgewerkt via het officiële updatesysteem.

Hoe werkt de kwetsbaarheid?

De kwetsbaarheid ontstaat bij het verwerken van formuliergegevens en dynamische velden.

Onder bepaalde omstandigheden kunnen gegevens die via een publiek toegankelijk formulier worden ingestuurd, terechtkomen in de verwerking van interne WordPress-action-hooks.

De beveiligingscontrole maakt daarbij onvoldoende onderscheid tussen vertrouwde en door bezoekers aangeleverde gegevens.

Hierdoor kan een aanvaller proberen WordPress-acties uit te voeren die niet rechtstreeks beschikbaar horen te zijn voor bezoekers.

Welke gevolgen kan een aanval hebben?

Wordfence heeft technisch aangetoond dat de kwetsbaarheid kan worden gebruikt om WordPress-acties zonder authenticatie uit te voeren.

Bij een gecontroleerde test konden eerder naar de prullenbak verplaatste berichten, pagina’s en reacties permanent worden verwijderd.

Afhankelijk van de aanwezige plugins en geregistreerde action hooks kunnen ook andere gevolgen optreden.

Mogelijke gevolgen zijn:

• ongeautoriseerde wijzigingen aan websitegegevens;
• permanent verwijderen van bepaalde content;
• verstoring van websitefunctionaliteit;
• ongewenst uitvoeren van interne WordPress-processen;
• aanvullende ongeautoriseerde acties via kwetsbare extensies.

De kwetsbaarheid betekent niet automatisch dat een aanvaller volledige beheerdersrechten of directe toegang tot het besturingssysteem verkrijgt.

De daadwerkelijke impact is afhankelijk van de beschikbare WordPress-hooks en geïnstalleerde uitbreidingen.

Onder welke omstandigheden is misbruik mogelijk?

Volgens Wordfence vereist de beschreven aanval een specifieke formulierconfiguratie.

• Een kwetsbare Avada-versie is geïnstalleerd.
• Er is een publiek toegankelijk Avada-formulier aanwezig.
• Het formulier gebruikt AJAX-verzending.
• De notificatieconfiguratie verwerkt formuliergegevens via daarvoor geschikte placeholders.

De standaardconfiguratie van bepaalde Avada-formulieren kan aan deze voorwaarden voldoen.

Websites zonder dergelijke formulieren hebben mogelijk een beperkter aanvalsoppervlak, maar moeten de beveiligingsupdate eveneens installeren.

Wordt CVE-2026-97670 actief misbruikt?

Op 11 oktober 2026 is geen betrouwbare bevestiging gevonden van actieve exploitatiecampagnes die specifiek gebruikmaken van CVE-2026-97670.

Wordfence heeft de technische exploitatiemogelijkheid wel aangetoond.

Het ontbreken van bevestigde aanvallen is geen reden om de beveiligingsupdate uit te stellen.

Controleer Avada-websites op verdachte activiteiten

Beheerders van websites die een getroffen versie hebben gebruikt, kunnen onder andere de volgende onderdelen controleren:

• verdachte verzoeken naar publieke Avada-formulieren;
• onverklaarbare wijzigingen aan berichten en pagina’s;
• onverwachte verwijderingen uit de WordPress-prullenbak;
• afwijkende activiteiten in beschikbare auditlogs;
• ongebruikelijke AJAX-verzoeken;
• onverklaarbare fouten of onderbrekingen van WordPress-processen;
• onverwachte wijzigingen aan plugins en website-instellingen.

Deze controles zijn algemene onderzoekspunten. Er zijn geen algemeen toepasbare Indicators of Compromise gepubliceerd waarmee ieder misbruik van deze kwetsbaarheid kan worden aangetoond.

Wat moeten WordPress-beheerders doen?

1. Controleer de geïnstalleerde Avada-versie.
2. Werk Avada bij naar versie 7.16.2 of een nieuwere gecorrigeerde versie.
3. Controleer of ook de bijbehorende Avada Builder-componenten zijn bijgewerkt.
4. Maak vooraf een actuele back-up van websitebestanden en database.
5. Controleer na het bijwerken alle belangrijke websitefunctionaliteiten.
6. Controleer publieke Avada-formulieren en notificatie-instellingen.
7. Onderzoek verdachte activiteiten wanneer een kwetsbare versie bereikbaar is geweest.

Wanneer bijwerken niet onmiddellijk mogelijk is, kan het tijdelijk uitschakelen van kwetsbaar geconfigureerde publieke formulieren het aanvalsoppervlak beperken.

Een passende webapplicatiefirewall kan aanvullende bescherming bieden, maar vervangt de beveiligingsupdate niet.

Managed WordPress Hosting bij Vservs

Kwetsbaarheden zoals CVE-2026-97670 onderstrepen het belang van actief technisch WordPress-beheer.

Met Managed WordPress Hosting van Vservs kunnen organisaties het technische onderhoud en de beveiliging van hun WordPress-omgeving uitbesteden.

Vservs verzorgt binnen de afgesproken dienstverlening onder andere het beheer van WordPress Core, plugins, thema’s, beveiligingsupdates, monitoring en back-ups.

Ook voor WordPress-websites met een eigen VPS biedt Vservs beheerde hostingoplossingen.

Conclusie

CVE-2026-97670 is een kritieke kwetsbaarheid in Avada waarmee aanvallers onder bepaalde omstandigheden zonder authenticatie interne WordPress-acties kunnen uitvoeren.

Hoewel actieve exploitatie niet is bevestigd, is de technische impact aanzienlijk.

Vservs adviseert alle Avada-gebruikers om direct te controleren of versie 7.16.2 of nieuwer is geïnstalleerd.

Bronnen

• Wordfence – CVE-2026-97670
• Avada – Officiële beveiligingsupdate 7.16.2
• NIST NVD – CVE-2026-97670

De Microsoft Exchange kwetsbaarheid CVE-2026-96940 maakt het mogelijk voor een aanvaller met geldige inloggegevens om zijn rechten binnen een kwetsbare Exchange Server-omgeving te verhogen. Het Nationaal Cyber Security Centrum (NCSC) waarschuwt organisaties met on-premises Microsoft Exchange om de beschikbare beveiligingsupdate zo snel mogelijk te installeren.

CVE-2026-96940 heeft een CVSS-score van 8,8 High. Microsoft heeft de kwetsbaarheid op 2 oktober 2026 verholpen met een V2 van de September 2026 Exchange Server Security Updates. Exchange Online is door Microsoft centraal bijgewerkt en vereist voor deze kwetsbaarheid geen actie van klanten.

Wat is de Microsoft Exchange kwetsbaarheid CVE-2026-96940?

CVE-2026-96940 is een privilege-escalatiekwetsbaarheid in Microsoft Exchange Server.

Volgens Microsoft wordt het beveiligingsprobleem veroorzaakt door onvoldoende autorisatiecontroles. Een geauthenticeerde aanvaller kan de kwetsbaarheid via het netwerk misbruiken om hogere rechten te verkrijgen dan waarvoor het betreffende account oorspronkelijk is geautoriseerd.

De gepubliceerde CVSS 3.1-vector luidt:

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Daaruit volgen onder andere de volgende eigenschappen:

• Attack Vector: Network;
• Attack Complexity: Low;
• Privileges Required: Low;
• User Interaction: None;
• Confidentiality Impact: High;
• Integrity Impact: High;
• Availability Impact: High.

Microsoft kent CVE-2026-96940 een CVSS-score van 8,8 High toe.

Een geldig Exchange-account is vereist

CVE-2026-96940 is geen kwetsbaarheid waarmee een volledig anonieme internetgebruiker rechtstreeks zonder credentials een Exchange Server kan overnemen.

Een aanvaller moet eerst beschikken over geldige inloggegevens voor de getroffen Exchange-omgeving.

Dat maakt beveiliging van gebruikersaccounts extra belangrijk. Gestolen wachtwoorden, phishing, hergebruikte credentials of een eerder gecompromitteerd account kunnen een aanvaller het toegangspunt geven dat nodig is om vervolgens te proberen deze kwetsbaarheid te misbruiken.

Na succesvolle exploitatie kan de aanvaller meer rechten verkrijgen dan aan het oorspronkelijke account waren toegekend.

Welke Exchange Server-versies zijn kwetsbaar?

Microsoft en het NCSC noemen de volgende getroffen Exchange Server-versies:

• Exchange Server 2016 CU23: versies vóór 15.01.2507.075;
• Exchange Server 2019 CU14: versies vóór 15.02.1544.048;
• Exchange Server 2019 CU15: versies vóór 15.02.1748.053;
• Exchange Server Subscription Edition RTM: versies vóór 15.02.2562.053.

Exchange Server 2016 en 2019 zijn inmiddels buiten de reguliere ondersteuning. De betreffende updates zijn voor deze versies alleen beschikbaar voor organisaties die deelnemen aan het toepasselijke Microsoft Extended Security Update-programma.

Microsoft adviseert organisaties die geen gebruikmaken van dit ESU-programma om naar Exchange Server Subscription Edition te migreren.

Exchange Online is al beschermd

Organisaties die uitsluitend Microsoft Exchange Online gebruiken hoeven voor CVE-2026-96940 geen afzonderlijke beveiligingsupdate te installeren.

Microsoft heeft de noodzakelijke bescherming voor Exchange Online centraal uitgerold.

Organisaties met een hybride Exchange-omgeving moeten wel controleren of er nog lokale Exchange Servers of Exchange Management Tools aanwezig zijn waarop de betreffende updates moeten worden geïnstalleerd.

NCSC: kans op misbruik middelgroot, mogelijke schade hoog

Het Nederlandse NCSC heeft op 6 oktober 2026 een afzonderlijke waarschuwing gepubliceerd voor CVE-2026-96940.

Het NCSC beoordeelt de kans op misbruik als middelgroot en de mogelijke schade als hoog.

Een aanvaller die de kwetsbaarheid succesvol misbruikt kan volgens het NCSC ongeautoriseerde administratieve acties uitvoeren of toegang verkrijgen tot gevoelige informatie.

Het NCSC adviseert organisaties die Microsoft Exchange Server on-premises beheren daarom de beschikbare beveiligingsupdates zo snel mogelijk te installeren.

Wordt CVE-2026-96940 actief misbruikt?

Op het moment van deze publicatie is geen actieve exploitatie van CVE-2026-96940 bevestigd.

Het NCSC meldt expliciet dat er geen bewijs is dat de kwetsbaarheid momenteel actief wordt misbruikt.

Ook de beschikbare CISA SSVC-data registreert op dit moment geen waargenomen exploitatie.

Dat betekent niet dat organisaties de update kunnen uitstellen. De kwetsbaarheid is publiek bekend, heeft een CVSS-score van 8,8 en een aanvaller met een gecompromitteerd account kan proberen zijn toegang verder uit te breiden.

Microsoft bracht een aanvullende V2-securityupdate uit

Microsoft publiceerde op 2 oktober 2026 een V2 van de September 2026 Exchange Server Security Updates.

Het belangrijkste verschil tussen de oorspronkelijke septemberupdate en de V2-release is de toevoeging van CVE-2026-96940.

Organisaties die de oorspronkelijke September 2026 Security Update al hadden geïnstalleerd, moeten daarom controleren of ook de V2-update is toegepast.

Microsoft adviseert na installatie de Exchange Server Health Checker uit te voeren om te controleren of de update correct is geïnstalleerd en of aanvullende acties nodig zijn.

Wat moeten Exchange-beheerders nu doen?

1. Controleer of binnen de organisatie een on-premises Microsoft Exchange Server aanwezig is.
2. Controleer de exacte Exchange-versie en build.
3. Installeer de September 2026 V2 Security Update die bij de betreffende Exchange-versie hoort.
4. Controleer hybride omgevingen ook op lokale Exchange Management Tools.
5. Voer na installatie de Microsoft Exchange Server Health Checker uit.
6. Controleer gebruikersaccounts op verdachte aanmeldingen of onverwachte privilegewijzigingen.
7. Controleer of accounts met verhoogde rechten daadwerkelijk noodzakelijk zijn.
8. Onderzoek verdachte authenticatiegebeurtenissen in de beschikbare Exchange-, Windows- en securitylogs.

Controle op mogelijke compromittering

Omdat een aanvaller voor CVE-2026-96940 eerst over geldige credentials moet beschikken, is het belangrijk niet alleen naar Exchange zelf te kijken.

Controleer onder andere op:

• aanmeldingen vanaf onbekende IP-adressen of locaties;
• onverwachte succesvolle logins buiten normale werktijden;
• gebruik van accounts die normaal nauwelijks actief zijn;
• onverwachte wijzigingen in Exchange- of mailboxrechten;
• ongeautoriseerde administratieve acties;
• onverklaarbare toegang tot andere mailboxen of gevoelige informatie;
• nieuwe of gewijzigde forwardingregels;
• verdachte inboxregels;
• onverwachte wijzigingen aan Exchange-configuratie;
• andere aanwijzingen dat een gebruikersaccount eerder via phishing of credential theft is overgenomen.

Er zijn op dit moment geen betrouwbare publieke indicators of compromise waarmee uitsluitend op basis van één request kan worden vastgesteld dat CVE-2026-96940 succesvol is misbruikt.

Zakelijke e-mail hoeft niet automatisch Microsoft Exchange te betekenen

Voor veel organisaties is e-mail een van de meest bedrijfskritische onderdelen van de IT-omgeving. Tegelijk bevat een zakelijke mailbox vaak bijzonder gevoelige informatie: contracten, financiële documenten, persoonsgegevens, juridische correspondentie, medische informatie en interne bedrijfscommunicatie.

Daarom is niet alleen de functionaliteit van een mailplatform belangrijk. Ook de locatie van de gegevens, het technisch beheer, de beveiligingsarchitectuur, toegangscontrole, back-ups en afspraken over gegevensverwerking verdienen aandacht.

Vservs biedt met Kerio Connect een professioneel alternatief voor organisaties die hun zakelijke e-mail niet volledig afhankelijk willen maken van Microsoft 365 of Exchange Online.

Vservs Kerio Connect: zakelijke mail gehost in Europa

Met Vservs Kerio Connect bieden wij zakelijke e-mail op een professioneel beheerde mailserver, met hosting binnen Europa en technische ondersteuning door Vservs.

Dit maakt de dienst met name interessant voor organisaties die bewust willen nadenken over waar hun e-maildata wordt verwerkt en welke partijen betrokken zijn bij het beheer van hun mailomgeving.

Europese hosting betekent niet automatisch dat een organisatie daarmee volledig aan de AVG/GDPR voldoet. AVG-compliance is breder en hangt onder andere af van de verwerking zelf, technische en organisatorische maatregelen, toegangsbeheer, bewaartermijnen, verwerkersafspraken en eventuele subverwerkers.

Een mailomgeving waarbij hosting, beheer en beveiliging bewust binnen een Europese infrastructuur worden ingericht, kan echter wel een belangrijke bouwsteen vormen binnen een AVG/GDPR-strategie.

Interessant voor zorg, juridisch en privacygevoelige organisaties

Vservs Kerio Connect is bijzonder geschikt voor organisaties die meer controle willen over hun zakelijke e-mailomgeving.

Denk bijvoorbeeld aan:

• advocatenkantoren en juridische dienstverleners;
• psychologen en andere zorgverleners;
• adviesbureaus;
• gemeenten en maatschappelijke organisaties;
• onderwijsinstellingen;
• bedrijven die persoonsgegevens en vertrouwelijke bedrijfsinformatie per e-mail verwerken;
• organisaties die minder afhankelijk willen zijn van grote internationale cloudmailplatformen.

Voor dergelijke organisaties kijken wij niet alleen naar het beschikbaar stellen van een mailbox, maar ook naar de beveiliging en technische inrichting van de mailomgeving.

Twee-factor-authenticatie voor Webmail en beheer

Kerio Connect ondersteunt Two-Factor Authentication (2FA). Hiermee kan naast het normale accountwachtwoord een tweede authenticatiefactor worden vereist voor interactieve toegang.

Vservs kan 2FA binnen de Kerio Connect-omgeving per domein inschakelen en verplicht stellen voor gebruikers.

Dit verkleint het risico dat een gestolen gebruikerswachtwoord op zichzelf voldoende is om via Webmail toegang tot een mailbox te verkrijgen.

IMAP en SMTP gebruiken afzonderlijke applicatiewachtwoorden

Bij traditionele mailclients werkt 2FA technisch anders dan bij een interactieve Webmail-login.

Nadat 2FA voor een Kerio Connect-account is geactiveerd, wordt voor ondersteunde mailclients en protocollen zoals IMAP, POP3 en SMTP een afzonderlijk applicatiewachtwoord gebruikt.

Het normale accountwachtwoord wordt voor deze verbindingen dan niet meer gebruikt.

Een applicatiewachtwoord wordt specifiek voor een toepassing aangemaakt. Volgens de Kerio-documentatie kan een dergelijk applicatiewachtwoord niet worden gebruikt om via Webmail of WebAdmin in te loggen.

Wordt bijvoorbeeld het applicatiewachtwoord van één mailclient gecompromitteerd, dan geeft dat wachtwoord daardoor niet automatisch toegang tot de interactieve Webmail- of beheeromgeving.

Een applicatiewachtwoord is geen tweede factor bij iedere afzonderlijke IMAP- of SMTP-verbinding. Het is een specifiek credential waarmee traditionele mailprotocollen kunnen blijven functioneren nadat 2FA op het account is ingeschakeld.

Beveiligde verbindingen en mailserverbeheer

Een professionele mailomgeving bestaat uit meer dan alleen gebruikersnaam en wachtwoord.

Bij een door Vservs beheerde Kerio Connect-omgeving kunnen onder andere de volgende beveiligingsmaatregelen onderdeel zijn van de inrichting:

• TLS-versleutelde verbindingen voor mailprotocollen;
• Two-Factor Authentication voor interactieve gebruikerslogin;
• applicatiespecifieke wachtwoorden voor mailclients;
• beveiligde SMTP-authenticatie;
• spam- en malwarebescherming;
• DKIM-ondertekening;
• SPF- en DMARC-configuratie;
• TLSA/DANE waar dit binnen de betreffende configuratie wordt toegepast;
• monitoring van de mailserver;
• beveiligingsupdates en technisch serverbeheer;
• back-ups en herstelmogelijkheden.

Welke maatregelen noodzakelijk zijn, hangt af van de organisatie, het risicoprofiel en de overeengekomen dienstverlening.

AVG/GDPR: controle over de mailomgeving als uitgangspunt

De AVG schrijft niet voor dat iedere organisatie één specifiek mailproduct moet gebruiken of dat e-mail uitsluitend binnen Nederland moet worden gehost.

Organisaties moeten wel passende technische en organisatorische maatregelen nemen voor de bescherming van persoonsgegevens.

Daarbij kunnen onder andere de locatie van gegevensverwerking, toegangsbeveiliging, encryptie, logging, back-ups, verwerkersafspraken en de betrokken leveranciers relevant zijn.

Vservs positioneert Kerio Connect daarom niet als een product dat automatisch “AVG-conformiteit garandeert”.

Wij bieden organisaties wél de mogelijkheid om zakelijke e-mail onder te brengen in een professioneel beheerde Europese mailomgeving waarbij gegevensbescherming, beveiliging en duidelijke afspraken over het beheer centraal staan.

Meer controle over zakelijke e-mail

Microsoft 365 en Exchange Online zijn voor veel organisaties uitstekende oplossingen. Voor andere organisaties kan juist meer controle over de technische mailomgeving, hostinglocatie en het beheer wenselijk zijn.

Kerio Connect biedt daarbij vertrouwde zakelijke mailfunctionaliteit zoals:

• e-mail;
• agenda’s;
• contactpersonen;
• gedeelde agenda’s en resources;
• Webmail;
• mobiele synchronisatie;
• IMAP- en SMTP-ondersteuning;
• Two-Factor Authentication;
• applicatiewachtwoorden.

Daardoor kan Kerio Connect worden ingezet als volwaardige zakelijke mailomgeving zonder dat alle mailboxdata noodzakelijk binnen Microsoft 365 hoeft te worden ondergebracht.

Overstappen van Microsoft Exchange naar Kerio Connect

Organisaties die hun huidige Exchange- of Microsoft 365-omgeving willen heroverwegen, kunnen bij Vservs terecht voor een inventarisatie van de mogelijkheden.

Daarbij kijken we onder andere naar:

• het aantal mailboxen;
• benodigde opslagcapaciteit;
• agenda’s en gedeelde resources
  

Een nieuw Kirki beveiligingslek maakt Stored Cross-Site Scripting (XSS) mogelijk zonder dat een aanvaller over een WordPress-account hoeft te beschikken. De kwetsbaarheid is geregistreerd als CVE-2026-102173 en heeft volgens Wordfence een CVSS-score van 7.2 High.

Kirki wordt volgens WordPress.org op meer dan 500.000 WordPress-installaties actief gebruikt.

De kwetsbaarheid treft Kirki-versies tot en met 6.3.1 en is opgelost in versie 6.3.2.

Wat is het Kirki beveiligingslek CVE-2026-102173?

Kirki is een WordPress-plugin voor websiteontwikkeling en het aanpassen van WordPress-thema’s.

De plugin biedt onder andere uitgebreide Customizer-functionaliteit, visuele websiteontwikkeling, dynamische content en mogelijkheden voor het opbouwen van formulieren en gebruikersinterfaces.

Kirki wordt ook gebruikt als technisch framework binnen WordPress-thema’s.

CVE-2026-102173 is een Stored Cross-Site Scripting-kwetsbaarheid in de verwerking van registratiegegevens.

Volgens Wordfence ontstaat het beveiligingsprobleem doordat bepaalde gebruikersmetadata onvoldoende wordt gecontroleerd voordat deze in een HTML-afbeeldingselement wordt verwerkt.

Welke Kirki-versies zijn kwetsbaar?

• Kirki 6.3.1 en ouder: kwetsbaar.
• Kirki 6.3.2 en nieuwer: beveiligingsprobleem opgelost.

Wordfence heeft de kwetsbaarheid geregistreerd als CVE-2026-102173.

De CVSS 3.1-score bedraagt 7.2, waarmee het beveiligingsprobleem als High wordt geclassificeerd.

Vservs adviseert om direct de meest recente stabiele Kirki-versie te installeren.

Hoe werkt de Stored XSS-kwetsbaarheid?

De kwetsbaarheid bevindt zich in de functie ExceptionalElements::image_element().

Deze functie verwerkt onder bepaalde omstandigheden gebruikersmetadata in een HTML-afbeeldingselement.

Een waarde uit de gebruikersmetadata kan onvoldoende gecontroleerd terechtkomen in het src-attribuut van een afbeelding.

Hierdoor kan een aanvaller onder specifieke omstandigheden kwaadaardige JavaScript-code laten opslaan.

Wanneer een getroffen pagina vervolgens wordt weergegeven, kan deze code in de browser van een bezoeker worden uitgevoerd.

Dit wordt Stored Cross-Site Scripting genoemd, omdat de schadelijke invoer eerst binnen de applicatie wordt opgeslagen en vervolgens bij het openen van de betreffende pagina wordt verwerkt.

Wanneer kan CVE-2026-102173 worden misbruikt?

Niet iedere WordPress-installatie waarop Kirki actief is, kan automatisch via deze kwetsbaarheid worden aangevallen.

Volgens de technische beschrijving van Wordfence moet aan specifieke voorwaarden worden voldaan:

• De website gebruikt een kwetsbare Kirki-versie.
• Openbare gebruikersregistratie is ingeschakeld.
• Er bestaat een gepubliceerde pagina met een kirki-register-element.
• Een Kirki-gebruikerscollectie toont een afbeeldingselement dat gekoppeld is aan een van de betrokken registratievelden.

Wanneer deze voorwaarden aanwezig zijn, kan een aanvaller zonder vooraf bestaand WordPress-account proberen om schadelijke gegevens via het registratieproces op te slaan.

De kwetsbaarheid vereist in dat geval geen reeds bestaande gebruikersrechten.

Wat zijn de mogelijke gevolgen?

Een succesvolle Stored XSS-aanval kan ervoor zorgen dat kwaadaardige JavaScript-code wordt uitgevoerd binnen de context van de getroffen WordPress-website.

Afhankelijk van de bezochte pagina en de rechten van de betreffende gebruiker kan dit gevolgen hebben voor de vertrouwelijkheid en integriteit van gegevens.

Mogelijke risico’s zijn:

• Het manipuleren van weergegeven website-inhoud.
• Het uitvoeren van ongewenste JavaScript-acties.
• Het misleiden van bezoekers via geïnjecteerde inhoud.
• Het benaderen van gegevens die binnen de browsercontext toegankelijk zijn.
• Het uitvoeren van ongewenste acties binnen een bestaande gebruikerssessie, afhankelijk van de omstandigheden.

Een Stored XSS-kwetsbaarheid betekent niet automatisch dat een aanvaller direct volledige toegang krijgt tot WordPress of de onderliggende server.

De daadwerkelijke impact is afhankelijk van de exploitatieomstandigheden en de context waarin de schadelijke code wordt uitgevoerd.

Meer dan 500.000 actieve Kirki-installaties

Volgens de officiële WordPress Plugin Directory heeft Kirki meer dan 500.000 actieve installaties.

Daarmee behoort Kirki tot de WordPress-componenten met een aanzienlijke installed base.

Dit betekent niet dat al deze websites daadwerkelijk voldoen aan de voorwaarden voor succesvolle exploitatie.

De combinatie van een grote installed base en een kwetsbaarheid die zonder bestaande gebruikersrechten kan worden misbruikt, maakt tijdig patchen echter belangrijk.

Wordt CVE-2026-102173 actief misbruikt?

Op 8 oktober 2026 is geen betrouwbare publieke bevestiging gevonden dat CVE-2026-102173 actief wordt misbruikt.

Wordfence heeft de technische details en de kwetsbare versies gepubliceerd, maar vermeldt in de geraadpleegde advisory geen bevestigde actieve aanvalscampagne.

Het ontbreken van bevestigde exploitatie betekent niet dat kwetsbare WordPress-installaties veilig zijn.

Nu de kwetsbaarheid openbaar is en er een beveiligingsupdate beschikbaar is, adviseert Vservs om niet op een bevestiging van daadwerkelijk misbruik te wachten.

Kirki onmiddellijk bijwerken naar versie 6.3.2

De kwetsbaarheid is verholpen in Kirki 6.3.2.

WordPress-beheerders kunnen de geïnstalleerde versie controleren via:

WordPress Dashboard → Plugins → Geïnstalleerde plugins

Controleer daar of Kirki aanwezig is en welke versie wordt gebruikt.

Werk kwetsbare installaties bij naar minimaal versie 6.3.2 of een nieuwere stabiele versie.

Maak vooraf een actuele back-up van de website en database.

Wanneer Kirki door een WordPress-thema wordt gebruikt, adviseren wij om na de update ook de Customizer-functionaliteit en belangrijke onderdelen van de website te controleren.

Controleer of openbare gebruikersregistratie is ingeschakeld

Omdat openbare gebruikersregistratie een voorwaarde is voor de beschreven exploitatie, is het verstandig deze instelling te controleren.

Dit kan via:

WordPress Dashboard → Instellingen → Algemeen

Controleer of de optie waarmee bezoekers zichzelf kunnen registreren is ingeschakeld.

Wanneer openbare registratie niet noodzakelijk is, adviseren wij deze uit te schakelen.

Voor websites die gebruikersregistratie nodig hebben, is het belangrijk om de officiële beveiligingsupdate onmiddellijk te installeren.

Het uitsluitend uitschakelen van registratie is geen structurele vervanging voor de patch.

Controleer Kirki-registratieformulieren en gebruikersmetadata

Websites waarop een kwetsbare Kirki-versie actief was, kunnen aanvullend worden gecontroleerd op verdachte registratiegegevens.

Controleer onder andere:

• Onbekende gebruikersaccounts die recent zijn aangemaakt.
• Onverwachte HTML- of JavaScript-inhoud in registratievelden.
• Verdachte waarden in gebruikersmetadata.
• Ongebruikelijke registratieverzoeken in webserverlogs.
• Gepubliceerde pagina’s die gebruikmaken van kirki-register.
• Kirki-gebruikerscollecties waarin registratiegegevens als afbeelding worden weergegeven.
• Onverklaarbare JavaScript-activiteiten op getroffen pagina’s.

WordPress-beheerders met toegang tot WP-CLI kunnen de huidige Kirki-versie controleren met:

wp plugin get kirki --field=version

De instelling voor openbare registratie kan worden gecontroleerd met:

wp option get users_can_register

Deze controles geven inzicht in de configuratie, maar vormen geen volledige beveiligingsscan.

Alleen updaten verwijdert geen eerder opgeslagen schadelijke inhoud

Wanneer een Stored XSS-kwetsbaarheid al succesvol is misbruikt, kunnen schadelijke gegevens in de database achterblijven.

Het installeren van Kirki 6.3.2 voorkomt verdere exploitatie via het gecorrigeerde codepad, maar verwijdert niet automatisch iedere eerder opgeslagen verdachte waarde.

Bij aanwijzingen voor daadwerkelijk misbruik moeten daarom ook gebruikersmetadata en eventuele wijzigingen binnen WordPress worden onderzocht.

Controleer daarbij of de getroffen pagina na het installeren van de update geen onverwachte scripts meer uitvoert.

Verantwoordelijkheid voor WordPress-securityupdates

Klanten zonder Managed WordPress/CMS-onderhoud of een afzonderlijk overeengekomen managed CMS-dienst zijn zelf verantwoordelijk voor het tijdig bijwerken van WordPress, plugins, extensies en thema’s.

Wanneer misbruik, malware of aantoonbaar achterstallig onderhoud ervoor zorgt dat een website een risico vormt voor onze infrastructuur, andere klanten of derden, kan Vservs de betreffende website of dienst tijdelijk isoleren of uitschakelen.

Dit gebeurt uitsluitend als veiligheids- en continuïteitsmaatregel om verdere schade of verstoring te voorkomen.

Managed WordPress Hosting bij Vservs

Het Kirki beveiligingslek onderstreept waarom WordPress-beveiliging niet ophoudt bij het actualiseren van WordPress Core.

Ook populaire plugins en componenten die door WordPress-thema’s worden gebruikt, kunnen beveiligingsrisico’s introduceren.

Met Vservs Managed WordPress Hosting verzorgen wij onder andere het technisch beheer van WordPress Core, plugins en thema’s, beveiligingsupdates, monitoring, security hardening en back-ups.

Voor bedrijfskritische websites en WooCommerce-webshops zijn daarnaast Managed WordPress Pro en Managed WordPress Private beschikbaar.

Samenvatting

• Software: Kirki – Freeform Page Builder, Website Builder & Customizer.
• Ontwikkelaar: Themeum.
• CVE: CVE-2026-102173.
• Kwetsbaarheid: Stored Cross-Site Scripting.
• CVSS: 7.2 – High.
• Actieve installaties: meer dan 500.000.
• Kwetsbare versies: Kirki 6.3.1 en ouder.
• Opgelost vanaf: Kirki 6.3.2.
• Authenticatie: geen bestaand gebruikersaccount vereist onder de beschreven voorwaarden.
• Voorwaarden: openbare registratie en specifieke Kirki-elementen.
• Actieve exploitatie: niet bevestigd.
• Advies: onmiddellijk bijwerken en openbare registratie controleren.

Bronnen

• Wordfence Intelligence – CVE-2026-102173
• WordPress.org – Kirki Plugin Directory
• CVE Program – CVE-2026-102173

Een kritieke Payload CMS SQL-injection kwetsbaarheid kan aanvallers onder bepaalde omstandigheden toegang geven tot databasegegevens zonder dat hiervoor een bestaand gebruikersaccount nodig is. De kwetsbaarheid is geregistreerd als CVE-2026-105845 en heeft een CVSS-score van 9.8.

Het beveiligingsprobleem treft Payload CMS-installaties die gebruikmaken van PostgreSQL of SQLite en waarbij niet-vertrouwde gebruikers dynamische databasefilters of joins kunnen beïnvloeden.

De ontwikkelaars hebben de kwetsbaarheid opgelost in Payload CMS 3.88.0 en 4.0.0-canary.27.

Wat is Payload CMS SQL-injection CVE-2026-105845?

Payload CMS is een open-source headless contentmanagementsysteem dat onder andere wordt gebruikt voor websites, webapplicaties, API’s en maatwerkplatformen.

In tegenstelling tot traditionele CMS-systemen zoals WordPress of Joomla wordt Payload vaak rechtstreeks geïntegreerd in een applicatie die gebruikmaakt van Node.js en een databasebackend.

CVE-2026-105845 betreft een SQL-injection kwetsbaarheid in de verwerking van databasequery’s.

Volgens de officiële security advisory kunnen gebruikers die toegang hebben tot leesbare collecties onder bepaalde omstandigheden speciaal samengestelde queryparameters aanbieden waarmee SQL-injection mogelijk wordt.

Welke Payload CMS-versies zijn kwetsbaar?

• Payload CMS 3.0.0 tot vóór 3.88.0: kwetsbaar.
• Payload CMS 3.88.0 en nieuwer: beveiligingsprobleem opgelost.
• Payload CMS 4.0.0-canary.0 tot vóór 4.0.0-canary.27: kwetsbaar.
• Payload CMS 4.0.0-canary.27 en nieuwer: beveiligingsprobleem opgelost.

De kwetsbaarheid treft de SQLite- en PostgreSQL-databaseadapters.

Volgens de leverancier zijn installaties die gebruikmaken van de MongoDB-adapter @payloadcms/mongodb niet kwetsbaar voor dit specifieke beveiligingsprobleem.

Hoe werkt de SQL-injection?

SQL-injection ontstaat wanneer invoer van buitenaf onvoldoende wordt gecontroleerd voordat deze onderdeel wordt van een databasequery.

Bij CVE-2026-105845 ligt het probleem in de verwerking van dynamische filters en joins binnen Payload CMS.

Een aanvaller die dergelijke queryparameters kan beïnvloeden, kan onder de beschreven omstandigheden proberen om de bedoelde SQL-query te manipuleren.

Hierdoor kan de database een andere bewerking uitvoeren dan de applicatieontwikkelaar oorspronkelijk heeft bedoeld.

De daadwerkelijke gevolgen zijn afhankelijk van de configuratie, de beschikbare collecties en de rechten waarmee de applicatie verbinding maakt met de database.

Wanneer is een Payload CMS-installatie daadwerkelijk kwetsbaar?

Volgens de officiële security advisory moet aan de volgende voorwaarden worden voldaan:

• Er wordt een kwetsbare versie van Payload CMS gebruikt.
• De applicatie gebruikt PostgreSQL of SQLite.
• Niet-vertrouwde gebruikers kunnen leesbare collecties benaderen.
• Deze gebruikers kunnen dynamische queryfilters of joinparameters aanleveren.

Wanneer deze omstandigheden aanwezig zijn, kan de kwetsbaarheid via de netwerkinterface van de applicatie bereikbaar zijn.

Niet iedere Payload CMS-installatie is daarom automatisch op dezelfde manier exploiteerbaar.

De combinatie van een kwetsbare versie en een publiek bereikbaar querymechanisme vormt echter een serieus beveiligingsrisico.

CVSS 9.8: kritieke beveiligingskwetsbaarheid

CVE-2026-105845 heeft een CVSS 3.1-score van 9.8 en wordt als Critical aangemerkt.

De gepubliceerde CVSS-vector luidt:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

De classificatie beschrijft een kwetsbaarheid die via het netwerk bereikbaar kan zijn, geen bestaande gebruikersrechten vereist en geen interactie van een slachtoffer nodig heeft.

De mogelijke impact op vertrouwelijkheid, integriteit en beschikbaarheid wordt als hoog beoordeeld.

SQL-injection kan, afhankelijk van de databasepermissies en applicatieconfiguratie, leiden tot het uitlezen of wijzigen van gegevens.

Dit betekent niet automatisch dat iedere kwetsbare Payload-installatie volledig kan worden overgenomen. Daarvoor zijn de concrete configuratie en beschikbare rechten bepalend.

Wordt CVE-2026-105845 actief misbruikt?

Op 8 oktober 2026 is geen betrouwbare publieke bevestiging gevonden dat CVE-2026-105845 actief wordt misbruikt.

De officiële security advisory bevestigt de kwetsbaarheid en de beschikbare beveiligingsupdates, maar maakt geen melding van een waargenomen aanvalscampagne.

Gezien de kritieke CVSS-score en de mogelijkheid van ongeauthenticeerde exploitatie onder de beschreven voorwaarden adviseert Vservs om kwetsbare installaties zonder onnodige vertraging te actualiseren.

Payload CMS onmiddellijk bijwerken

De ontwikkelaars adviseren om alle betrokken Payload CMS-packages bij te werken naar minimaal versie 3.88.0.

Voor installaties die gebruikmaken van de experimentele 4.0-canary-reeks is minimaal 4.0.0-canary.27 vereist.

Controleer bij het uitvoeren van de update niet alleen de hoofdpackage, maar ook de gebruikte Payload-databaseadapters en eventuele aanvullende packages.

Voor productieomgevingen adviseert Vservs de actuele stabiele release te gebruiken die compatibel is met de bestaande applicatie.

Tijdelijke maatregelen wanneer direct updaten niet mogelijk is

De leverancier adviseert om de toegang tot dynamische queryfilters en joinparameters tijdelijk te beperken wanneer een update niet onmiddellijk kan worden uitgevoerd.

Controleer daarbij:

• Welke Payload-collecties zonder authenticatie toegankelijk zijn.
• Of openbare API-routes dynamische filters accepteren.
• Of externe gebruikers joinparameters kunnen beïnvloeden.
• Of collectiegegevens voor anonieme gebruikers leesbaar zijn.
• Welke databasepermissies aan de applicatie zijn toegekend.

Beperk waar mogelijk de toegang tot getroffen collecties en queryfunctionaliteit totdat de beveiligingsupdate is geïnstalleerd.

Deze maatregelen zijn uitsluitend bedoeld als tijdelijke risicobeperking en vervangen de officiële patch niet.

Controle op mogelijke compromittering

Beheerders van kwetsbare Payload CMS-installaties kunnen de beschikbare applicatie-, API- en databaselogs onderzoeken.

Let onder andere op:

• Ongebruikelijke queryparameters in API-verzoeken.
• Afwijkende combinaties van filters en joins.
• Onverklaarbare databasefouten.
• Onverwachte toegang tot collecties met gevoelige informatie.
• Ongebruikelijke pieken in databaseactiviteit.
• Ongeautoriseerde wijzigingen in applicatiegegevens.
• Verdachte wijzigingen in gebruikersaccounts of toegangsrechten.

Controleer daarnaast of gevoelige gegevens zijn benaderd die normaal niet voor de betreffende API-gebruiker beschikbaar zijn.

Voor CVE-2026-105845 zijn op dit moment geen betrouwbare, specifieke indicators of compromise gepubliceerd waarmee iedere succesvolle exploitatie kan worden vastgesteld.

Een afwijkende databasequery vormt daarom niet automatisch bewijs voor succesvolle exploitatie.

Alleen updaten is onvoldoende wanneer gegevens zijn gewijzigd

Het installeren van een veilige Payload CMS-versie voorkomt verdere exploitatie via deze kwetsbaarheid.

Eventuele wijzigingen die vóór de update door een aanvaller zijn aangebracht, worden daarmee niet automatisch teruggedraaid.

Wanneer er aanwijzingen bestaan voor ongeautoriseerde databasebewerkingen, moet de betrokken applicatie nader worden onderzocht.

Controleer daarbij ook applicatieaccounts, API-sleutels, databasecredentials en eventuele koppelingen met externe systemen.

Managed VPS Hosting bij Vservs

Headless CMS-systemen zoals Payload stellen specifieke eisen aan het beheer van de onderliggende serveromgeving.

Naast het veilig configureren van de applicatie zijn onder andere databasebeveiliging, toegangscontrole, monitoring en betrouwbare back-ups belangrijk.

Vservs levert Managed VPS Hosting voor professionele websites en webapplicaties.

Daarbij verzorgen wij het technische beheer en de beveiliging van de overeengekomen serveromgeving.

Het onderhouden van applicatiecode, frameworks en externe dependencies valt uitsluitend onder de dienstverlening wanneer dit afzonderlijk is overeengekomen.

Samenvatting

• Software: Payload CMS.
• CVE: CVE-2026-105845.
• Type: SQL-injection.
• Severity: Critical.
• CVSS: 9.8.
• Getroffen databases: PostgreSQL en SQLite.
• MongoDB: niet getroffen door deze specifieke kwetsbaarheid.
• Kwetsbare versies: 3.0.0 tot vóór 3.88.0.
• Veilige stabiele versie: 3.88.0 of nieuwer.
• Veilige canary-versie: 4.0.0-canary.27 of nieuwer.
• Authenticatie: onder de beschreven voorwaarden niet vereist.
• Actieve exploitatie: niet bevestigd.
• Advies: onmiddellijk bijwerken en publiek bereikbare queryfunctionaliteit controleren.

Bronnen

• Payload CMS – Officiële security advisory GHSA-v49j-62m6-pgrr
• Payload CMS – Release 3.88.0
• OSV – CVE-2026-105845

De OrdaSoft Joomla CCK kwetsbaarheid CVE-2026-102427 maakt Remote Code Execution mogelijk zonder dat een aanvaller hoeft in te loggen. Daarnaast bevat dezelfde Joomla-extensie een kritieke ongeauthenticeerde SQL-injection, CVE-2026-102428.

Beide kwetsbaarheden treffen OrdaSoft Joomla CCK-versies vóór 8.3.16. CVE-2026-102427 heeft de maximale CVSS-score van 10,0. CVE-2026-102428 heeft een CVSS-score van 9,3.

Twee kritieke kwetsbaarheden in OrdaSoft Joomla CCK

In OrdaSoft Joomla CCK zijn twee afzonderlijke kritieke beveiligingsproblemen gepubliceerd:

• CVE-2026-102427 – unauthenticated Remote Code Execution via arbitrary file upload – CVSS 10,0 Critical;
• CVE-2026-102428 – unauthenticated SQL-injection – CVSS 9,3 Critical.

Voor geen van beide aanvallen is een Joomla-account vereist en er is geen gebruikersinteractie nodig.

CVE-2026-102427 maakt upload en uitvoering van PHP mogelijk

De ernstigste kwetsbaarheid bevindt zich in de uploadfunctionaliteit van OrdaSoft Joomla CCK.

De betreffende uploader kan via de normale frontend-routing van de Joomla-component worden bereikt. In de kwetsbare versies ontbreekt in deze route een effectieve authenticatie- of ACL-controle.

De uploadhandler controleert wel het MIME-type van de inhoud van een geüpload bestand, maar de controle op toegestane bestandsextensies was niet actief.

Daardoor kan een bestand dat aan de inhoudscontrole voldoet alsnog met een door de aanvaller gekozen .php-extensie worden opgeslagen.

Het bestand wordt vervolgens binnen een webbereikbare locatie onder de Joomla-webroot opgeslagen waar PHP door de webserver kan worden uitgevoerd.

Waarom leidt dit daadwerkelijk tot Remote Code Execution?

Dit is niet uitsluitend een theoretische arbitrary-file-uploadkwetsbaarheid.

Een aanvaller kan een bestand maken waarvan het begin eruitziet als een toegestaan afbeeldingsbestand, terwijl daarnaast PHP-code aanwezig is. Zo’n polyglotbestand kan de MIME-controle doorstaan terwijl het als PHP-bestand wordt opgeslagen.

Wanneer de aanvaller het opgeslagen bestand daarna via HTTP aanroept, kan de PHP-code door de server worden uitgevoerd.

Dat geeft een externe aanvaller in principe code execution binnen de rechten van het account waaronder de getroffen Joomla-website en PHP draaien.

Op een correct geïsoleerde hostingomgeving betekent dit niet automatisch root-toegang tot de volledige server. De betreffende website moet bij succesvolle exploitatie echter als volledig gecompromitteerd worden beschouwd.

CVE-2026-102428: SQL-injection zonder authenticatie

De tweede kwetsbaarheid bevindt zich in de sortering van records binnen de frontend van OrdaSoft Joomla CCK.

Door de gebruiker aangeleverde waarden voor het sorteringsveld werden onvoldoende gevalideerd voordat deze in de SQL-query werden verwerkt.

Een niet-ingelogde aanvaller kan daardoor de structuur van de databasequery beïnvloeden en willekeurige SQL-opdrachten injecteren.

De CVSS 4.0-score voor CVE-2026-102428 bedraagt 9,3 Critical en geeft een hoge potentiële impact aan op vertrouwelijkheid, integriteit en beschikbaarheid van de database.

Welke versies zijn getroffen?

• OrdaSoft Joomla CCK 1.0.0 tot en met 8.3.15 – kwetsbaar
• OrdaSoft Joomla CCK 8.3.16 – securityfix voor de Light/free-lijn

OrdaSoft heeft versie 8.3.16 uitgebracht met aanvullende validatie van geüploade bestandsextensies en validatie van sorteringsvelden.

Automatische Joomla-updater kan de veilige versie missen

Een belangrijk aandachtspunt is dat gespecialiseerde Joomla-securitymonitoring heeft vastgesteld dat de update manifest van OrdaSoft na het verschijnen van de fix nog versie 8.3.14 kon aanbieden.

Daardoor kan een Joomla-installatie melden dat de extensie actueel is terwijl versie 8.3.16 niet automatisch wordt aangeboden.

Controleer daarom handmatig welke versie daadwerkelijk is geïnstalleerd en download de actuele veilige versie rechtstreeks via het officiële OrdaSoft-updatekanaal wanneer de Joomla-updater 8.3.16 niet aanbiedt.

Voor commerciële of afwijkende Pro-edities moet de beschikbare veilige build afzonderlijk bij OrdaSoft worden gecontroleerd wanneer het versienummer niet overeenkomt met de Light/free-release.

Worden CVE-2026-102427 en CVE-2026-102428 actief misbruikt?

Op het moment van deze publicatie is geen grootschalige actieve exploitatie in het wild bevestigd.

De CISA SSVC-beoordeling voor beide kwetsbaarheden vermeldt momenteel Exploitation: none. Beide problemen worden echter als automatiseerbaar beoordeeld en hebben een zeer hoge technische impact.

Voor CVE-2026-102427 wordt inmiddels door verschillende openbare vulnerability-trackers publiek proof-of-conceptmateriaal geregistreerd. Het bestaan van exploitcode is echter niet hetzelfde als bewijs van daadwerkelijke aanvallen op websites.

Vservs spreekt daarom op dit moment niet van bevestigde actieve exploitatie, maar adviseert vanwege de ongeauthenticeerde RCE en SQL-injection wel onmiddellijke actie.

Wat moeten Joomla-beheerders nu doen?

1. controleer of OrdaSoft Joomla CCK / com_os_cck geïnstalleerd is;
2. controleer het exacte versienummer handmatig;
3. update naar 8.3.16 of een nieuwere veilige versie;
4. vertrouw niet uitsluitend op de Joomla-updatecontrole wanneer die nog een oudere release toont;
5. schakel de extensie uit wanneer een veilige versie niet onmiddellijk kan worden geïnstalleerd;
6. controleer de website op verdachte PHP-bestanden en uploadactiviteit;
7. controleer webserver- en databaseactiviteit op mogelijke exploitatie.

Controleer uploads op PHP-bestanden

Voor CVE-2026-102427 is vooral het uploadpad relevant.

Controleer onder andere directories die overeenkomen met:

/images/com_os_cck*/original/

op onverwachte bestanden met extensies zoals:

• .php
• .phtml
• dubbele of afwijkende extensies;
• bestanden waarvan inhoud en extensie niet logisch bij elkaar passen.

Een PHP-bestand binnen een directory die uitsluitend voor afbeeldingen of andere gebruikersuploads bedoeld is, verdient direct onderzoek.

Controleer webserverlogs

Doorzoek beschikbare access logs op ongebruikelijke requests naar OrdaSoft CCK, met bijzondere aandacht voor requests naar of via:

• site/uploader.php;
• frontend-routing met task=getContent;
• uploadacties gevolgd door requests naar nieuw aangemaakte bestanden onder /images/;
• ongebruikelijke waarden in sorteerparameters zoals order_field en order_direction;
• SQL-syntax of opvallende encoding in CCK-requests.

Een afwijkend request alleen is nog geen bewijs van succesvolle exploitatie. Correlatie met nieuw aangemaakte bestanden, PHP-uitvoering, databaseactiviteit en eventuele wijzigingen aan Joomla is noodzakelijk.

Controle na mogelijke Remote Code Execution

Wanneer een onbekend uitvoerbaar bestand of andere aanwijzing voor succesvolle RCE wordt gevonden, moet de volledige Joomla-installatie als mogelijk gecompromitteerd worden behandeld.

Controleer dan onder andere:

• Joomla Core-bestanden;
• templates en extensies;
• configuration.php;
• administrator- en Super User-accounts;
• onbekende PHP-bestanden;
• scheduled tasks en cronjobs;
• databasewijzigingen;
• API-keys, SMTP-credentials en andere secrets;
• webserver-, PHP- en systeemlogs.

Wijzig credentials pas vanuit een vertrouwde omgeving nadat de website is onderzocht en de ongeautoriseerde toegang is verwijderd.

Wat als 8.3.16 niet beschikbaar is?

Wanneer geen aantoonbaar gepatchte versie beschikbaar is voor de gebruikte OrdaSoft CCK-editie, is uitschakelen van de extensie de veiligste tijdelijke maatregel.

Een Web Application Firewall kan aanvullend bescherming bieden, maar mag bij een ongeauthenticeerde file-upload-RCE met een beschikbare patch niet als vervanging voor de update worden beschouwd.

Managed hosting en serverbeheer bij Vservs

Een kwetsbaarheid die PHP-code binnen een website kan uitvoeren, raakt niet alleen het CMS maar ook de onderliggende hostingomgeving. Goede gebruikersisolatie, file permissions, PHP-configuratie, logging, malwarecontrole en serverhardening beperken de mogelijke vervolgstappen na een succesvolle aanval.

Met Vservs Managed VPS Hosting verzorgen wij het technische beheer, security-updates, hardening en monitoring van de onderliggende Linux-serveromgeving.

Samenvatting

• Product: OrdaSoft Joomla CCK / com_os_cck
• CVE-2026-102427: unauthenticated arbitrary file upload / Remote Code Execution
• CVSS CVE-2026-102427: 10,0 – Critical
• CVE-2026-102428: unauthenticated SQL-injection
• CVSS CVE-2026-102428: 9,3 – Critical
• Getroffen versies: 1.0.0 tot en met 8.3.15
• Veilige Light/free-versie: 8.3.16 of nieuwer
• Authenticatie vereist: nee
• Gebruikersinteractie vereist: nee
• Actieve exploitatie: niet bevestigd
• Publiek exploitmateriaal: voor CVE-2026-102427 door openbare trackers gemeld
• Belangrijk: de automatische Joomla-updatecontrole kan 8.3.16 mogelijk niet aanbieden
• Advies: onmiddellijk versie controleren, handmatig bijwerken indien nodig en kwetsbare websites controleren op compromittering

Bronnen

• NIST NVD – CVE-2026-102427
• CVE Program / Joomla CNA – CVE-2026-102427
• CVE Program / Joomla CNA – CVE-2026-102428
• CISA ADP SSVC – CVE-2026-102427 en CVE-2026-102428
• mySites.guru – OrdaSoft OS CCK security advisory
• OrdaSoft – Joomla CCK release information