In OpenSSL is een nieuwe kwetsbaarheid met severity High ontdekt waarmee onder specifieke omstandigheden delen van het heapgeheugen als plaintext naar een externe peer kunnen worden verstuurd. De OpenSSL kwetsbaarheid, geregistreerd als CVE-2026-84782, bevindt zich in de verwerking van DTLS-handshakeberichten en kan daarnaast een getroffen proces laten crashen.

Het OpenSSL-project publiceerde CVE-2026-84782 op 29 september 2026. De kwetsbaarheid treft meerdere actuele OpenSSL-versies. Voor hostingproviders en serverbeheerders is het belangrijk om te controleren welke OpenSSL-versie wordt gebruikt en vooral of toepassingen gebruikmaken van DTLS.

Er is op het moment van publicatie geen betrouwbare bevestiging van actieve exploitatie van CVE-2026-84782. De kwetsbaarheid moet bovendien niet worden geïnterpreteerd als een algemene remote-code-executionkwetsbaarheid in HTTPS-servers.

Wat is OpenSSL kwetsbaarheid CVE-2026-84782?

CVE-2026-84782 bevindt zich in de retransmissielogica van DTLS-handshakeberichten. DTLS staat voor Datagram Transport Layer Security en biedt TLS-achtige beveiliging voor datagramprotocollen zoals UDP.

Volgens OpenSSL wordt een gedeeltelijk onderbroken schrijfactie van een handshakebericht niet correct verwerkt. Wanneer het bericht vervolgens opnieuw wordt verzonden, kan OpenSSL voorbij het bedoelde berichtbuffer lezen.

Hierdoor kunnen gegevens uit het heapgeheugen terechtkomen in handshakegegevens die als plaintext naar de andere kant van de verbinding worden gestuurd.

Als het uitlezen een niet-toegewezen geheugengebied bereikt, kan het getroffen proces bovendien crashen. Daardoor is ook een Denial of Service (DoS) mogelijk.

Welke OpenSSL-versies zijn kwetsbaar?

Volgens het OpenSSL-project zijn de volgende versiereeksen getroffen:

• OpenSSL 4.0.0 tot vóór 4.0.3
• OpenSSL 3.6.0 tot vóór 3.6.5
• OpenSSL 3.5.0 tot vóór 3.5.9
• OpenSSL 3.4.0 tot vóór 3.4.8
• OpenSSL 3.0.0 tot vóór 3.0.23
• OpenSSL 1.1.1 tot vóór 1.1.1zj
• OpenSSL 1.0.2 tot vóór 1.0.2zs

De beschikbare upstream beveiligde versies zijn daarmee:

• OpenSSL 4.0.3 of nieuwer
• OpenSSL 3.6.5 of nieuwer
• OpenSSL 3.5.9 of nieuwer
• OpenSSL 3.4.8 of nieuwer
• OpenSSL 3.0.23 of een door de Linux-distributie gepatchte versie

Bij Linux-distributies moet niet uitsluitend naar het upstream versienummer worden gekeken. Distributies zoals Debian, Ubuntu, AlmaLinux en CloudLinux backporten beveiligingspatches regelmatig naar hun eigen OpenSSL-pakketten zonder het volledige upstream versienummer over te nemen.

Zijn normale HTTPS-webservers kwetsbaar?

Dit onderscheid is belangrijk: CVE-2026-84782 bevindt zich specifiek in de DTLS-code van OpenSSL.

DTLS werkt anders dan het reguliere TLS-protocol dat normaal voor HTTPS, SMTP over TLS, IMAP over TLS en vergelijkbare TCP-diensten wordt gebruikt.

Een webserver is daarom niet automatisch op afstand exploiteerbaar via CVE-2026-84782 alleen omdat Apache, Nginx of PHP aan OpenSSL is gekoppeld.

Het daadwerkelijke risico ontstaat bij software en diensten die de getroffen DTLS-functionaliteit van OpenSSL gebruiken en waarbij een aanvaller of ongewenste peer een DTLS-verbinding kan beïnvloeden.

Wat kan CVE-2026-84782 veroorzaken?

OpenSSL beschrijft twee belangrijke gevolgen.

1. Openbaarmaking van heapgeheugen

Bij het opnieuw verzenden van een DTLS-handshakebericht kan OpenSSL gegevens buiten de bedoelde buffer uitlezen. Delen van het heapgeheugen kunnen daardoor als plaintext handshakegegevens naar de andere peer worden verstuurd.

De exacte inhoud van dit geheugen is afhankelijk van het proces en de omstandigheden. Er kan daarom niet zonder aanvullend onderzoek worden gesteld dat bijvoorbeeld wachtwoorden of cryptografische sleutels automatisch uitleesbaar zijn.

2. Denial of Service

Wanneer de out-of-bounds read een niet-toegewezen geheugengebied bereikt, kan het proces crashen. Bij een netwerkdienst kan dit leiden tot tijdelijke of herhaalde uitval van de betreffende dienst.

Wordt CVE-2026-84782 actief misbruikt?

Op het moment van deze publicatie is er geen betrouwbare bevestiging dat CVE-2026-84782 actief wordt misbruikt.

Ook is er geen aanwijzing dat deze kwetsbaarheid algemene remote code execution op een OpenSSL-server mogelijk maakt.

Vservs adviseert daarom om de kwetsbaarheid serieus te behandelen en beschikbare beveiligingsupdates te installeren, maar niet om CVE-2026-84782 als een actief uitgebuite internetbrede RCE-aanval te presenteren.

Debian 12 en Debian 13

De Debian Security Tracker vermeldde na publicatie van CVE-2026-84782 zowel OpenSSL-pakketten voor Debian 12 (Bookworm) als Debian 13 (Trixie) als getroffen.

Serverbeheerders moeten daarom controleren of hun distributie inmiddels een beveiligingsupdate beschikbaar heeft gesteld en deze via het normale pakketbeheer installeren.

Controleer de geïnstalleerde OpenSSL-versie bijvoorbeeld met:

openssl version -a
dpkg -l | grep openssl
apt update
apt list --upgradable 2>/dev/null | grep -i openssl

Gebruik op productieomgevingen bij voorkeur de beveiligingspakketten van de gebruikte Linux-distributie in plaats van handmatig een eigen OpenSSL-versie over de systeembibliotheken te installeren.

Wat moeten serverbeheerders nu doen?

1. Controleer welke OpenSSL-versie en distributiepakketten op de server zijn geïnstalleerd.
2. Installeer beschikbare OpenSSL-beveiligingsupdates via het pakketbeheer van de Linux-distributie.
3. Controleer of applicaties of netwerkdiensten gebruikmaken van DTLS.
4. Herstart na de update processen die de oude OpenSSL-bibliotheken nog in het geheugen hebben geladen.
5. Controleer bedrijfskritische diensten na de update op correcte werking.
6. Houd distributie-advisories in de gaten wanneer een gepatcht pakket nog niet beschikbaar is.

Controleer welke processen de oude OpenSSL-bibliotheek gebruiken

Alleen het vervangen van een OpenSSL-pakket betekent niet noodzakelijk dat ieder reeds actief proces direct de nieuwe bibliotheek gebruikt. Langlopende processen kunnen de oude library nog in het geheugen hebben.

Op Debian- en Ubuntu-systemen kan na het installeren van updates bijvoorbeeld worden gecontroleerd welke processen opnieuw moeten worden gestart.

needrestart

Wanneer een volledige reboot praktisch en verantwoord is, zorgt deze er eveneens voor dat alle processen opnieuw met de actuele systeembibliotheken worden gestart.

Compromise-checks voor CVE-2026-84782

Omdat er momenteel geen bevestigde actieve exploitatie bekend is, bestaat er geen betrouwbare universele indicator waarmee kan worden vastgesteld dat een server via CVE-2026-84782 is aangevallen.

Op systemen die daadwerkelijk een publiek bereikbare DTLS-dienst gebruiken, kunnen beheerders wel controleren op:

• onverwachte crashes of core dumps van DTLS-gerelateerde processen;
• herhaalde abnormale DTLS-handshakes;
• onverklaarde service restarts;
• segmentation faults in systeem- en applicatielogs;
• afwijkende verbindingen naar DTLS-diensten;
• crashmeldingen die samenvallen met externe DTLS-verbindingen.

Een crash of segmentation fault bewijst op zichzelf niet dat CVE-2026-84782 is misbruikt. Hiervoor is correlatie met netwerkverkeer, applicatielogs en eventueel beschikbare core dumps nodig.

OpenSSL is onderdeel van veel hostingsoftware

OpenSSL vormt een fundamentele cryptografische component van Linux-servers en wordt direct of indirect door veel hostingsoftware gebruikt.

Daarom is het belangrijk om OpenSSL-updates als onderdeel van regulier serveronderhoud te installeren, ook wanneer een specifieke kwetsbaarheid niet rechtstreeks via een normale HTTPS-verbinding kan worden aangevallen.

Bij een Managed VPS van Vservs verzorgen wij het technische beheer van de server, waaronder relevante besturingssysteem- en beveiligingsupdates, monitoring en server-hardening.

Bij unmanaged VPS-servers blijft het installeren en controleren van besturingssysteem-, library- en beveiligingsupdates de verantwoordelijkheid van de beheerder.

Samenvatting

• Kwetsbaarheid: CVE-2026-84782
• Software: OpenSSL
• Severity: High
• Techniek: out-of-bounds read tijdens DTLS-retransmissie
• Mogelijke impact: openbaarmaking van heapgeheugen en Denial of Service
• Remote Code Execution: niet door OpenSSL gemeld voor deze kwetsbaarheid
• Actieve exploitatie: momenteel niet bevestigd
• Protocol: DTLS
• Actie: installeer de beschikbare beveiligingsupdate van OpenSSL of de Linux-distributie

Bronnen

• OpenSSL – Security Vulnerabilities
• Debian Security Tracker – CVE-2026-84782

Er is een nieuwe beveiligingskwetsbaarheid ontdekt in de populaire WordPress-plugin Ad Inserter – Ad Manager & AdSense Ads. De kwetsbaarheid, geregistreerd als CVE-2026-81655, kan er onder bepaalde configuraties voor zorgen dat een ingelogde gebruiker met slechts Subscriber-rechten eigen PHP-code op een WordPress-website kan opslaan en uitvoeren.

De Ad Inserter kwetsbaarheid treft versies 2.8.12 tot en met 2.8.18. De ontwikkelaar heeft het probleem opgelost in Ad Inserter 2.8.19. Websites die een getroffen versie gebruiken, adviseren we daarom zo snel mogelijk te controleren en bij te werken.

Ad Inserter wordt op meer dan 300.000 WordPress-websites gebruikt. Door de grote installed base en de mogelijkheid tot server-side code execution beschouwen we deze beveiligingsupdate als relevant voor WordPress-beheerders.

Wat is CVE-2026-81655?

CVE-2026-81655 is een beveiligingsprobleem in de toegangscontrole en verwerking van opgeslagen inhoud binnen Ad Inserter.

Volgens de gepubliceerde kwetsbaarheidsinformatie wordt de toegang tot een instellingenpagina onder bepaalde configuraties onvoldoende beperkt. Daardoor kan deze pagina bereikbaar worden voor iedere ingelogde WordPress-gebruiker.

Het probleem wordt ernstiger doordat de inhoud die via deze functionaliteit wordt opgeslagen onvoldoende wordt gefilterd. Een gebruiker met een rol zo laag als Subscriber kan daardoor potentieel inhoud opslaan die vervolgens als PHP-code door de server wordt uitgevoerd.

Daarnaast kan ongefilterde inhoud aan bezoekers worden weergegeven, waardoor ook stored cross-site scripting (XSS) mogelijk kan zijn.

Welke versies van Ad Inserter zijn kwetsbaar?

De volgende versies zijn getroffen:

• Ad Inserter 2.8.12 t/m 2.8.18 – kwetsbaar
• Ad Inserter 2.8.19 en nieuwer – beveiligingsupdate aanwezig

Websites die een versie ouder dan 2.8.12 gebruiken vallen volgens de gepubliceerde CVE-versiereeks niet onder deze specifieke kwetsbaarheid. Wij adviseren echter altijd een actuele ondersteunde pluginversie te gebruiken.

Wat kan een aanvaller met de Ad Inserter kwetsbaarheid?

Wanneer aan de voorwaarden voor misbruik wordt voldaan, kan een aanvaller met een WordPress-account met lage rechten kwaadaardige code opslaan.

Wanneer deze inhoud vervolgens door Ad Inserter als PHP wordt verwerkt, kan dit leiden tot remote code execution binnen de rechten van het PHP- of webserverproces.

Een succesvolle aanval kan onder andere leiden tot:

• uitvoering van ongewenste PHP-code;
• plaatsing van backdoors of webshells;
• wijziging van WordPress-bestanden;
• toegang tot databasegegevens en configuratiebestanden;
• aanmaak of wijziging van WordPress-gebruikers;
• injectie van JavaScript of andere kwaadaardige inhoud;
• volledige overname van de betreffende WordPress-website.

De daadwerkelijke mogelijkheden zijn mede afhankelijk van de serverconfiguratie en de rechten waaronder PHP wordt uitgevoerd.

Is CVE-2026-81655 actief misbruikt?

Op het moment van publicatie hebben wij geen betrouwbare bevestiging gevonden dat CVE-2026-81655 actief op grote schaal wordt misbruikt.

De kwetsbaarheid staat momenteel ook niet in de Known Exploited Vulnerabilities-catalogus van CISA. Dat betekent echter niet dat misbruik onmogelijk is. De kwetsbaarheid is openbaar beschreven en de impact kan aanzienlijk zijn wanneer een aanvaller toegang heeft tot een WordPress-account met voldoende lage gebruikersrechten.

Wij adviseren daarom niet te wachten op meldingen van actieve exploitatie, maar Ad Inserter direct naar een veilige versie bij te werken.

Wanneer is een WordPress-website extra kwetsbaar?

Voor misbruik is een ingelogde WordPress-gebruiker nodig. Volgens de beschikbare informatie kan onder bepaalde configuraties een gebruiker met slechts de rol Subscriber voldoende rechten hebben om de kwetsbare functionaliteit te bereiken.

Websites waarop openbare gebruikersregistratie mogelijk is, verdienen daarom extra aandacht. Hetzelfde geldt voor websites met veel gebruikersaccounts, ledenwebsites, communitysites en WooCommerce-omgevingen waar gebruikers via aanvullende plugins extra WordPress-rollen kunnen krijgen.

De exacte exploitability is afhankelijk van de configuratie van Ad Inserter. Het is daarom niet correct om te stellen dat iedere installatie van een kwetsbare versie zonder verdere voorwaarden direct door een niet-ingelogde aanvaller kan worden overgenomen.

Wat moeten WordPress-beheerders nu doen?

Controleer eerst welke versie van Ad Inserter is geïnstalleerd.

1. Log in op het WordPress-dashboard.
2. Ga naar Plugins → Geïnstalleerde plugins.
3. Zoek Ad Inserter – Ad Manager & AdSense Ads.
4. Controleer het geïnstalleerde versienummer.
5. Werk een getroffen installatie bij naar Ad Inserter 2.8.19 of nieuwer.

Kan de plugin niet direct worden bijgewerkt, dan adviseren we deze tijdelijk uit te schakelen totdat de update kan worden uitgevoerd.

Controleer kwetsbare websites op compromittering

Alleen installeren van de update herstelt eventuele wijzigingen die vóór de update door een aanvaller zijn aangebracht niet.

Wanneer een website Ad Inserter 2.8.12 tot en met 2.8.18 gebruikte en onbekende of laaggeprivilegieerde gebruikers toegang hadden tot WordPress, adviseren we aanvullende controles.

Controleer onder andere:

• onbekende WordPress-gebruikers en onverwachte wijzigingen in gebruikersrollen;
• recente wijzigingen in de configuratie en codeblokken van Ad Inserter;
• onverwachte PHP-code in door Ad Inserter beheerde velden;
• nieuwe of recent gewijzigde PHP-bestanden binnen wp-content;
• onbekende plugins en must-use plugins in wp-content/mu-plugins;
• wijzigingen in wp-config.php en andere WordPress-corebestanden;
• onbekende cronjobs of WordPress scheduled tasks;
• verdachte administratoraccounts;
• ongebruikelijke requests in webserver- en accesslogs.

Bij aanwijzingen voor compromittering is alleen het wijzigen van het WordPress-wachtwoord niet voldoende. Controleer dan ook bestanden, database, gebruikersaccounts, API-keys en andere credentials die vanuit de WordPress-installatie toegankelijk waren.

Waarom is deze kwetsbaarheid relevant?

Ad Inserter is geen kleine nicheplugin. De plugin wordt volgens de WordPress Plugin Directory op meer dan 300.000 websites actief gebruikt.

De Ad Inserter kwetsbaarheid verdient daarnaast aandacht omdat een gebruiker met relatief weinig WordPress-rechten onder de juiste omstandigheden de grens tussen een normaal gebruikersaccount en server-side PHP-uitvoering kan overschrijden.

Juist die combinatie van een grote installed base en potentiële code execution maakt CVE-2026-81655 relevanter dan veel andere WordPress-kwetsbaarheden die dagelijks worden gepubliceerd.

Managed WordPress en Managed VPS bij Vservs

Het tijdig installeren van WordPress-, plugin- en theme-updates is een belangrijk onderdeel van websitebeveiliging. Kwetsbaarheden kunnen kort na openbaarmaking worden opgenomen in geautomatiseerde scans en aanvalstools.

Bij een Managed VPS van Vservs helpen wij met het beheer, de beveiliging en monitoring van de serveromgeving. Voor WordPress-omgevingen controleren we daarnaast actief op technische problemen en beveiligingsrisico’s.

Gebruik je Ad Inserter en weet je niet zeker of jouw WordPress-installatie veilig is? Controleer dan in ieder geval of versie 2.8.19 of nieuwer is geïnstalleerd.

Samenvatting

• Kwetsbaarheid: CVE-2026-81655
• Software: Ad Inserter – Ad Manager & AdSense Ads
• Type: PHP code injection / remote code execution en stored XSS
• Benodigde rechten: onder bepaalde configuraties Subscriber of hoger
• Getroffen versies: 2.8.12 t/m 2.8.18
• Veilige versie: 2.8.19 of nieuwer
• Actieve installaties: meer dan 300.000
• Actieve exploitatie: momenteel niet bevestigd
• Advies: direct bijwerken naar 2.8.19 of nieuwer

Bronnen

• WPScan – CVE-2026-81655 Ad Inserter vulnerability
• WordPress.org – Ad Inserter plugin

De Roundcube-kwetsbaarheid CVE-2026-48842 wordt volgens het Canadian Centre for Cyber Security inmiddels in het wild misbruikt. De kwetsbaarheid maakt een SQL-injectie mogelijk voordat een gebruiker is ingelogd en bevindt zich in de virtuser_query-plugin van Roundcube Webmail. Een aanvaller heeft geen geldig e-mailaccount en geen gebruikersinteractie nodig om een kwetsbare configuratie aan te vallen.

Roundcube heeft CVE-2026-48842 al op 24 mei 2026 verholpen in Roundcube 1.6.16 en 1.7.1. De exploitstatus is echter veranderd: het Canadian Centre for Cyber Security heeft zijn beveiligingsadvies op 21 september 2026 bijgewerkt en meldt dat open-source reporting aangeeft dat de kwetsbaarheid in het wild wordt uitgebuit.

Omdat Roundcube veel wordt gebruikt als webmailomgeving bij hostingplatforms, adviseert Vservs beheerders van publiek bereikbare Roundcube-installaties om zowel de geïnstalleerde versie als de actieve plugins direct te controleren.

Wat is de Roundcube-kwetsbaarheid CVE-2026-48842?

CVE-2026-48842 is een pre-authentication SQL injection in de virtuser_query-plugin van Roundcube Webmail.

Deze plugin kan worden gebruikt om ingevoerde e-mailadressen of gebruikersnamen via SQL-query’s aan mailboxaccounts te koppelen. De kwetsbare code probeerde door gebruikers aangeleverde gegevens te beveiligen voordat deze in een SQL-query werden verwerkt.

Door een fout in de verwerking van backslashes met PHP preg_replace() kan een aanvaller deze escaping echter omzeilen. Speciaal geconstrueerde invoer kan daardoor de structuur van de uiteindelijke SQL-query beïnvloeden.

Het probleem valt onder CWE-89: Improper Neutralization of Special Elements used in an SQL Command, oftewel SQL Injection.

• CVE: CVE-2026-48842
• Software: Roundcube Webmail
• Getroffen component: virtuser_query-plugin
• Type: pre-authentication SQL injection
• Severity: High
• CVSS 3.1: 8,1
• Authenticatie vereist: nee
• Gebruikersinteractie vereist: nee
• Exploitstatus: exploitatie in het wild gemeld

Welke Roundcube-versies zijn kwetsbaar?

De kwetsbaarheid treft de volgende Roundcube-versies wanneer de virtuser_query-plugin wordt gebruikt:

• Roundcube 1.6.x vóór 1.6.16 – kwetsbaar
• Roundcube 1.7.x vóór 1.7.1 – kwetsbaar
• Roundcube 1.6.16 en nieuwer – CVE-2026-48842 verholpen
• Roundcube 1.7.1 en nieuwer – CVE-2026-48842 verholpen

De aanwezigheid van een oudere Roundcube-versie alleen betekent niet automatisch dat CVE-2026-48842 exploiteerbaar is. De kwetsbare code bevindt zich specifiek in de virtuser_query-plugin. Een installatie waarin deze plugin niet is geactiveerd of geconfigureerd, is niet via deze aanvalsvector kwetsbaar.

Update bij voorkeur direct naar Roundcube 1.6.19 of 1.7.4

Hoewel CVE-2026-48842 oorspronkelijk is opgelost in Roundcube 1.6.16 en 1.7.1, adviseert Vservs niet om een productieomgeving nu slechts naar deze minimumversies te brengen.

Roundcube heeft sinds mei aanvullende beveiligingsupdates uitgebracht. Op 6 september 2026 verschenen Roundcube 1.6.19 en 1.7.4, waarin meerdere andere beveiligingsproblemen zijn opgelost, waaronder XSS-, header injection-, SSRF- en remote-content-filterproblemen.

Gebruik daarom waar technisch mogelijk de actuele ondersteunde securityrelease binnen de gebruikte Roundcube-branch.

Wat kan een aanvaller met CVE-2026-48842?

Een aanvaller kan speciaal geconstrueerde gegevens naar een kwetsbare Roundcube-installatie sturen waardoor invoer in een SQL-query terechtkomt op een manier die door de aanvaller kan worden beïnvloed.

Omdat het kwetsbare codepad vóór succesvolle authenticatie kan worden bereikt, hoeft de aanvaller niet over een geldige mailbox of een Roundcube-wachtwoord te beschikken.

Succesvolle SQL-injectie kan afhankelijk van de Roundcube-configuratie, gebruikte database en rechten van het databaseaccount gevolgen hebben voor de vertrouwelijkheid, integriteit en beschikbaarheid van gegevens in de achterliggende database.

De CVSS-vector voor CVE-2026-48842 beoordeelt zowel de mogelijke confidentiality-, integrity- als availability-impact als hoog.

De kwetsbaarheid moet echter niet automatisch als remote code execution worden beschreven. De bevestigde kwetsbaarheid betreft SQL-injectie. De daadwerkelijke vervolgimpact hangt onder andere af van de databaseconfiguratie en de rechten die het Roundcube-databaseaccount bezit.

CVE-2026-48842 wordt in het wild misbruikt

Het Canadian Centre for Cyber Security heeft zijn oorspronkelijke Roundcube-beveiligingsadvies op 21 september 2026 bijgewerkt.

Daarin meldt het Cyber Centre expliciet dat open-source reporting aangeeft dat CVE-2026-48842 in het wild wordt misbruikt.

Daarmee is dit niet langer uitsluitend een theoretische kwetsbaarheid waarvoor een patch beschikbaar is.

Er zijn op dit moment echter geen voldoende gedetailleerde openbare gegevens over de aanvallers, getroffen organisaties of volledige aanvalsketen. Vservs schrijft daarom niet dat iedere internetbereikbare kwetsbare Roundcube-installatie actief wordt aangevallen of dat succesvolle serverovername via deze CVE is aangetoond.

De bevestigde informatie is dat exploitatie in het wild is gemeld en dat ongepatchte installaties waarin virtuser_query actief is daarom met prioriteit moeten worden onderzocht en bijgewerkt.

Wat moeten Roundcube-beheerders nu doen?

• Controleer onmiddellijk de geïnstalleerde Roundcube-versie.
• Controleer of de virtuser_query-plugin is geactiveerd of geconfigureerd.
• Update kwetsbare Roundcube-installaties direct.
• Gebruik waar mogelijk de actuele Roundcube 1.6.19- of 1.7.4-securityrelease in plaats van alleen de oorspronkelijke minimumfix 1.6.16 of 1.7.1.
• Schakel virtuser_query uit wanneer de plugin niet noodzakelijk is.
• Beperk de rechten van het Roundcube-databaseaccount tot uitsluitend de rechten die de applicatie daadwerkelijk nodig heeft.
• Controleer publiek bereikbare Roundcube-installaties die tijdens de kwetsbare periode virtuser_query gebruikten op verdachte activiteit.

Controleer of virtuser_query actief is

De kwetsbaarheid zit niet in de standaard IMAP-functionaliteit zelf, maar in de specifieke virtuser_query-plugin.

Beheerders moeten daarom de Roundcube-configuratie controleren en vaststellen of virtuser_query in de lijst met actieve plugins voorkomt.

Wanneer de plugin niet noodzakelijk is voor de mailbox- of hostingconfiguratie, kan het uitschakelen ervan de betreffende aanvalsvector verwijderen. Dit is echter geen vervanging voor het bijwerken van een verouderde Roundcube-installatie, omdat latere Roundcube-versies ook andere beveiligingsproblemen oplossen.

Controle op mogelijke compromittering

Voor Roundcube-servers waarop tijdens de kwetsbare periode virtuser_query actief was, adviseert Vservs aanvullende controle.

• Controleer webserver-accesslogs op afwijkende requests naar de Roundcube-loginomgeving.
• Let op ongebruikelijke backslash-sequenties, quotes en SQL-syntax in parameters of POST-data.
• Correleer opvallende requests met mislukte authenticatiepogingen en databasefouten.
• Controleer database- en errorlogs op onverwachte of misvormde SQL-query’s vanuit Roundcube.
• Controleer op onverwachte wijzigingen in gegevens die door de Roundcube-databasegebruiker kunnen worden aangepast.
• Controleer de Roundcube-installatie op nieuwe of onverwacht gewijzigde bestanden.
• Onderzoek ongebruikelijke uitgaande netwerkverbindingen vanaf de webmailserver.
• Controleer de privileges van het databaseaccount dat Roundcube gebruikt.
• Wijzig de Roundcube-databasecredentials wanneer er concrete aanwijzingen voor succesvolle exploitatie zijn.

Een afwijkende request of SQL-fout is op zichzelf geen bewijs van succesvolle compromittering. Combineer webserver-, applicatie- en databaselogs voordat wordt geconcludeerd dat een aanval daadwerkelijk is geslaagd.

Waarom deze kwetsbaarheid relevant is voor hostingomgevingen

Roundcube is een veelgebruikte open-source webmailclient en wordt door hostingproviders en controlpanels ingezet om gebruikers via een browser toegang tot e-mail te geven.

Webmailinterfaces zijn doorgaans rechtstreeks vanaf internet bereikbaar. Bij CVE-2026-48842 is bovendien geen geldige gebruikerssessie nodig wanneer de kwetsbare virtuser_query-configuratie aanwezig is.

De combinatie van een internet-facing dienst, een pre-authentication SQL injection en inmiddels gemelde exploitatie in het wild maakt controle van oudere Roundcube-installaties daarom noodzakelijk.

Managed VPS bij Vservs

Vservs volgt beveiligingsproblemen in veelgebruikte hostingsoftware, CMS-systemen en onderliggende servercomponenten actief.

Met een Managed VPS van Vservs verzorgen we onder andere technisch serverbeheer, relevante beveiligingsupdates, monitoring en server hardening.

Bij unmanaged VPS-servers blijft het controleren, beoordelen en installeren van updates voor applicaties en servercomponenten de verantwoordelijkheid van de beheerder.

Conclusie

De Roundcube-kwetsbaarheid CVE-2026-48842 is een pre-authentication SQL injection in de virtuser_query-plugin. Roundcube 1.6.x vóór 1.6.16 en 1.7.x vóór 1.7.1 zijn kwetsbaar wanneer deze plugin wordt gebruikt.

De kwetsbaarheid is al sinds mei gepatcht, maar de situatie is veranderd doordat het Canadian Centre for Cyber Security op 21 september 2026 meldde dat open-source reporting wijst op exploitatie van CVE-2026-48842 in het wild.

Omdat Roundcube inmiddels aanvullende beveiligingsupdates heeft uitgebracht, adviseert Vservs beheerders om waar mogelijk direct naar de actuele Roundcube 1.6.19- of 1.7.4-securityrelease te gaan.

Controleer daarnaast expliciet of virtuser_query actief is en onderzoek kwetsbare internet-facing installaties op verdachte requests en databaseactiviteit.

Bronnen

• Roundcube – Security updates 1.6.16 and 1.7.1 released, 24 mei 2026
• Roundcube – Security updates 1.6.19 and 1.7.4 released, 6 september 2026
• Canadian Centre for Cyber Security – Roundcube security advisory AV26-503, bijgewerkt 21 september 2026
• MITRE/CVE – CVE-2026-48842, pre-authentication SQL injection in virtuser_query
• SentinelOne Vulnerability Database – technische analyse van CVE-2026-48842

Een nieuwe Elementor-kwetsbaarheid met CVE-nummer CVE-2026-62062 kan ertoe leiden dat een aanvaller via een gemanipuleerde link acties uitvoert met de rechten van een ingelogde WordPress-gebruiker. Wanneer een WordPress-beheerder de link opent, kan de kwetsbaarheid op een standaardinstallatie worden misbruikt om onder andere een nieuw administratoraccount aan te maken. Elementor 4.3.0 en 4.3.1 zijn kwetsbaar. Het probleem is opgelost in Elementor 4.3.2.

Elementor Website Builder is een van de meest gebruikte WordPress-plugins en is actief op ongeveer 10 miljoen websites. Volgens statistieken van WordPress.org kunnen de twee kwetsbare releases op maximaal ongeveer 2 miljoen websites zijn geïnstalleerd. Door deze grote installed base en de mogelijke impact adviseert Vservs om Elementor 4.3.0 en 4.3.1 direct bij te werken.

Wat is de Elementor-kwetsbaarheid CVE-2026-62062?

CVE-2026-62062 is een Cross-Site Request Forgery-kwetsbaarheid (CSRF) in Elementor Website Builder. Patchstack beoordeelt de kwetsbaarheid met een CVSS-score van 8,8.

• CVE: CVE-2026-62062
• Software: Elementor Website Builder voor WordPress
• Kwetsbare versies: Elementor 4.3.0 en 4.3.1
• Veilige versie: Elementor 4.3.2 of nieuwer
• Type: Cross-Site Request Forgery / Broken Access Control
• CVSS: 8,8
• Gebruikersinteractie: vereist
• Mogelijke impact: acties uitvoeren met de rechten van een ingelogde gebruiker, waaronder het aanmaken van een administratoraccount wanneer een beheerder wordt getroffen

Hoe werkt de kwetsbaarheid?

De kwetsbaarheid bevindt zich in de Editor Events-functionaliteit van Elementor. Normaal beschermt WordPress gevoelige REST API-acties met onder andere nonce-validatie om te voorkomen dat een externe partij een ingelogde gebruiker ongewenste acties laat uitvoeren.

Volgens de technische analyse van Patchstack controleert de kwetsbare Elementor-code de volledige request-URI op de aanwezigheid van het pad elementor/v1/events/. Wanneer deze tekenreeks wordt aangetroffen, kan de gebruikelijke WordPress REST nonce-validatie worden overgeslagen.

Het probleem is dat de request-URI ook door de aanvaller beïnvloedbare queryparameters bevat. Een aanvaller kan de betreffende tekenreeks daardoor toevoegen aan een request voor een andere WordPress REST API-route.

Wanneer een ingelogde WordPress-gebruiker vervolgens een speciaal geconstrueerde link opent, kan zijn of haar bestaande sessie worden gebruikt om een REST API-actie uit te voeren waarvoor dat account bevoegd is.

Een enkele link kan voldoende zijn

Deze aanval vereist interactie van een ingelogde WordPress-gebruiker. Een aanvaller kan CVE-2026-62062 dus niet simpelweg op afstand gebruiken om zonder enige interactie een administratoraccount op iedere kwetsbare website aan te maken.

De benodigde interactie is echter beperkt. Volgens de analyse is het openen van een gemanipuleerde link voldoende. Er is geen aparte kwaadaardige website, JavaScript-code of formulierinzending nodig.

Een dergelijke link kan bijvoorbeeld via e-mail, chat of een bericht aan een WordPress-beheerder worden aangeboden.

Wanneer de ingelogde gebruiker een administrator is, kunnen REST API-acties met administratorrechten worden uitgevoerd. Op een standaard WordPress-installatie kan dit worden misbruikt om een nieuw administratoraccount onder controle van de aanvaller aan te maken.

Welke Elementor-versies zijn kwetsbaar?

De kwetsbaarheid is specifiek aanwezig in:

• Elementor 4.3.0 – kwetsbaar
• Elementor 4.3.1 – kwetsbaar
• Elementor 4.3.2 – gepatcht

De kwetsbare Editor Events-proxy is volgens de beschikbare technische informatie niet aanwezig in Elementor-versies vóór 4.3.0. Dit betekent echter niet dat teruggaan naar een oudere Elementor-versie een veilige oplossing is. Oudere Elementor-releases kunnen andere reeds bekende beveiligingsproblemen bevatten.

De juiste oplossing is daarom updaten naar Elementor 4.3.2 of een nieuwere beschikbare versie.

Hoe groot is het risico?

Elementor is actief op ongeveer 10 miljoen WordPress-websites. BleepingComputer meldt op basis van WordPress.org-statistieken dat Elementor 4.3.0 en 4.3.1 samen op maximaal ongeveer 2 miljoen websites kunnen worden gebruikt.

De combinatie van een zeer grote installed base, beperkte benodigde gebruikersinteractie en de mogelijkheid om bij een ingelogde administrator uiteindelijk een eigen beheerdersaccount aan te maken, maakt deze kwetsbaarheid relevant voor WordPress-beheerders en hostingproviders.

Wordt CVE-2026-62062 actief misbruikt?

Op het moment van deze publicatie heeft Vservs geen betrouwbare bevestiging gevonden dat CVE-2026-62062 actief in het wild wordt misbruikt.

Patchstack verwacht dat kwetsbaarheden van dit type interessant kunnen zijn voor aanvallers, maar een verwachting van toekomstige exploitatie is niet hetzelfde als bewijs van daadwerkelijke aanvallen.

We adviseren daarom snel te patchen vanwege de technische impact en grote installed base, niet omdat er op dit moment bevestigde actieve exploitatie is vastgesteld.

Wat moeten WordPress-beheerders doen?

• Controleer onmiddellijk welke Elementor-versie op de website is geïnstalleerd.
• Update Elementor 4.3.0 of 4.3.1 naar Elementor 4.3.2 of nieuwer.
• Gebruik geen downgrade naar een oude Elementor-versie als beveiligingsmaatregel.
• Controleer of automatische pluginupdates daadwerkelijk succesvol zijn uitgevoerd.
• Waarschuw WordPress-beheerders voor onverwachte links die hen naar hun eigen WordPress-website sturen.
• Controleer administratoraccounts wanneer een website gedurende de kwetsbare periode Elementor 4.3.0 of 4.3.1 gebruikte.

Controle op mogelijke compromittering

Omdat succesvolle exploitatie via de sessie van een ingelogde gebruiker kan leiden tot ongewenste WordPress REST API-acties, adviseert Vservs bij verdachte omstandigheden vooral de gebruikersadministratie en relevante webserverlogs te controleren.

• Controleer onder Gebruikers of onbekende administratoraccounts zijn aangemaakt.
• Controleer wanneer recent aangemaakte administratoraccounts zijn geregistreerd.
• Controleer of e-mailadressen, rollen of wachtwoorden van bestaande beheerders onverwacht zijn gewijzigd.
• Onderzoek webserver-accesslogs op opvallende REST API-requests tijdens actieve administratorsessies.
• Let op requests met onverwachte queryparameters waarin elementor/v1/events/ voorkomt.
• Controleer op onverwachte wijzigingen aan plugins, themes en WordPress-instellingen.
• Controleer of onbekende plugins of must-use plugins zijn toegevoegd.
• Onderzoek onverwachte wijzigingen aan bestanden wanneer een ongeautoriseerd administratoraccount wordt aangetroffen.

Het aantreffen van een verdachte request betekent niet automatisch dat een website succesvol is gecompromitteerd. Wanneer echter een onbekend administratoraccount of andere ongeautoriseerde wijziging wordt aangetroffen, moet de installatie verder worden onderzocht.

Waarom snel updaten belangrijk is

De kwetsbaarheid werd op 22 september 2026 aan Elementor gemeld. Elementor bracht twee dagen later versie 4.3.2 uit met een oplossing. Patchstack maakte de kwetsbaarheid op 25 september 2026 openbaar.

Nu de technische werking van de kwetsbaarheid publiek bekend is, kunnen aanvallers deze informatie gebruiken om exploitatiemethoden te ontwikkelen. Dat is een extra reden om kwetsbare installaties niet onnodig op Elementor 4.3.0 of 4.3.1 te laten draaien.

Managed WordPress en Managed VPS bij Vservs

Vservs volgt beveiligingsproblemen in WordPress Core, plugins, themes en onderliggende servercomponenten actief. Bij onze Managed WordPress-diensten verzorgen we onder andere beveiligingsupdates, hardening, monitoring, malwarecontrole, back-ups en technisch WordPress-beheer.

Voor websites en applicaties die een eigen serveromgeving nodig hebben, biedt Vservs ook Managed VPS. Daarbij verzorgen we onder andere technisch serverbeheer, relevante beveiligingsupdates, monitoring en server hardening.

Bij unmanaged hosting en unmanaged VPS-servers blijft het controleren en installeren van WordPress-, plugin-, theme- en serverupdates de verantwoordelijkheid van de beheerder.

Conclusie

De Elementor-kwetsbaarheid CVE-2026-62062 maakt het mogelijk om de bescherming rond WordPress REST API-acties te omzeilen wanneer een ingelogde gebruiker een speciaal geconstrueerde link opent.

Bij een ingelogde WordPress-administrator kan dit op een standaardinstallatie worden misbruikt om een nieuw administratoraccount onder controle van een aanvaller aan te maken.

Elementor 4.3.0 en 4.3.1 zijn kwetsbaar en versie 4.3.2 bevat de beveiligingsfix. Er is op dit moment geen betrouwbare bevestiging van actieve exploitatie.

Vservs adviseert beheerders daarom Elementor 4.3.0 en 4.3.1 direct bij te werken naar Elementor 4.3.2 of nieuwer.

Bronnen

• Patchstack – Elementor Website Builder CVE-2026-62062, gepubliceerd 25 september 2026
• BleepingComputer – Elementor WordPress flaw lets attackers create admin accounts, 25 september 2026
• WordPress.org – Elementor Website Builder plugininformatie en gebruiksstatistieken

De Drupal Webform kwetsbaarheid CVE-2026-96355 kan onder specifieke configuraties door een niet-geauthenticeerde aanvaller worden misbruikt en uiteindelijk leiden tot remote code execution op de webserver.

Het Drupal Security Team publiceerde de beveiligingsmelding op 23 september 2026 onder advisory SA-CONTRIB-2026-175.

De kwetsbaarheid is bijzonder relevant omdat Webform een van de breedst gebruikte Drupal-modules is. Volgens de officiële gebruiksstatistieken van Drupal.org rapporteren momenteel meer dan 331.000 Drupal-sites het gebruik van Webform.

Niet iedere Webform-installatie is automatisch exploiteerbaar. Voor succesvolle uitbuiting moet een specifieke configuratie aanwezig zijn. Vanwege de mogelijke impact en het feit dat de kwetsbaarheid zonder bestaand gebruikersaccount bereikbaar kan zijn, adviseert Vservs echter om getroffen installaties direct bij te werken.

Feiten over de Drupal Webform kwetsbaarheid CVE-2026-96355

• Getroffen product: Drupal Webform-module
• Security advisory: SA-CONTRIB-2026-175
• CVE: CVE-2026-96355
• Type kwetsbaarheid: Remote Code Execution
• Drupal Security Risk: Critical – 18/25
• Attack complexity: Basic
• Authenticatie vereist: nee
• Mogelijke impact: informatielek, stored cross-site scripting en onder bepaalde omstandigheden remote code execution
• Kwetsbare 6.2.x-versies: ouder dan 6.2.12
• Kwetsbare 6.3.x-versies: 6.3.0 en ouder dan 6.3.1
• Veilige 6.2.x-versie: 6.2.12 of nieuwer
• Veilige 6.3.x-versie: 6.3.1 of nieuwer
• Exploitstatus: geen bevestigde actieve exploitatie; Drupal classificeert exploitatie momenteel als theoretisch
• Vereiste actie: getroffen Webform-installaties onmiddellijk bijwerken

Wat is Drupal Webform?

Webform is een uitgebreide Drupal-module waarmee beheerders formulieren kunnen bouwen, inzendingen kunnen verzamelen en de ontvangen gegevens in verschillende formaten kunnen verwerken en weergeven.

De module wordt gebruikt voor onder andere contactformulieren, registratieformulieren, aanvragen, enquêtes en andere workflows waarbij bezoekers gegevens naar een Drupal-website verzenden.

Volgens de officiële Drupal-gebruiksstatistieken rapporteerden in de week van 13 september 2026 in totaal 331.609 websites dat zij Webform gebruiken.

Dat grote gebruiksbereik maakt een kritieke kwetsbaarheid in Webform relevant voor Drupal-beheerders en hostingproviders.

Hoe werkt CVE-2026-96355?

De kwetsbaarheid bevindt zich in de manier waarop Webform bepaalde templates voor de weergave van ingezonden waarden verwerkt.

Webform ondersteunt tokens waarmee gegevens uit een formulierinzending dynamisch in andere uitvoer kunnen worden opgenomen.

Volgens het Drupal Security Team sluit de kwetsbare versie bepaalde format-templates onvoldoende uit van deze token replacement.

Hierdoor kan door een bezoeker aangeleverde data in een kwetsbare configuratie uiteindelijk worden geïnterpreteerd als template-code wanneer de inzending wordt weergegeven.

Afhankelijk van de configuratie van de website en aanvullende ingeschakelde Drupal-modules kan dit verschillende gevolgen hebben.

• ongeautoriseerde toegang tot informatie;
• stored cross-site scripting;
• remote code execution op de server.

Geen Drupal-account vereist

Een belangrijk aspect van CVE-2026-96355 is dat volgens de officiële Drupal-classificatie geen authenticatie vereist is.

Een externe bezoeker die toegang heeft tot een getroffen Webform kan dus onder de juiste omstandigheden de invoer leveren waarmee de kwetsbare verwerking wordt geactiveerd.

Dat betekent niet dat iedere openbare Webform-installatie direct tot code execution leidt.

Specifieke Webform-configuratie vereist

Het Drupal Security Team geeft expliciet aan dat de kwetsbaarheid wordt beperkt door de vereiste configuratie.

Een getroffen formulier moet gebruikmaken van een aangepast item-format voor meerdere waarden waarin tokens voor submission values zijn opgenomen.

Voor sommige vormen van impact zijn bovendien aanvullende modules of andere sitespecifieke instellingen nodig.

Drupal classificeert de technische distributie daarom als Uncommon.

Het is echter niet verstandig om uitsluitend op basis daarvan aan te nemen dat een installatie veilig is. Het controleren van alle Webform-configuraties kan aanzienlijk meer tijd kosten dan het installeren van de beschikbare beveiligingsupdate.

Remote code execution heeft ernstige gevolgen

Wanneer de omstandigheden voor remote code execution aanwezig zijn, kan een succesvolle aanvaller opdrachten uitvoeren binnen de rechten van het account waaronder de webserver of PHP draait.

Afhankelijk van de serverconfiguratie kan dit onder andere leiden tot:

• het plaatsen of wijzigen van bestanden binnen de website;
• het installeren van malware of een backdoor;
• toegang tot Drupal-configuratie en lokaal beschikbare credentials;
• uitlezen of manipuleren van websitegegevens;
• misbruik van de website voor phishing, spam of verdere aanvallen;
• persistentie binnen de Drupal-installatie;
• mogelijk verdere uitbreiding van toegang wanneer andere beveiligingsproblemen aanwezig zijn.

Een bevestigde succesvolle RCE moet daarom als een mogelijke volledige compromise van de betreffende website worden behandeld.

Update Webform onmiddellijk

Het Drupal Security Team heeft beveiligde versies beschikbaar gesteld.

Gebruik je de Webform 6.2.x-branch, update dan naar:

Webform 6.2.12 of nieuwer.

Gebruik je de Webform 6.3.x-branch, update dan naar:

Webform 6.3.1 of nieuwer.

Voor Composer-managed Drupal-installaties moet de Webform-package via de normale Composer-workflow worden bijgewerkt. Controleer daarbij altijd welke branch door de betreffende Drupal-installatie wordt gebruikt en voer na de update de gebruikelijke Drupal database-updates en cache rebuild uit wanneer die voor de installatie van toepassing zijn.

Controleer de geïnstalleerde versie

Beheerders moeten niet alleen controleren of Drupal Core actueel is, maar specifiek ook de versie van de Webform-module controleren.

Een actuele Drupal Core-versie beschermt niet tegen een kwetsbaarheid in een afzonderlijke contributed module.

Controleer daarom minimaal:

• of Webform geïnstalleerd en ingeschakeld is;
• welke Webform-versie daadwerkelijk door de website wordt gebruikt;
• of de installatie zich op de 6.2.x- of 6.3.x-branch bevindt;
• of Composer daadwerkelijk de gepatchte package heeft geïnstalleerd;
• of na de update de Drupal-caches correct zijn opgebouwd.

Geen bevestigde actieve exploitatie

Op het moment van deze publicatie is er geen betrouwbare bevestiging gevonden dat CVE-2026-96355 actief in het wild wordt misbruikt.

Het Drupal Security Team vermeldt voor de exploit maturity expliciet Theoretical.

Vservs classificeert CVE-2026-96355 daarom op dit moment niet als actief misbruikt.

Dit verandert niets aan de noodzaak om te updaten. De kwetsbaarheid is door Drupal als Critical beoordeeld, kan zonder authenticatie bereikbaar zijn en kan in een getroffen configuratie leiden tot remote code execution.

Zijn er compromise-indicatoren?

Het Drupal Security Team heeft bij de advisory geen specifieke IP-adressen, bestandsnamen, hashes, URL-paden of andere betrouwbare Indicators of Compromise gepubliceerd.

Vservs adviseert daarom niet om op niet-geverifieerde IoC’s te vertrouwen.

Wanneer er aanleiding is om misbruik te vermoeden, controleer dan breder op afwijkingen rond Webform-inzendingen en de Drupal-installatie.

• onverwachte of duidelijk gemanipuleerde Webform-inzendingen;
• onverklaarbare wijzigingen aan Drupal-, module- of theme-bestanden;
• onbekende PHP-bestanden binnen schrijfbare directories;
• onverwachte nieuwe gebruikers of gewijzigde beheerdersrechten;
• afwijkende processen die onder het webserver- of PHP-account zijn uitgevoerd;
• webserver- en PHP-logs rond verdachte formulierinzendingen;
• onverwachte uitgaande netwerkverbindingen vanaf de webserver;
• recent gewijzigde bestanden die niet door een geplande deployment of update verklaard kunnen worden.

Deze controles zijn algemene compromise-checks en geen bewijs dat CVE-2026-96355 daadwerkelijk is misbruikt.

Alleen het formulier uitschakelen is geen structurele oplossing

Omdat een beveiligingsupdate beschikbaar is, adviseert Vservs om niet te vertrouwen op zelfbedachte filters, WAF-regels of wijzigingen aan individuele Webform-configuraties als vervanging voor de patch.

De aantoonbaar veilige maatregel uit de officiële Drupal-advisory is het installeren van de gepatchte Webform-versie.

Wanneer een update door een technisch probleem niet onmiddellijk kan worden uitgevoerd, kan het tijdelijk uitschakelen of ontoegankelijk maken van een aantoonbaar getroffen Webform de attack surface beperken. Dit moet uitsluitend als tijdelijke maatregel worden gezien totdat de beveiligingsupdate kan worden geïnstalleerd.

Webform kreeg meerdere beveiligingsupdates

Het Drupal Security Team publiceerde op 23 september meerdere advisories voor Webform.

Naast CVE-2026-96355 zijn onder andere problemen opgelost rond access control, file uploads en cross-site scripting.

Dit is een extra reden om niet uitsluitend een losse workaround voor CVE-2026-96355 toe te passen, maar de volledige actuele Webform-release te installeren.

Verantwoordelijkheid voor CMS- en beveiligingsupdates

Klanten zonder Managed WordPress/CMS-onderhoud of een afzonderlijk overeengekomen managed CMS-dienst zijn zelf verantwoordelijk voor het tijdig bijwerken van Drupal, WordPress, WooCommerce, andere CMS-platformen, plugins, modules, extensies en thema’s.

Wanneer misbruik, malware of aantoonbaar achterstallig onderhoud ertoe leidt dat een website of dienst een risico vormt voor onze infrastructuur, andere klanten of derden, kan Vservs de getroffen website of dienst tijdelijk isoleren of uitschakelen.

Dit gebeurt uitsluitend als veiligheids- en continuïteitsmaatregel om verdere schade, misbruik of verstoring van onze infrastructuur en dienstverlening te voorkomen.

Herstelwerkzaamheden aan niet-managed omgevingen buiten onze reguliere openingstijden, in weekenden of op feestdagen zijn afhankelijk van de ernst van het incident en de beschikbare capaciteit. Wanneer onmiddellijk ingrijpen niet noodzakelijk is, kunnen herstelwerkzaamheden vanaf de eerstvolgende werkdag worden opgepakt.

Managed hosting van Vservs

Kwetsbaarheden zoals CVE-2026-96355 laten zien dat CMS-beveiliging niet ophoudt bij het updaten van Drupal Core. Ook veelgebruikte modules moeten actief worden gevolgd en tijdig worden bijgewerkt.

Voor bedrijfskritische CMS-omgevingen kan Vservs ondersteuning bieden met Managed VPS, waarbij wij het onderliggende serversysteem, de beveiliging en monitoring beheren.

CMS-, module- en applicatieonderhoud valt alleen onder het beheer wanneer dit afzonderlijk is overeengekomen.

Conclusie

CVE-2026-96355 is een kritieke kwetsbaarheid in de veelgebruikte Drupal Webform-module.

Onder specifieke configuraties kan invoer van een niet-geauthenticeerde bezoeker uiteindelijk als template-code worden verwerkt. Afhankelijk van de websiteconfiguratie kan dit leiden tot informatielekken, stored cross-site scripting of remote code execution.

Webform 6.2.x moet worden bijgewerkt naar minimaal 6.2.12. Installaties op de 6.3.x-branch moeten minimaal 6.3.1 gebruiken.

Er is momenteel geen betrouwbare bevestiging van actieve exploitatie. De mogelijke impact is echter ernstig genoeg om niet op exploitmeldingen te wachten.

Controleer Drupal-installaties daarom direct op het gebruik van Webform en installeer de gepatchte versie.

Bronnen

• Drupal Security Advisory SA-CONTRIB-2026-175 – Webform Critical Remote Code Execution
• Drupal.org – officiële gebruiksstatistieken voor Webform
• Drupal.org – Security Advisories

De Paytium kwetsbaarheid CVE-2026-18467 maakt het mogelijk dat een externe aanvaller onder de beschreven voorwaarden zonder WordPress-account Administrator-rechten verkrijgt via de WordPress-plugin Paytium: Mollie payment forms & donations.

De kwetsbaarheid wordt gevolgd als CVE-2026-18467 en heeft een CVSS-score van 9.8 (Critical).

Paytium wordt gebruikt om via WordPress betalingen en donaties te verwerken met onder andere Mollie, iDEAL/Wero, Bancontact, PayPal en SEPA. Volgens WordPress.org heeft de plugin momenteel meer dan 2.000 actieve installaties.

Alle Paytium-versies tot en met 5.0.3 zijn kwetsbaar. De volledige beveiligingscorrectie is beschikbaar vanaf Paytium 5.0.4. Inmiddels is versie 5.0.5 beschikbaar.

Feiten over de Paytium kwetsbaarheid CVE-2026-18467

• Getroffen product: Paytium: Mollie payment forms & donations voor WordPress
• CVE: CVE-2026-18467
• Ernst: Critical
• CVSS: 9.8
• Type kwetsbaarheid: unauthenticated privilege escalation
• CWE: CWE-269 – Improper Privilege Management
• Kwetsbare versies: alle versies tot en met 5.0.3
• Eerste volledig gepatchte versie: 5.0.4
• Actuele versie: 5.0.5
• Authenticatie vereist: nee
• User interaction vereist: nee
• Exploitvoorwaarde: een publiek bereikbaar Paytium-betaalformulier waarbij de aanvaller de vereiste betaalflow kan voltooien
• Mogelijke impact: aanmaken van een WordPress Administrator-account en volledige overname van de website
• Exploitstatus: geen betrouwbare bevestiging van actieve exploitatie in het wild aangetroffen
• Vereiste actie: update onmiddellijk naar minimaal Paytium 5.0.4 en bij voorkeur naar de actuele 5.0.5-release

Wat is Paytium?

Paytium is een WordPress-plugin waarmee websites relatief eenvoudig betaal- en donatieformulieren kunnen aanbieden.

De plugin maakt daarbij gebruik van Mollie als payment service provider en ondersteunt onder andere iDEAL/Wero, creditcards, Bancontact, PayPal, SEPA en terugkerende betalingen.

Paytium kan daarnaast gegevens uit betaalformulieren gebruiken om WordPress-gebruikers aan te maken en gebruikersgegevens op te slaan.

Juist die functionaliteit speelt een belangrijke rol bij CVE-2026-18467.

Aanvaller kan zelf de WordPress-gebruikersrol beïnvloeden

De kwetsbaarheid bevindt zich in de verwerking van formulierdata die uiteindelijk wordt gebruikt bij het aanmaken van een WordPress-gebruiker.

Paytium gebruikt hiervoor onder andere de waarde:

pt-user-role

Deze waarde bepaalt welke WordPress-rol aan een nieuw account wordt toegewezen.

Bij correcte verwerking mag een bezoeker uiteraard niet zelf kunnen bepalen dat een nieuw account bijvoorbeeld de rol administrator krijgt.

Door CVE-2026-18467 kan een externe aanvaller deze beveiligingsgrens echter omzeilen.

Versie 5.0.3 bleek onvoldoende beschermd

Een belangrijk detail is dat Paytium 5.0.3 al een beveiligingswijziging bevatte voor privilege escalation via een verborgen role-parameter.

Daarbij werd een integriteitscontrole toegevoegd aan het veld pt-paytium-user-data met behulp van WordPress wp_hash() en hash_equals().

De vandaag gepubliceerde analyse laat echter zien dat er nog een tweede verwerkingspad bestond waarmee de controle kon worden omzeild.

De functie pt_cf_checkout_meta() wordt gekoppeld aan de pt_meta_values-hook en verwerkt formulierwaarden uit:

$_POST['pt_form_field']

Deze waarden werden zonder dezelfde signature-verificatie aan de payment metadata toegevoegd.

pt-user-role kan de beveiligde waarde overschrijven

Een aanvaller kan hierdoor een gemanipuleerde waarde voor:

pt_form_field[pt-user-role]

meesturen.

Deze waarde kan de eerder beveiligde gebruikersrol overschrijven.

Wanneer Paytium later de gebruiker aanmaakt, leest de functie paytium_user_data_processing() de opgeslagen _pt-user-role-metadata en gebruikt deze waarde uiteindelijk bij wp_insert_user().

Daardoor kan een aanvaller zichzelf de WordPress-rol Administrator laten toewijzen.

Geen bestaand WordPress-account nodig

CVE-2026-18467 is bijzonder ernstig omdat de aanvaller vooraf geen WordPress-account nodig heeft.

De CVSS-vector vermeldt:

• Attack Vector: Network
• Attack Complexity: Low
• Privileges Required: None
• User Interaction: None

Een website met een publiek bereikbaar Paytium-formulier kan daardoor rechtstreeks vanaf internet worden aangevallen wanneer aan de overige exploitvoorwaarden wordt voldaan.

De betaalflow moet wel worden voltooid

Voor de beschreven aanval is een publiek bereikbaar Paytium-shortcodeformulier nodig.

De aanvaller moet via dat formulier een betaling indienen en de daaruit voortkomende betaalflow voltooien.

De kwetsbaarheid is daardoor niet simpelweg via ieder willekeurig HTTP-request exploiteerbaar.

Dat neemt het risico echter nauwelijks weg bij websites die Paytium juist gebruiken waarvoor de plugin bedoeld is: publiek toegankelijke betaal-, bestel- of donatieformulieren.

Volledige WordPress-overname mogelijk

Wanneer de aanval slaagt, kan een nieuw WordPress-account met Administrator-rechten worden aangemaakt.

Daarmee krijgt de aanvaller in beginsel volledige administratieve controle over WordPress.

Een Administrator kan afhankelijk van de websiteconfiguratie onder andere:

• plugins installeren en activeren;
• themes installeren of wijzigen;
• andere gebruikers en Administrators aanmaken;
• bestaande accounts wijzigen;
• websitecontent manipuleren;
• instellingen wijzigen;
• gegevens uit WordPress en gekoppelde plugins benaderen;
• malware of een permanente backdoor installeren;
• kwaadaardige PHP-code op de website introduceren.

Een succesvolle privilege escalation moet daarom als een mogelijke volledige websitecompromittering worden behandeld.

Update onmiddellijk naar Paytium 5.0.5

De leverancier heeft de kwetsbaarheid opgelost in Paytium 5.0.4.

De officiële WordPress.org-changelog vermeldt bij versie 5.0.4 expliciet:

“Paytium version 5.0.4 includes a patch for critical privilege escalation vulnerabilities that can be exploited by un-authenticated users.”

Daarnaast noemt de leverancier specifiek de correctie voor unauthenticated privilege escalation via de pt_form_field[pt-user-role]-parameter.

Inmiddels is Paytium 5.0.5 beschikbaar.

Vservs adviseert daarom niet op 5.0.4 te blijven wanneer zonder compatibiliteitsproblemen naar de actuele versie kan worden bijgewerkt.

1. Controleer of Paytium op de website is geïnstalleerd.
2. Controleer het volledige versienummer.
3. Update iedere installatie op versie 5.0.3 of ouder onmiddellijk.
4. Installeer bij voorkeur Paytium 5.0.5 of een nieuwere ondersteunde release.
5. Test na de update de gebruikte betaal- en donatieformulieren.
6. Controleer ook terugkerende betalingen en eventuele user-registrationfunctionaliteit.

Tijdelijke maatregel wanneer direct updaten onmogelijk is

Wanneer de update om een aantoonbare technische reden niet onmiddellijk kan worden uitgevoerd, is het uitschakelen van Paytium of het ontoegankelijk maken van de betrokken publieke Paytium-formulieren de veiligste tijdelijke maatregel.

Omdat de kwetsbaarheid juist via formulier- en paymentprocessing bereikbaar is, moet worden voorkomen dat onbekende bezoekers de kwetsbare flow kunnen starten.

Dit is uitsluitend een tijdelijke veiligheidsmaatregel. De structurele oplossing blijft het installeren van Paytium 5.0.4 of nieuwer.

Controleer Administrator-accounts

Websites waarop Paytium 5.0.3 of ouder met publiek bereikbare betaalformulieren heeft gedraaid, moeten naast de update worden gecontroleerd op onverwachte gebruikersaccounts.

Controleer in WordPress minimaal:

• alle accounts met de rol Administrator;
• recent aangemaakte gebruikersaccounts;
• accounts met onbekende e-mailadressen;
• accounts die qua naam lijken op bestaande beheerders;
• onverwachte wijzigingen van rollen van bestaande gebruikers;
• accounts die zijn aangemaakt rond onbekende Paytium-betalingen.

Controleer daarbij niet uitsluitend de zichtbare gebruikersnaam. Een aanvaller kan bewust een naam kiezen die op een legitieme beheerder lijkt.

Controleer Paytium-betalingen en logs

Omdat exploitatie volgens de gepubliceerde informatie een Paytium-paymentflow gebruikt, zijn ook Paytium-transacties en beschikbare logs relevant.

Controleer waar mogelijk:

• onbekende of onverwachte Paytium-betalingen;
• zeer kleine of afwijkende betalingen zonder duidelijke zakelijke reden;
• betalingen die samenvallen met het aanmaken van een WordPress-account;
• requests waarin pt_form_field voorkomt;
• requests waarin pt-user-role wordt meegestuurd;
• requests waarin een Administrator-rol wordt geprobeerd op te geven;
• WordPress-gebruikersregistraties direct na Paytium-transacties.

Het aantreffen van een gemanipuleerde pt-user-role-parameter in een publiek request verdient onmiddellijke aandacht.

Controleer op verdere persistentie

Wanneer een onbekend Administrator-account wordt aangetroffen, verwijder dan niet alleen het account en beschouw het incident daarna als opgelost.

Een WordPress Administrator kan al aanvullende persistentie hebben geplaatst.

Controleer in dat geval ook:

• recent geïnstalleerde of gewijzigde plugins;
• onbekende must-use plugins;
• recent gewijzigde themes;
• onverwachte PHP-bestanden;
• wp-content/uploads/ op uitvoerbare of verdachte bestanden;
• WordPress Core-bestanden op wijzigingen;
• WordPress-cronjobs;
• andere Administrator-accounts;
• API- en applicatiewachtwoorden;
• beschikbare webserver- en PHP-logs.

Wanneer blijkt dat een ongeautoriseerde Administrator daadwerkelijk op de website heeft ingelogd, behandel de omgeving dan als gecompromitteerd.

Wijzig credentials na bevestigde compromittering

Bij een bevestigde websiteovername moet rekening worden gehouden met het feit dat een aanvaller met Administrator-rechten aanvullende toegang kan hebben verkregen.

Roteer daarom relevante credentials en secrets, waaronder waar van toepassing:

• WordPress Administrator-wachtwoorden;
• WordPress salts;
• databasecredentials;
• FTP- en SFTP-credentials;
• SMTP-credentials;
• API-sleutels;
• Mollie API-credentials wanneer er aanwijzingen zijn dat deze toegankelijk zijn geweest;
• andere secrets die vanuit de WordPress-installatie konden worden benaderd.

Geen bevestigde actieve exploitatie

CVE-2026-18467 is op 24 september 2026 als kritieke kwetsbaarheid gepubliceerd en de technische aanvalsketen is voldoende gedocumenteerd om het risico te bevestigen.

Vservs heeft tijdens deze controle echter geen betrouwbare bevestiging gevonden dat CVE-2026-18467 momenteel actief in het wild wordt misbruikt.

De kwetsbaarheid staat op dit moment ook niet in de CISA Known Exploited Vulnerabilities Catalog.

Wij classificeren CVE-2026-18467 daarom niet als actief misbruikt.

Dat vermindert de urgentie van de update niet. Een niet-ingelogde aanvaller kan onder de beschreven voorwaarden rechtstreeks Administrator-rechten verkrijgen en daarmee de WordPress-site volledig overnemen.

Verantwoordelijkheid voor WordPress en CMS security updates

Klanten zonder Managed WordPress/CMS-onderhoud of een afzonderlijk overeengekomen managed CMS-dienst zijn zelf verantwoordelijk voor het tijdig bijwerken van WordPress, WooCommerce, andere CMS-systemen, plugins, extensies en thema’s.

Wanneer misbruik, malware of aantoonbaar achterstallig onderhoud ervoor zorgt dat een website of dienst een risico vormt voor onze infrastructuur, andere klanten of derden, kan Vservs de getroffen website of dienst tijdelijk isoleren of uitschakelen.

Dit gebeurt uitsluitend als veiligheids- en continuïteitsmaatregel om verdere schade, misbruik of verstoring van onze infrastructuur en diensten te voorkomen.

Herstelwerkzaamheden aan niet-managed omgevingen buiten onze reguliere openingstijden, tijdens weekenden of op feestdagen zijn afhankelijk van de ernst van het incident en beschikbare capaciteit. Wanneer direct ingrijpen niet noodzakelijk is, kunnen herstelwerkzaamheden vanaf de eerstvolgende werkdag worden uitgevoerd.

Managed WordPress van Vservs

CVE-2026-18467 laat opnieuw zien dat ook een relatief gespecialiseerde WordPress-plugin een directe route naar volledige websiteovername kan introduceren.

Met Vservs Managed WordPress Hosting verzorgen wij onder andere WordPress Core-, plugin- en theme-updates, security hardening, monitoring, malwarecontrole, back-ups en technisch WordPress-beheer.

Conclusie

CVE-2026-18467 in Paytium vereist onmiddellijke aandacht.

Een externe aanvaller kan onder de beschreven voorwaarden zonder bestaand WordPress-account een nieuwe gebruiker met Administrator-rechten laten aanmaken.

Alle Paytium-versies tot en met 5.0.3 zijn kwetsbaar. De beveiligingscorrectie is beschikbaar vanaf 5.0.4 en inmiddels is Paytium 5.0.5 de actuele release.

Update daarom onmiddellijk naar Paytium 5.0.5 of een nieuwere veilige versie.

Heeft een kwetsbare versie met publiek bereikbare Paytium-formulieren gedraaid, controleer dan ook alle Administrator-accounts, Paytium-transacties, webserverlogs en recent gewijzigde plugins en bestanden.

Wordt een ongeautoriseerd Administrator-account of andere aanwijzing voor succesvolle exploitatie gevonden, behandel de volledige WordPress-installatie dan als gecompromitteerd.

Bronnen

• Wordfence Threat Intelligence – Paytium security vulnerabilities
• WordPress.org – Paytium: Mollie payment forms & donations
• CVE Program – CVE-2026-18467

De WordPress Core-kwetsbaarheid CVE-2026-87902 maakt het voor een niet-ingelogde aanvaller onder bepaalde omstandigheden mogelijk om WordPress een gekozen lokaal PHP-bestand buiten de actieve theme-directory’s te laten includen. Wanneer daarnaast specifieke voorwaarden in het actieve theme en de serveromgeving aanwezig zijn, kan dit leiden tot remote code execution (RCE). WordPress heeft op 22 september 2026 versie 7.1.2 uitgebracht en adviseert websites onmiddellijk te updaten.

De kwetsbaarheid is bijzonder relevant omdat deze zich in WordPress Core bevindt en geen WordPress-account vereist. Patchstack heeft bovendien al enkele uren na het verschijnen van de beveiligingsupdate actieve probing naar kwetsbare websites waargenomen. Er is op dit moment echter geen bevestiging dat deze waargenomen scans daadwerkelijk tot succesvolle remote code execution of compromittering hebben geleid.

Wat is CVE-2026-87902?

CVE-2026-87902 bevindt zich in de verwerking van WordPress-paginatemplates. Een niet-geauthenticeerde aanvaller kan onder bepaalde voorwaarden de normale begrenzing van de template-resolutie omzeilen en WordPress een leesbaar lokaal PHP-bestand buiten de directory’s van het actieve theme laten includen.

Patchstack classificeert het probleem als path traversal die leidt tot Local File Inclusion (LFI) en, wanneer aanvullende voorwaarden aanwezig zijn, mogelijk tot Remote Code Execution.

De kwetsbaarheid heeft volgens Patchstack een CVSS 4.0-score van 9,2.

• CVE: CVE-2026-87902
• Software: WordPress Core
• Kwetsbaarheid: Path Traversal / Local File Inclusion
• Mogelijke impact: Remote Code Execution onder specifieke voorwaarden
• CVSS: 9,2 / Critical
• Authenticatie vereist: nee
• Gebruikersinteractie vereist: nee

Welke WordPress-versies zijn kwetsbaar?

Volgens de gepubliceerde beveiligingsinformatie treft CVE-2026-87902 WordPress vanaf versie 4.7.0 tot en met WordPress 7.1.1.

Voor de huidige WordPress 7.1-serie is de kwetsbaarheid opgelost in WordPress 7.1.2. De beveiligingsfix is daarnaast door WordPress teruggezet naar oudere branches die nog voor security-backports in aanmerking komen.

• WordPress 7.1: update naar 7.1.2
• WordPress 7.0: update naar 7.0.6
• WordPress 6.9: update naar 6.9.9
• WordPress 6.8: update naar 6.8.10
• WordPress 6.7: update naar 6.7.9
• WordPress 6.5: update naar 6.5.12
• WordPress 6.1: update naar 6.1.14
• WordPress 6.0: update naar 6.0.16
• WordPress 5.9: update naar 5.9.18
• WordPress 4.8: update naar 4.8.32
• WordPress 4.7: update naar 4.7.37

Voor productieomgevingen adviseert Vservs waar mogelijk de actuele ondersteunde WordPress-versie te gebruiken in plaats van langdurig op een oude WordPress-branch te blijven draaien.

Wanneer kan de kwetsbaarheid leiden tot remote code execution?

Het is belangrijk om CVE-2026-87902 technisch correct te duiden. De aanwezigheid van een kwetsbare WordPress-versie betekent niet automatisch dat een aanvaller direct willekeurige PHP-code kan uitvoeren.

WordPress bevestigt dat voor remote code execution relevante voorwaarden aanwezig moeten zijn in zowel de serveromgeving als het actieve theme.

Patchstack meldt onder andere dat succesvolle escalatie afhankelijk kan zijn van de structuur van het actieve parent- of child-theme en van de aanwezigheid van een geschikt lokaal PHP-bestand dat door de webserver kan worden gelezen.

De eerste stap van de aanval is daarmee een Local File Inclusion. Onder een geschikte combinatie van WordPress-, theme-, PHP- en serverconfiguratie kan deze worden gebruikt als onderdeel van een keten die uiteindelijk tot code execution leidt.

Actieve probing naar kwetsbare WordPress-websites waargenomen

De snelheid waarmee aanvallers op de beveiligingsupdate reageerden is opvallend.

Patchstack meldt dat het op 22 september 2026 om 17:44 UTC de eerste probing naar CVE-2026-87902 waarnam. Dat was minder dan vijf uur nadat WordPress 7.1.2 was gepubliceerd.

Volgens Patchstack komen de gebruikte requests overeen met de specifieke encoding die door de beveiligingspatch wordt aangepakt. Dit wijst erop dat aanvallers de wijzigingen in de WordPress-code snel hebben geanalyseerd en vervolgens internet-facing WordPress-installaties zijn gaan testen.

Dit is nog geen bevestiging van succesvolle exploitatie. Patchstack benadrukt dat de tot dusver waargenomen requests normale WordPress Core-bestanden probeerden te includen. De waarnemingen tonen actieve probing, maar bewijzen niet dat aanvallers via CVE-2026-87902 daadwerkelijk willekeurige code hebben uitgevoerd.

Wat moeten WordPress-beheerders nu doen?

Omdat de kwetsbaarheid zich in WordPress Core bevindt, geen authenticatie vereist en er al actieve probing is waargenomen, adviseert Vservs om niet met de update te wachten.

• Update WordPress zo snel mogelijk naar 7.1.2 of de beveiligde release binnen de gebruikte WordPress-branch.
• Controleer of automatische WordPress Core-updates succesvol zijn uitgevoerd.
• Maak waar nodig vooraf een actuele back-up van bestanden en database.
• Controleer na de update of de website en het actieve theme correct functioneren.
• Controleer verouderde parent- en child-themes en verwijder themes die niet meer worden gebruikt.
• Controleer de PHP- en webserverconfiguratie en voorkom dat onnodige PHP-bestanden buiten de website toegankelijk of bruikbaar zijn.
• Blijf niet onnodig op oude WordPress-versies draaien, ook wanneer daarvoor nog een security-backport beschikbaar is.

Controle op mogelijke compromittering

Websites die op 22 september of daarna nog een kwetsbare WordPress-versie gebruikten, kunnen aanvullend worden gecontroleerd op verdachte activiteit.

Let onder andere op:

• ongebruikelijke requests die betrekking hebben op paginatemplates of onverwachte bestandspaden;
• path-traversalconstructies of opvallende URL-encoding in accesslogs;
• onverwachte PHP-bestanden in WordPress-, upload- of tijdelijke directory’s;
• recent gewijzigde WordPress Core-bestanden die niet overeenkomen met de officiële release;
• onbekende WordPress-beheerdersaccounts;
• onverwachte wijzigingen aan themes of plugins;
• nieuwe cronjobs of geplande WordPress-taken zonder bekende oorsprong;
• onverwachte uitgaande netwerkverbindingen vanuit de website;
• PHP-processen of webserverrequests die bestanden buiten de gebruikelijke WordPress-directory’s proberen te benaderen.

Het aantreffen van een probe in een accesslog betekent niet automatisch dat een website is gecompromitteerd. Voor succesvolle remote code execution moeten aanvullende voorwaarden aanwezig zijn.

Waarom deze WordPress Core-kwetsbaarheid extra aandacht verdient

Veel ernstige WordPress-kwetsbaarheden bevinden zich in afzonderlijke plugins of themes. CVE-2026-87902 zit daarentegen in WordPress Core zelf.

Hierdoor is de potentiële installed base zeer groot. Bovendien is geen gebruikersaccount nodig om een kwetsbare website te benaderen en is inmiddels aangetoond dat externe partijen kort na publicatie actief naar de kwetsbaarheid zijn gaan zoeken.

Dat maakt snel patchen belangrijk, ook wanneer de specifieke serveromgeving uiteindelijk niet aan alle voorwaarden voor remote code execution blijkt te voldoen.

Managed WordPress en Managed VPS bij Vservs

Vservs volgt beveiligingsproblemen in WordPress Core, plugins, themes en onderliggende servercomponenten actief. Bij onze Managed WordPress-diensten verzorgen we onder andere beveiligingsupdates, hardening, monitoring, malwarecontrole, back-ups en technisch WordPress-beheer.

Voor websites en applicaties die een eigen serveromgeving nodig hebben, biedt Vservs ook Managed VPS. Daarbij verzorgen we onder andere technisch serverbeheer, relevante beveiligingsupdates, monitoring en server hardening.

Bij unmanaged hosting en unmanaged VPS-servers blijft het controleren en installeren van WordPress-, plugin-, theme- en serverupdates de verantwoordelijkheid van de beheerder.

Conclusie

De WordPress Core-kwetsbaarheid CVE-2026-87902 is een ernstige path traversal- en Local File Inclusion-kwetsbaarheid die zonder authenticatie kan worden benaderd. Wanneer daarnaast specifieke voorwaarden in het theme en de serveromgeving aanwezig zijn, kan de kwetsbaarheid leiden tot remote code execution.

WordPress heeft versie 7.1.2 op 22 september 2026 uitgebracht om het probleem te verhelpen en adviseert websites onmiddellijk te actualiseren.

Patchstack heeft minder dan vijf uur na publicatie van de beveiligingsupdate al actieve probing naar de kwetsbaarheid waargenomen. Er is op het moment van deze publicatie echter geen bevestiging dat de waargenomen probes daadwerkelijk tot succesvolle remote code execution of compromittering hebben geleid.

Vservs adviseert WordPress-beheerders daarom WordPress direct naar 7.1.2 of de beveiligde versie van hun gebruikte branch bij te werken.

Bronnen

• WordPress.org – WordPress 7.1.2 Security Release, 22 september 2026
• WordPress.org – WordPress Release Archive
• Patchstack – WordPress 7.1.2 Security Release: Unauthenticated LFI to RCE
• Patchstack – CVE-2026-87902: Attackers Started Probing WordPress Sites Hours After the Patch

De GiveWP-kwetsbaarheid CVE-2026-85113 maakt het mogelijk dat aanvallers zonder WordPress-account willekeurige geregistreerde WordPress-shortcodes laten uitvoeren. De kwetsbaarheid heeft een CVSS-score van 6,5 en treft GiveWP-versies vóór 4.16.9. GiveWP wordt op meer dan 100.000 WordPress-websites gebruikt.

De GiveWP-kwetsbaarheid ontstaat doordat door donoren aangeleverde gegevens op openbare pagina’s kunnen worden weergegeven zonder shortcode-syntax voldoende te neutraliseren. Door shortcodes op een specifieke manier te nesten, kan deze beveiliging worden omzeild en kan WordPress de ingevoerde shortcode alsnog uitvoeren.

Voor succesvolle exploitatie is geen WordPress-account of andere authenticatie nodig. De daadwerkelijke impact verschilt echter per website en is afhankelijk van de shortcodes die door WordPress, het thema en geïnstalleerde plugins op de website zijn geregistreerd.

Wat is CVE-2026-85113?

CVE-2026-85113 betreft een injectiekwetsbaarheid in GiveWP waarbij door een donor ingevoerde gegevens later op een openbare pagina worden verwerkt.

GiveWP probeert shortcode-syntax uit deze gegevens te verwijderen. Volgens de beveiligingsmelding kan deze controle echter worden omzeild door shortcodeconstructies te nesten. Wanneer de betreffende donorinformatie vervolgens door WordPress wordt weergegeven, kan de ingesloten shortcode alsnog door WordPress worden geïnterpreteerd en uitgevoerd.

De kwetsbaarheid is ingedeeld als CWE-74: onvoldoende neutralisatie van speciale elementen voordat gegevens door een volgende component worden verwerkt.

Welke versies van GiveWP zijn kwetsbaar?

Volgens de CVE-informatie zijn GiveWP-versies ouder dan 4.16.9 kwetsbaar voor CVE-2026-85113.

• Kwetsbaar: GiveWP-versies vóór 4.16.9
• Gepatcht: GiveWP 4.16.9 of nieuwer
• CVE: CVE-2026-85113
• CVSS: 6.5 / Medium
• Authenticatie vereist: nee
• Gebruikersinteractie vereist: nee

Op het moment van deze publicatie vermeldt de officiële WordPress.org-pagina nog versie 4.16.8 als beschikbare release. Wanneer GiveWP 4.16.9 nog niet via het WordPress-dashboard of het gebruikte updatekanaal wordt aangeboden, controleer dan opnieuw bij de leverancier voordat de plugin opnieuw actief wordt gebruikt.

Waarom kan arbitrary shortcode execution gevaarlijk zijn?

Een WordPress-shortcode is op zichzelf geen willekeurige PHP-code. De ernst van deze kwetsbaarheid wordt daarom sterk bepaald door de shortcodes die op een specifieke WordPress-installatie beschikbaar zijn.

Veel plugins registreren eigen shortcodes waarmee gegevens worden opgevraagd, content wordt gegenereerd of bepaalde functies worden uitgevoerd. Wanneer een aanvaller zonder authenticatie zo’n shortcode kan aanroepen met zelfgekozen parameters, kunnen daardoor onbedoelde acties of informatielekken ontstaan.

Op een eenvoudige WordPress-installatie kan de praktische impact beperkt zijn. Op een uitgebreide website met veel plugins, maatwerkcode of krachtige shortcodes kan de impact aanzienlijk groter worden.

Geen bevestiging van actieve aanvallen

Er zijn op dit moment geen betrouwbare aanwijzingen dat CVE-2026-85113 actief op grote schaal wordt misbruikt.

De kwetsbaarheid staat momenteel ook niet in de Known Exploited Vulnerabilities Catalog van CISA. De beschikbaarheid van technische informatie over een kwetsbaarheid betekent bovendien niet automatisch dat daadwerkelijke aanvallen zijn waargenomen.

Vservs adviseert daarom om de kwetsbaarheid serieus te nemen en tijdig te patchen, maar er is op dit moment geen aanleiding om te spreken van een actieve wereldwijde aanvalscampagne.

Wat moeten GiveWP-gebruikers doen?

Controleer eerst welke versie van GiveWP op de WordPress-website actief is.

• Update GiveWP naar versie 4.16.9 of nieuwer zodra deze versie via het gebruikte updatekanaal beschikbaar is.
• Maak vooraf een actuele back-up van de website en database.
• Controleer na de update of donatieformulieren en betaalintegraties correct functioneren.
• Gebruik je nog een versie ouder dan 4.16.9 en is een veilige update niet beschikbaar, overweeg dan GiveWP tijdelijk uit te schakelen.
• Controleer welke plugins en maatwerkcode extra shortcodes op de website registreren.
• Verwijder plugins en functionaliteit die niet langer worden gebruikt.

Controle op mogelijke compromittering

Omdat de kwetsbaarheid misbruik maakt van door donoren aangeleverde waarden, is het verstandig recente donor- en formuliergegevens te controleren op onverwachte shortcode-syntax.

Let daarbij onder andere op:

• vierkante haken of geneste shortcodeconstructies in namen of andere door donoren ingevulde velden;
• onverwachte wijzigingen aan pagina’s of berichten waarop donorgegevens worden weergegeven;
• onbekende WordPress-gebruikers of gewijzigde beheerdersaccounts;
• onverwachte plugininstallaties of gewijzigde pluginbestanden;
• onverklaarbare requests naar GiveWP-formulieren in webserver- en accesslogs;
• onverwachte databasewijzigingen rond verdachte donatie- of formulierverzoeken.

Het aantreffen van shortcode-syntax in invoervelden is niet automatisch bewijs van succesvolle compromittering. De daadwerkelijke impact hangt af van de shortcode die werd aangeroepen en de functionaliteit die deze shortcode beschikbaar stelt.

Extra risico door combinaties met andere plugins

WordPress-websites bestaan vaak uit meerdere plugins die ieder eigen shortcodes registreren. Hierdoor kan dezelfde GiveWP-kwetsbaarheid op twee websites een heel verschillende impact hebben.

Een beveiligingscontrole moet daarom niet alleen naar GiveWP kijken, maar ook naar de overige actieve plugins, beschikbare shortcodes en eventueel aanwezige maatwerkcode.

Managed WordPress en Managed VPS bij Vservs

Bij Vservs volgen we beveiligingsproblemen in WordPress, plugins en servercomponenten actief. Met onze Managed WordPress-diensten verzorgen we onder andere WordPress core-, plugin- en theme-updates, security hardening, monitoring en malwarecontrole.

Voor websites en applicaties die meer eigen servercapaciteit nodig hebben, biedt Vservs ook Managed VPS, inclusief technisch serverbeheer, beveiligingsupdates, monitoring en server hardening.

Bij unmanaged hosting en unmanaged VPS-servers blijft het installeren en controleren van WordPress-, plugin- en beveiligingsupdates de verantwoordelijkheid van de beheerder.

Conclusie

CVE-2026-85113 maakt het mogelijk dat een aanvaller zonder WordPress-account via door GiveWP verwerkte donorgegevens willekeurige geregistreerde WordPress-shortcodes laat uitvoeren.

De kwetsbaarheid heeft een CVSS-score van 6,5 en er is momenteel geen bevestiging van actieve exploitatie in het wild. Door de meer dan 100.000 actieve GiveWP-installaties en het feit dat geen authenticatie nodig is, is tijdig updaten desondanks belangrijk.

Beheerders moeten GiveWP bijwerken naar versie 4.16.9 of nieuwer zodra deze beschikbaar is en websites die kwetsbare versies hebben gebruikt controleren op verdachte donorinput en onverwachte wijzigingen.

Bronnen

• WPScan – CVE-2026-85113: GiveWP arbitrary shortcode execution
• CVE/MITRE – CVE-2026-85113
• WordPress.org – GiveWP Donation Plugin and Fundraising Platform

CISA waarschuwt voor actief misbruik van drie Linux-kernelkwetsbaarheden. De Amerikaanse Cybersecurity and Infrastructure Security Agency heeft CVE-2025-39682, CVE-2025-39964 en CVE-2026-53266 toegevoegd aan de Known Exploited Vulnerabilities Catalog (KEV). Daarmee is bevestigd dat er bewijs bestaat dat deze kwetsbaarheden daadwerkelijk zijn misbruikt.

De kwetsbaarheden bevinden zich in verschillende onderdelen van de Linux-kernel en hebben verschillende aanvalsvectoren en voorwaarden. Dit betekent niet dat iedere Linux-server zonder authenticatie vanaf internet kan worden overgenomen. Voor Linux-serverbeheerders is de KEV-opname echter een duidelijke reden om beschikbare kernelupdates met verhoogde prioriteit te installeren.

Welke Linux-kernelkwetsbaarheden worden actief misbruikt?

CISA voegde op 18 september 2026 de volgende drie Linux-kernelkwetsbaarheden toe aan de Known Exploited Vulnerabilities Catalog:

• CVE-2025-39682 – een fout in de verwerking van zero-length records binnen het TLS receive-pad van de Linux-kernel.
• CVE-2025-39964 – een race condition binnen de cryptografische AF_ALG-interface van de Linux-kernel.
• CVE-2026-53266 – een geheugenbeschadigingsprobleem binnen Netfilter bridge ebtables SNAT bij het herschrijven van ARP-adressen.

Opname in de CISA KEV-catalogus betekent dat CISA over bewijs beschikt van daadwerkelijke exploitatie. CISA heeft voor deze drie kwetsbaarheden echter geen technische details gepubliceerd over de waargenomen aanvallen, de aanvallers of getroffen organisaties.

CVE-2025-39682: fout in Linux kernel TLS-verwerking

CVE-2025-39682 bevindt zich in de verwerking van TLS-records door de Linux-kernel. Het probleem ontstaat in een specifieke situatie waarbij een zero-length record vanaf de rx_list wordt verwerkt in combinatie met zero-copy decryptie.

Onder de juiste omstandigheden kan een lokale aanvaller de kwetsbaarheid gebruiken om een denial-of-service te veroorzaken of geheugeninhoud openbaar te maken.

Het is belangrijk om hierbij onderscheid te maken tussen de Linux-kernel als netwerkcomponent en een algemene remote TLS-kwetsbaarheid. De beschikbare vendorinformatie classificeert de aanvalsvector voor de betreffende Linux-configuraties als lokaal en vereist beperkte privileges.

CVE-2025-39964: race condition in cryptografische AF_ALG-interface

CVE-2025-39964 betreft een race condition in de Linux AF_ALG-interface. AF_ALG maakt het mogelijk om cryptografische kernelfunctionaliteit via sockets vanuit userspace te gebruiken.

Wanneer twee processen of threads gelijktijdig naar dezelfde AF_ALG-socket schrijven, kunnen gegevens op onvoorspelbare wijze door elkaar raken en kan de interne toestand van de socket inconsistent worden.

Een lokale gebruiker kan de fout misbruiken om een systeemcrash te veroorzaken of cryptografische resultaten te beschadigen. De kernelpatch voorkomt dit door exclusief eigendom tijdens een schrijfbewerking af te dwingen.

CVE-2026-53266: geheugenbeschadiging in ebtables SNAT

CVE-2026-53266 bevindt zich in de Netfilter bridge ebtables SNAT-functionaliteit van de Linux-kernel.

Bij het herschrijven van het hardware-adres van een ARP-afzender kan onder specifieke omstandigheden worden geschreven naar geheugen dat niet correct schrijfbaar is gemaakt. Hierdoor kan geheugenbeschadiging optreden.

Volgens Red Hat kan de kwetsbaarheid leiden tot ongewenst systeemgedrag, denial-of-service en mogelijk lokale privilege escalation. Voor succesvolle exploitatie zijn specifieke bridge Netfilter- en ebtables SNAT-regels vereist. De kwetsbaarheid is daardoor niet op iedere Linux-installatie op dezelfde manier exploiteerbaar.

Actieve exploitatie is bevestigd, maar details ontbreken

Het belangrijkste verschil met veel reguliere Linux-beveiligingsupdates is dat deze drie kwetsbaarheden door CISA als daadwerkelijk uitgebuit worden beschouwd.

Dat betekent niet automatisch dat sprake is van grootschalige aanvallen op willekeurige Linux-servers. CISA heeft op dit moment geen informatie gepubliceerd over de omvang van de aanvallen, gebruikte exploit chains of specifieke doelwitten.

Ook is het gebruik van deze kwetsbaarheden door ransomwaregroepen in de KEV-informatie niet bevestigd.

Debian, Ubuntu en andere Linux-distributies

Linux-distributies backporten kernelbeveiligingspatches naar hun eigen kernelpakketten. Alleen het vergelijken van het upstream Linux-kernelversienummer is daarom onvoldoende om te bepalen of een server kwetsbaar is.

Voor Debian zijn bijvoorbeeld distributiespecifieke fixes beschikbaar voor CVE-2026-53266. De Debian Security Tracker vermeldt gepatchte kernelpakketten voor onder andere Debian 12 Bookworm en Debian 13 Trixie.

Ubuntu heeft eveneens beveiligingsupdates uitgebracht voor getroffen kernelvarianten. Voor CVE-2025-39682 vermeldt Ubuntu bijvoorbeeld dat Ubuntu 24.04 LTS is gerepareerd vanaf het betreffende gepatchte kernelpakket, terwijl bepaalde oudere Ubuntu-releases voor deze specifieke CVE niet getroffen zijn.

Voor CVE-2025-39964 zijn eveneens gepatchte Ubuntu-kernels beschikbaar voor onder andere Ubuntu 22.04 LTS en Ubuntu 24.04 LTS.

Controleer daarom altijd de securitystatus van de daadwerkelijk gebruikte distributie en installeer kernelupdates via de officiële package repositories.

Wat moeten Linux-serverbeheerders nu doen?

• Controleer of er kernelupdates beschikbaar zijn via de officiële repositories van de Linux-distributie.
• Installeer beschikbare beveiligingsupdates met verhoogde prioriteit.
• Controleer na de update welke kernel momenteel draait met uname -r.
• Houd er rekening mee dat installatie van een nieuw kernelpakket niet automatisch betekent dat de nieuwe kernel al actief is.
• Herstart de server wanneer dit noodzakelijk is om de bijgewerkte kernel daadwerkelijk te laden.
• Controleer bij virtualisatie-, container- en bridge-omgevingen extra op het gebruik van bridge Netfilter en ebtables SNAT.
• Gebruik distributiespecifieke securityinformatie in plaats van uitsluitend upstream kernelversies te vergelijken.

Een geïnstalleerde kernelupdate kan een reboot vereisen

Bij Linux-kernelupdates is het belangrijk om onderscheid te maken tussen de geïnstalleerde en de actieve kernel.

Na installatie van een nieuw kernelpakket kan de server nog steeds op de oude kernel draaien. Controleer daarom na het installeren van updates de actieve kernelversie en plan indien nodig een gecontroleerde herstart.

Op productieservers moet een reboot uiteraard gecontroleerd worden uitgevoerd, waarbij vooraf wordt gecontroleerd of kritieke diensten na de herstart correct beschikbaar komen.

Extra aandacht voor unmanaged VPS- en dedicated servers

Bij unmanaged servers is de klant zelf verantwoordelijk voor het installeren van besturingssysteem- en kernelupdates. Het feit dat een server stabiel draait, betekent niet automatisch dat de actieve kernel alle actuele beveiligingspatches bevat.

Vooral servers die gedurende lange tijd niet opnieuw zijn opgestart, verdienen extra aandacht. Een bijgewerkt kernelpakket kan al aanwezig zijn terwijl de server nog steeds met een oudere kernel draait.

Managed VPS bij Vservs

Bij een Managed VPS van Vservs verzorgen wij het technische beheer van de serveromgeving, waaronder relevante besturingssysteem- en beveiligingsupdates, monitoring en server hardening.

Voor unmanaged VPS- en dedicated servers blijft het controleren, installeren en activeren van Linux-kernelupdates de verantwoordelijkheid van de beheerder van de server.

Conclusie

De opname van CVE-2025-39682, CVE-2025-39964 en CVE-2026-53266 in de CISA Known Exploited Vulnerabilities Catalog maakt deze Linux-kernelkwetsbaarheden belangrijker dan reguliere theoretische kwetsbaarheden.

Actieve exploitatie is bevestigd, maar de drie kwetsbaarheden hebben verschillende technische voorwaarden en vormen geen algemene unauthenticated remote takeover van iedere Linux-server.

Linux-beheerders doen er verstandig aan beschikbare distributiespecifieke kernelupdates met verhoogde prioriteit te installeren en te controleren of de gepatchte kernel daadwerkelijk actief is.

Bronnen

• CISA – Known Exploited Vulnerabilities Catalog
• Linux Kernel – officiële stable kernel patches
• Debian Security Tracker – CVE-2025-39682, CVE-2025-39964 en CVE-2026-53266
• Ubuntu Security – Linux kernel CVE-informatie en security updates
• Red Hat Security – Linux kernel CVE-informatie

Een kritieke Botiga Pro kwetsbaarheid kan een externe aanvaller zonder WordPress-account in staat stellen belangrijke WordPress-instellingen te wijzigen en uiteindelijk een website over te nemen. De kwetsbaarheid is geregistreerd als CVE-2026-86591 en heeft een CVSS-score van 9.8.

Het beveiligingsprobleem treft Botiga Pro-versies ouder dan 1.6.5. Websites die de commerciële Botiga Pro-plugin gebruiken moeten daarom onmiddellijk controleren welke versie is geïnstalleerd.

Wat is CVE-2026-86591?

CVE-2026-86591 is een missing authorization-kwetsbaarheid in een REST API-route van Botiga Pro.

De kwetsbare route controleert onvoldoende of een verzoek afkomstig is van een geauthenticeerde en bevoegde WordPress-gebruiker. Hierdoor kan een externe bezoeker bepaalde functionaliteit aanroepen zonder eerst op WordPress te hoeven inloggen.

Via deze route kunnen willekeurige WordPress-options worden aangepast. Dat is bijzonder ernstig omdat WordPress veel beveiligings- en configuratiegegevens als options in de database opslaat.

Volledige WordPress-siteovername mogelijk

Door kritieke WordPress-options te manipuleren kan een aanvaller onder bepaalde omstandigheden privileges verhogen en uiteindelijk volledige controle over de WordPress-website verkrijgen.

De kwetsbare functionaliteit maakt daarnaast andere schadelijke wijzigingen mogelijk. Volgens de gepubliceerde kwetsbaarheidsinformatie kan een aanvaller:

• willekeurige WordPress-options aanpassen;
• persistente scripts opslaan die op frontendpagina’s worden uitgevoerd;
• willekeurige berichten naar de prullenbak verplaatsen;
• via gewijzigde WordPress-instellingen privilege escalation bereiken;
• uiteindelijk volledige controle over de website verkrijgen.

Geen WordPress-account nodig

Voor exploitatie van CVE-2026-86591 is geen WordPress-account vereist. De kwetsbare REST-route is op afstand bereikbaar en voert onvoldoende autorisatiecontrole uit.

Dat maakt de kwetsbaarheid aanzienlijk ernstiger dan beveiligingsproblemen waarvoor eerst een Editor-, Author- of Administratoraccount nodig is.

Getroffen en veilige versies

Getroffen zijn:

Botiga Pro-versies ouder dan 1.6.5.

De kwetsbaarheid is verholpen vanaf:

Botiga Pro 1.6.5.

Wanneer een nieuwere ondersteunde Botiga Pro-versie beschikbaar is, adviseren we direct naar de meest recente versie bij te werken.

De kwetsbaarheid betreft specifiek de commerciële Botiga Pro-plugin. Het gebruik van het gratis Botiga-theme betekent daarom niet automatisch dat een website door CVE-2026-86591 wordt getroffen.

Wordt de kwetsbaarheid actief misbruikt?

Op het moment van publicatie hebben we geen betrouwbare bevestiging gevonden dat CVE-2026-86591 actief op grote schaal in het wild wordt misbruikt.

De aanval vereist echter geen authenticatie of gebruikersinteractie en de technische impact is groot. Daarom adviseren we Botiga Pro-gebruikers om niet te wachten op bevestigde aanvallen voordat de update wordt uitgevoerd.

Wat moeten beheerders direct doen?

• Controleer of Botiga Pro op de WordPress-website is geïnstalleerd.
• Controleer de geïnstalleerde Botiga Pro-versie.
• Update onmiddellijk naar versie 1.6.5 of een nieuwere beschikbare versie.
• Verwijder Botiga Pro volledig wanneer de plugin niet meer wordt gebruikt.
• Controleer belangrijke WordPress-instellingen op onverwachte wijzigingen.
• Controleer de website op onbekende administratoraccounts en persistente scripts.

Controle op mogelijke compromittering

Omdat een aanvaller willekeurige WordPress-options kan aanpassen, moet een website die langere tijd een kwetsbare Botiga Pro-versie gebruikte bij verdachte activiteit breder worden onderzocht dan alleen de plugin zelf.

Controleer onder andere:

• onbekende WordPress administrator- en andere gebruikersaccounts;
• wijzigingen aan registratie- en gebruikersinstellingen;
• onverwachte scripts of code die op alle frontendpagina’s wordt geladen;
• recent verwijderde of naar de prullenbak verplaatste berichten en pagina’s;
• onverwachte wijzigingen in WordPress-options;
• recent geïnstalleerde of gewijzigde plugins en thema’s;
• webserverlogs op verdachte verzoeken naar WordPress REST API-routes.

Controleer bij aanwijzingen voor daadwerkelijke site-overname ook het bestandssysteem, WordPress-database, administratoraccounts, API-credentials en overige authenticatiegegevens.

Alleen updaten herstelt eerdere wijzigingen niet

Het installeren van een veilige Botiga Pro-versie voorkomt verdere exploitatie van CVE-2026-86591, maar draait wijzigingen die een aanvaller vóór de update heeft aangebracht niet automatisch terug.

Wanneer verdachte WordPress-options, gebruikersaccounts, scripts of contentwijzigingen worden aangetroffen, moet de website daarom als mogelijk gecompromitteerd worden behandeld en verder worden onderzocht.

Vservs Managed WordPress en Managed VPS

Bij Vservs Managed WordPress worden WordPress Core, plugins en thema’s technisch beheerd en worden belangrijke beveiligingsupdates actief opgevolgd.

Klanten met een Vservs Managed VPS beschikken daarnaast over technisch serverbeheer, beveiligingsupdates en monitoring van de onderliggende hostingomgeving.

Gebruik je een unmanaged WordPress-installatie, dan blijft het controleren en tijdig installeren van theme- en pluginupdates de verantwoordelijkheid van de websitebeheerder.

Bronnen

• WPScan – CVE-2026-86591 / Botiga Pro authorization bypass
• CVE Program / NVD – CVE-2026-86591
• aThemes – Botiga / Botiga Pro changelog
• WordPress.org – Botiga theme