Elementor upload kwetsbaarheid CVE-2026-18351 maakt arbitrary file upload zonder authenticatie mogelijk in de WordPress-plugin Drag and Drop File Upload for Elementor Forms.

Een externe aanvaller heeft hiervoor geen WordPress-account nodig. Door de bestandscontrole van de plugin te omzeilen kan een aanvaller een bestand uploaden dat uiteindelijk als uitvoerbaar PHP-bestand op de server terechtkomt.

Hierdoor kan succesvolle exploitatie leiden tot remote code execution en daarmee tot volledige compromittering van de betreffende WordPress-website.

De kwetsbaarheid treft Drag and Drop File Upload for Elementor Forms tot en met versie 1.6.0. Het probleem is opgelost in versie 1.6.1. Websites waarop een getroffen versie actief is, moeten daarom onmiddellijk worden bijgewerkt.

Elementor upload kwetsbaarheid CVE-2026-18351

Drag and Drop File Upload for Elementor Forms is een uitbreiding voor Elementor Forms waarmee bezoekers meerdere bestanden via een drag-and-dropveld kunnen uploaden.

De plugin kan onder andere worden gebruikt voor sollicitatieformulieren, supportformulieren, documentuploads en andere formulieren waarbij bezoekers bestanden naar de WordPress-server mogen sturen.

Juist bij dergelijke functionaliteit is een correcte controle van bestandstypen essentieel. CVE-2026-18351 maakt het mogelijk deze controle in kwetsbare versies te omzeilen.

Feiten over CVE-2026-18351

• Product: Drag and Drop File Upload for Elementor Forms
• Platform: WordPress / Elementor Forms
• CVE: CVE-2026-18351
• Type: Arbitrary File Upload / Unrestricted Upload of File with Dangerous Type
• CWE: CWE-434
• Kwetsbare versies: ≤ 1.6.0
• Gepatchte versie: 1.6.1
• Actieve installaties: 1.000+
• CVSS: 9.8 Critical volgens Wordfence/NVD
• Attack Vector: Network
• Attack Complexity: Low
• Authenticatie vereist: nee
• User interaction: nee
• Mogelijke impact: uploaden van uitvoerbare bestanden en remote code execution
• Actieve exploitatie: niet betrouwbaar bevestigd op het moment van publicatie
• Vereiste actie: update onmiddellijk naar versie 1.6.1 of nieuwer

Hoe werkt de kwetsbaarheid?

De kwetsbaarheid bevindt zich in de functie waarmee de plugin controleert of een geüpload bestand een toegestaan bestandstype heeft.

Volgens de gepubliceerde technische informatie gebruikt de functie is_file_type_valid() informatie uit een door de aanvaller beïnvloedbare type-parameter bij de controle van toegestane MIME-types en bestandsextensies.

Deze controle kan worden gemanipuleerd met een speciaal geconstrueerde bestandsextensie.

Vervolgens wordt de bestandsnaam door WordPress verwerkt met sanitize_file_name(). Daarbij kan de gemanipuleerde bestandsnaam worden genormaliseerd naar een PHP-extensie.

Het gevolg is dat een bestand dat de oorspronkelijke beveiligingscontrole passeert uiteindelijk als een uitvoerbaar PHP-bestand op de server kan worden opgeslagen.

Geen WordPress-account nodig

Een belangrijk onderdeel van CVE-2026-18351 is dat voor exploitatie geen authenticatie vereist is.

Een aanvaller hoeft dus niet eerst een Subscriber-, Author-, Editor- of Administrator-account te verkrijgen.

Wanneer een kwetsbaar Elementor-formulier met het betreffende uploadveld publiek vanaf internet bereikbaar is, kan een externe aanvaller proberen de uploadcontrole rechtstreeks te misbruiken.

De CVSS-vector vermeldt bovendien een lage attack complexity en vereist geen gebruikersinteractie.

Van file upload naar remote code execution

Een arbitrary file upload is bijzonder gevaarlijk wanneer het mogelijk is een bestand met uitvoerbare PHP-code naar een webtoegankelijke locatie te uploaden.

Een aanvaller kan bijvoorbeeld proberen een PHP-bestand te uploaden dat als webshell of backdoor functioneert.

Wanneer dat bestand vervolgens via de webserver kan worden aangeroepen, wordt de PHP-code uitgevoerd met de rechten van de PHP- of webserveromgeving.

Afhankelijk van de serverconfiguratie kan een aanvaller vervolgens onder andere:

• WordPress-bestanden lezen of wijzigen;
• malware of aanvullende backdoors installeren;
• WordPress-configuratie uitlezen;
• databasegegevens benaderen via aanwezige WordPress-credentials;
• Administrator-accounts aanmaken;
• plugins of themes manipuleren;
• spam, phishing of malware vanaf de website verspreiden;
• de website gebruiken als ingang voor verdere aanvallen binnen de hostingomgeving.

De daadwerkelijke impact wordt mede bepaald door de serverconfiguratie en de rechten waaronder PHP draait.

Update onmiddellijk naar versie 1.6.1

De structurele oplossing voor deze Elementor upload kwetsbaarheid is het bijwerken van de plugin.

Alle versies tot en met 1.6.0 zijn kwetsbaar.

Installeer minimaal Drag and Drop File Upload for Elementor Forms 1.6.1.

WordPress.org vermeldt 1.6.1 momenteel als actuele versie. Wanneer inmiddels een nieuwere stabiele versie beschikbaar is, adviseren wij de meest recente ondersteunde versie te installeren.

Wanneer de plugin niet langer wordt gebruikt, verwijder deze dan volledig in plaats van alleen de plugin te deactiveren.

Controleer eerder kwetsbare websites op PHP-bestanden

Omdat deze kwetsbaarheid het uploaden van uitvoerbare bestanden mogelijk maakt, adviseren wij beheerders van websites die versie 1.6.0 of ouder hebben gebruikt om niet uitsluitend te updaten, maar ook de website op mogelijke compromittering te controleren.

Op het moment van publicatie zijn geen betrouwbare specifieke Indicators of Compromise gepubliceerd waarmee exploitatie van CVE-2026-18351 ondubbelzinnig kan worden vastgesteld.

Vservs publiceert daarom geen onbevestigde IP-adressen, bestandsnamen of andere speculatieve IoC’s.

Controleer minimaal:

• onverwachte PHP-bestanden in WordPress uploaddirectories;
• PHP-bestanden in directories die door het Elementor-uploadveld worden gebruikt;
• recent aangemaakte PHP-, PHTML- of andere uitvoerbare bestanden;
• bestanden met dubbele of afwijkende extensies;
• onbekende bestanden in wp-content/uploads/;
• onbekende WordPress Administrator-accounts;
• recent geïnstalleerde plugins of themes;
• onverwachte wijzigingen aan functions.php;
• onverwachte wijzigingen aan wp-config.php;
• onbekende cronjobs of scheduled tasks;
• onverwachte wijzigingen aan .htaccess of .user.ini;
• verdachte uploadrequests in webserverlogs.

Controleer bij verdachte bestanden niet uitsluitend de wijzigingsdatum. Bij een daadwerkelijke compromittering kunnen timestamps worden aangepast om malware minder zichtbaar te maken.

Controleer webserverlogs rond file uploads

Wanneer historische webserverlogs beschikbaar zijn, kan specifiek worden gekeken naar requests naar formulieren waarop Drag and Drop File Upload for Elementor Forms actief is.

Let daarbij op:

• grote aantallen uploadrequests vanaf één IP-adres;
• onverwachte bestandsextensies;
• requests waarbij de type-parameter afwijkende waarden bevat;
• uploads die kort daarna via een afzonderlijk HTTP-request worden aangeroepen;
• HTTP-verzoeken naar onbekende PHP-bestanden onder uploaddirectories;
• POST-requests gevolgd door opvallende GET-requests naar recent aangemaakte bestanden.

Dit zijn algemene compromise-checks. Een afzonderlijke afwijking bewijst niet automatisch dat CVE-2026-18351 daadwerkelijk is misbruikt.

Geen bevestigde actieve exploitatie

Op het moment van publicatie hebben wij geen betrouwbare bevestiging gevonden dat CVE-2026-18351 actief in het wild wordt misbruikt.

Patchstack classificeert de kwetsbaarheid wel als High Priority en waarschuwt dat arbitrary-file-uploadkwetsbaarheden van dit type geschikt zijn voor geautomatiseerde mass-exploitatie.

Dat is een risico-inschatting en geen bevestiging dat deze specifieke kwetsbaarheid momenteel daadwerkelijk actief wordt aangevallen.

De combinatie van unauthenticated toegang, lage attack complexity, arbitrary file upload en mogelijke remote code execution is voldoende reden om de update onmiddellijk uit te voeren.

Verantwoordelijkheid voor WordPress en CMS security updates

Klanten zonder Managed WordPress/CMS-onderhoud of een afzonderlijk overeengekomen managed CMS-dienst zijn zelf verantwoordelijk voor het tijdig bijwerken van WordPress, WooCommerce, andere CMS-systemen, plugins, extensies en thema’s.

Wanneer misbruik, malware of aantoonbaar achterstallig onderhoud ervoor zorgt dat een website of dienst een risico vormt voor onze infrastructuur, andere klanten of derden, kan Vservs de getroffen website of dienst tijdelijk isoleren of uitschakelen.

Dit gebeurt uitsluitend als veiligheids- en continuïteitsmaatregel om verdere schade, misbruik of verstoring van onze infrastructuur en diensten te voorkomen.

Herstelwerkzaamheden aan niet-managed omgevingen buiten onze reguliere openingstijden, tijdens weekenden of op feestdagen zijn afhankelijk van de ernst van het incident en beschikbare capaciteit. Wanneer direct ingrijpen niet noodzakelijk is, kunnen herstelwerkzaamheden vanaf de eerstvolgende werkdag worden uitgevoerd.

Managed WordPress van Vservs

CVE-2026-18351 laat opnieuw zien waarom WordPress-beveiliging niet ophoudt bij WordPress Core. Een relatief kleine uitbreiding voor één Elementor-formulierveld kan uiteindelijk voldoende zijn om server-side code execution mogelijk te maken.

Met Vservs Managed WordPress verzorgen wij onder andere WordPress Core-, plugin- en theme-updates, security hardening, security- en malwaremonitoring, automatische back-ups en technisch WordPress-beheer.

Voor bedrijfskritische WordPress- en WooCommerce-omgevingen bieden Managed WordPress Pro en Private daarnaast dedicated resources, uitgebreidere monitoring en technisch beheer.

Bronnen

• CVE.org – CVE-2026-18351
• Patchstack – CVE-2026-18351 Arbitrary File Upload
• WordPress.org – Drag and Drop File Upload for Elementor Forms

FireBox kwetsbaarheid CVE-2026-76801 maakt remote code execution mogelijk in de FireBox-plugin voor WordPress. Een aanvaller met voldoende gebruikersrechten kan hierdoor functies op de server uitvoeren die normaal niet beschikbaar horen te zijn.

De kwetsbaarheid treft FireBox tot en met versie 3.1.10. De relevante beveiligingsmaatregelen zijn vanaf versie 3.1.11 aanwezig. Inmiddels is FireBox 3.1.13 beschikbaar.

De kwetsbaarheid heeft een CVSS-score van 8.8 (High). Er is op het moment van publicatie geen betrouwbare bevestiging dat CVE-2026-76801 actief in het wild wordt misbruikt.

FireBox kwetsbaarheid CVE-2026-76801

FireBox is een WordPress-plugin voor onder andere popups, formulieren, e-mailopt-ins, exit-intent campagnes en WooCommerce-marketing. Volgens WordPress.org wordt de plugin op meer dan 7.000 websites actief gebruikt.

De beveiligingsfout bevindt zich in functionaliteit waarmee FireBox aangepaste PHP-logica kan uitvoeren.

Volgens de door Wordfence gepubliceerde CVE-informatie gebruikt de kwetsbare versie een onvoldoende sterke blacklist in Executer::allowedToRun(). Deze controle kan worden omzeild, waardoor WordPress-functies kunnen worden aangeroepen die niet beschikbaar zouden moeten zijn voor de betreffende gebruiker.

Daarbij worden waarden voor PHP-conditieregels die via het firebox_meta REST-endpoint worden opgeslagen onvoldoende gesanitized.

Feiten over de FireBox kwetsbaarheid

• Product: FireBox – WooCommerce Popup Builder, Exit Intent Popup, Email Optin & Cart Abandonment
• Platform: WordPress en WooCommerce
• CVE: CVE-2026-76801
• Type: Remote Code Execution / Privilege Escalation
• Kwetsbare versies: FireBox ≤ 3.1.10
• Beveiligingsfix: vanaf FireBox 3.1.11
• Huidige beschikbare versie: FireBox 3.1.13 op het moment van publicatie
• Benodigde rechten: in relevante configuraties Author of hoger
• Gebruikersinteractie: niet vereist
• CVSS: 8.8 High
• Actieve exploitatie: momenteel niet bevestigd
• Actie: update FireBox naar de nieuwste beschikbare versie

Wat kan een aanvaller doen?

Een succesvolle aanvaller kan via de kwetsbare FireBox-functionaliteit WordPress-functies uitvoeren die verstrekkende gevolgen kunnen hebben.

In de CVE-beschrijving worden onder andere functies genoemd zoals:

• wp_insert_user;
• update_option;
• file_put_contents.

Dat is belangrijk omdat dergelijke functies kunnen worden gebruikt om gebruikers aan te maken, WordPress-instellingen te wijzigen of bestanden op de server te schrijven.

Afhankelijk van de exacte configuratie kan een aanvaller daarmee zijn rechten verder verhogen en uiteindelijk willekeurige code binnen de WordPress-omgeving uitvoeren.

Author-rechten kunnen voldoende zijn

Voor CVE-2026-76801 is authenticatie vereist. Dat betekent dat een volledig externe bezoeker zonder account de beschreven aanval niet rechtstreeks kan uitvoeren.

Dat beperkt het aanvalsoppervlak, maar maakt de kwetsbaarheid niet ongevaarlijk.

Op bepaalde installaties kunnen gebruikers met de WordPress-rol Author voldoende rechten hebben om de kwetsbare functionaliteit te bereiken.

Dit is met name relevant voor websites die vanuit oudere FireBox-versies zijn bijgewerkt.

Volgens de CVE-informatie kan de functie Migrator::preserveCampaignRoleAccess() bij dergelijke upgrades de capabilities edit_fireboxes en publish_fireboxes aan de Author-rol toekennen.

Daardoor kan de effectieve toegangsdrempel op dergelijke websites lager zijn dan een beheerder mogelijk verwacht.

Update FireBox direct

Websites waarop FireBox 3.1.10 of ouder wordt gebruikt, moeten worden bijgewerkt.

FireBox 3.1.11 introduceerde aanvullende beveiligingscontroles voor het uitvoeren van aangepaste PHP en andere custom code. Inmiddels is versie 3.1.13 beschikbaar via WordPress.org.

Wij adviseren daarom niet om uitsluitend naar 3.1.11 te gaan, maar om na controle van compatibiliteit de nieuwste beschikbare FireBox-versie te installeren.

Maak bij bedrijfskritische websites vooraf een actuele back-up en controleer na de update of bestaande FireBox-campagnes en WooCommerce-integraties correct blijven functioneren.

Wat is in FireBox aangepast?

Vanaf FireBox 3.1.11 is de beveiliging rond custom code aangescherpt.

Volgens de officiële FireBox-changelog wordt aangepaste PHP in display conditions en PHP Scripts alleen uitgevoerd wanneer de auteur van de campagne over een specifieke run PHP-permissie beschikt.

Administrators beschikken standaard over deze permissie. Andere gebruikersrollen mogen geen PHP uitvoeren tenzij een beheerder die mogelijkheid expliciet toekent.

Ook de beveiliging van aangepaste JavaScript- en CSS-code en verschillende campagne-acties is in deze versie aangescherpt.

Controleer gebruikers en FireBox-rechten

Omdat misbruik van CVE-2026-76801 een geldig WordPress-account vereist, adviseren we beheerders van kwetsbare installaties om naast de update ook de bestaande gebruikers en rollen te controleren.

Controleer met name:

• onbekende of onverwacht aangemaakte WordPress-gebruikers;
• Author-accounts die niet meer nodig zijn;
• onverwachte wijzigingen in gebruikersrollen;
• gebruikers die FireBox-campagnes mogen bewerken of publiceren;
• aangepaste PHP-code in bestaande FireBox-campagnes;
• onverwachte JavaScript-code of andere custom code in campagnes.

Controle op mogelijke compromise

Er zijn op het moment van publicatie geen betrouwbare, algemeen toepasbare Indicators of Compromise gepubliceerd waarmee misbruik van CVE-2026-76801 eenduidig kan worden vastgesteld.

We publiceren daarom geen onbevestigde IP-adressen, bestandsnamen of andere IoC’s.

Bij een website die langere tijd een kwetsbare FireBox-versie heeft gebruikt, kan wel gericht worden gecontroleerd op:

• onbekende Administrator- of andere WordPress-accounts;
• onverwachte wijzigingen in WordPress-opties;
• recent aangemaakte of gewijzigde PHP-bestanden;
• PHP-bestanden op locaties waar deze normaal niet thuishoren;
• onverwachte wijzigingen in actieve plugins of thema’s;
• verdachte FireBox-campagnes of aangepaste PHP-code;
• afwijkende requests naar FireBox REST API-endpoints in webserverlogs.

Deze controles zijn algemene compromise-checks en vormen op zichzelf geen bewijs dat CVE-2026-76801 daadwerkelijk is misbruikt.

Geen bevestigde actieve exploitatie

Op het moment van publicatie is er geen betrouwbare bevestiging dat CVE-2026-76801 actief in het wild wordt misbruikt.

De kwetsbaarheid is echter technisch ernstig omdat succesvolle exploitatie kan leiden tot code execution en verdere privilege escalation binnen WordPress.

Nu de technische details en CVE publiek beschikbaar zijn, adviseren wij beheerders van getroffen websites de update niet uit te stellen.

Verantwoordelijkheid voor WordPress- en CMS-updates

Klanten zonder Managed WordPress/CMS-onderhoud of een afzonderlijk overeengekomen managed CMS-dienst zijn zelf verantwoordelijk voor het tijdig bijwerken van WordPress, WooCommerce, andere CMS-software, plugins, extensies en thema’s.

Wanneer misbruik, malware of aantoonbaar achterstallig onderhoud ervoor zorgt dat een website of dienst een risico vormt voor onze infrastructuur, andere klanten of derden, kan Vservs de betreffende website of dienst tijdelijk isoleren of uitschakelen.

Dit gebeurt uitsluitend als veiligheids- en continuïteitsmaatregel om verder misbruik, schade of verstoring van onze infrastructuur en diensten te voorkomen.

Herstelwerkzaamheden aan niet-managed omgevingen buiten onze reguliere openingstijden, tijdens weekenden of op feestdagen zijn afhankelijk van de ernst van het incident en de beschikbare capaciteit. Wanneer onmiddellijke interventie niet noodzakelijk is, kunnen herstelwerkzaamheden vanaf de eerstvolgende werkdag worden opgepakt.

Managed WordPress van Vservs

Kwetsbaarheden zoals CVE-2026-76801 laten zien waarom alleen het onderhouden van WordPress Core niet voldoende is. Ook plugins, thema’s, gebruikersrechten en afwijkende wijzigingen binnen een website moeten worden bewaakt.

Met Vservs Managed WordPress verzorgen wij onder andere WordPress Core-, plugin- en thema-updates, security hardening, malware- en beveiligingsmonitoring, automatische back-ups en technisch WordPress-beheer.

Voor organisaties die het technische onderhoud en de beveiliging van hun WordPress- of WooCommerce-omgeving niet zelf willen uitvoeren, zijn verschillende Managed WordPress-oplossingen beschikbaar.

Bronnen

• Wordfence Threat Intelligence – CVE-2026-76801
• WordPress.org – FireBox plugin en officiële changelog
• CVE.org – CVE-2026-76801

WPML kwetsbaarheid CVE-2026-17509 maakt het mogelijk dat een aanvaller met slechts een WordPress-account met Subscriber-rechten een SQL-injection uitvoert tegen websites die WPML Multilingual CMS gebruiken.

De kwetsbaarheid treft WPML Multilingual CMS tot en met versie 4.9.5. De beveiligingsfout is verholpen in WPML 4.9.6. Websites waarop een kwetsbare versie aanwezig is, moeten daarom zo snel mogelijk worden bijgewerkt.

Er is op het moment van publicatie geen betrouwbare bevestiging dat CVE-2026-17509 actief in het wild wordt misbruikt. De kwetsbaarheid staat eveneens niet in de CISA Known Exploited Vulnerabilities-catalogus.

WPML kwetsbaarheid CVE-2026-17509

WPML Multilingual CMS is een veelgebruikte WordPress-plugin voor het bouwen en beheren van meertalige websites.

Bij CVE-2026-17509 gaat het om een time-based SQL-injection in de verwerking van de parameter elementIds. Gebruikersinvoer wordt daarbij onvoldoende veilig verwerkt voordat deze in een databasequery terechtkomt.

Daar komt een autorisatieprobleem bij. Volgens de CVE-beschrijving wordt de geregistreerde authorization callback onder bepaalde omstandigheden niet uitgevoerd. Daardoor kan een ingelogde WordPress-gebruiker ongeacht zijn rol toegang krijgen tot administratieve vertaalfunctionaliteit die normaal niet voor deze gebruiker toegankelijk hoort te zijn.

Een aanvaller heeft dus geen Administrator-, Editor- of Author-account nodig. Een account met Subscriber-rechten is voldoende om de kwetsbare functionaliteit te bereiken.

Feiten over de WPML kwetsbaarheid

• Product: WPML Multilingual CMS voor WordPress
• CVE: CVE-2026-17509
• Type: SQL Injection / Incorrect Authorization
• CWE: CWE-89 – SQL Injection
• Kwetsbare versies: WPML Multilingual CMS ≤ 4.9.5
• Gepatchte versie: WPML 4.9.6
• Benodigde rechten: Subscriber of hoger
• Gebruikersinteractie: niet vereist
• CVSS: 6.5 Medium volgens de officiële CVE-data
• Patchstack-classificatie: High Priority
• Actieve exploitatie: momenteel niet bevestigd
• CISA KEV: niet opgenomen op het moment van publicatie
• Actie: update WPML naar versie 4.9.6 of nieuwer

Wat kan een aanvaller met CVE-2026-17509?

Een aanvaller die beschikt over een geldig WordPress-account met minimaal Subscriber-rechten kan speciaal vervaardigde invoer doorgeven aan de kwetsbare WPML-functionaliteit.

Door onvoldoende escaping en onvoldoende voorbereiding van de bestaande SQL-query kan de aanvaller aanvullende SQL-query’s aan de databasequery toevoegen.

Volgens de CVE-beschrijving kan dit worden gebruikt om gevoelige informatie uit de WordPress-database te achterhalen.

Een WordPress-database kan naast gewone website-inhoud ook gebruikersgegevens, configuratiegegevens, plugininstellingen, WooCommerce-data en andere voor de website relevante informatie bevatten. Welke gegevens daadwerkelijk toegankelijk zijn, is afhankelijk van de betreffende installatie en database.

Waarom Subscriber-rechten belangrijk zijn

De vereiste authenticatie beperkt het risico enigszins, maar maakt de kwetsbaarheid niet onbelangrijk.

Subscriber is de laagste standaard gebruikersrol binnen WordPress. Websites waarop gebruikers zichzelf kunnen registreren kunnen daardoor een aanzienlijk groter aanvalsoppervlak hebben.

Dat geldt bijvoorbeeld voor websites met:

• open gebruikersregistratie;
• leden- of communityfunctionaliteit;
• WooCommerce-klantaccounts;
• leeromgevingen;
• portalen met gebruikersaccounts;
• andere plugins die automatisch WordPress-gebruikers aanmaken.

Een beheerder moet er daarom niet automatisch vanuit gaan dat de vereiste Subscriber-rechten betekenen dat alleen vertrouwde personen de kwetsbaarheid kunnen bereiken.

Update WPML naar versie 4.9.6

De structurele oplossing voor deze WPML kwetsbaarheid is het installeren van WPML Multilingual CMS 4.9.6 of een nieuwere beschikbare versie.

Controleer binnen WordPress welke WPML-versie daadwerkelijk actief is en voer de update uit wanneer versie 4.9.5 of ouder wordt gebruikt.

Maak bij bedrijfskritische websites vooraf een actuele back-up en controleer na de update of de meertalige functionaliteit correct blijft werken.

Controleer onder andere:

• de actieve WPML-versie;
• frontendpagina’s in alle gebruikte talen;
• taalwisselaars;
• vertaalde berichten en pagina’s;
• WooCommerce-producten en checkout indien van toepassing;
• WPML-add-ons en aanvullende vertaalplugins;
• PHP-, WordPress- en databasefoutlogs na de update.

Controleer WordPress-gebruikersaccounts

Omdat misbruik een geldig WordPress-account vereist, is het verstandig om bij een kwetsbare installatie ook de bestaande gebruikersaccounts te controleren.

Let met name op recent aangemaakte accounts die niet kunnen worden verklaard, onverwachte Subscriber-accounts en accounts die via andere plugins of registratiesystemen zijn aangemaakt.

Wanneer openbare registratie niet nodig is, controleer dan tevens of deze functionaliteit daadwerkelijk is uitgeschakeld.

Controle op mogelijk misbruik

Er zijn op dit moment geen betrouwbare, algemeen toepasbare compromise-indicatoren gepubliceerd waarmee misbruik van CVE-2026-17509 eenduidig kan worden vastgesteld.

We publiceren daarom geen onbevestigde IP-adressen, bestandsnamen of andere IoC’s.

Bij verdenking van misbruik kunnen beheerders wel gericht controleren op:

• onbekende of onverwacht aangemaakte WordPress-gebruikers;
• verdachte activiteit van Subscriber-accounts;
• ongebruikelijke verzoeken naar WPML-functionaliteit in webserverlogs;
• onverwachte databaseactiviteit;
• onverklaarbare wijzigingen aan WordPress-gebruikers of configuratie;
• nieuwe PHP-bestanden of andere bestanden die niet bij de normale website-installatie horen.

Een dergelijke controle bewijst op zichzelf niet dat CVE-2026-17509 is misbruikt, maar kan helpen bij het herkennen van afwijkende activiteit.

Geen bevestigde actieve exploitatie

Op het moment van publicatie is er geen betrouwbare bevestiging dat CVE-2026-17509 actief in het wild wordt misbruikt.

Patchstack beoordeelt de kwetsbaarheid wel als High Priority en adviseert om deze direct te verhelpen. De officiële CVE-data vanuit Wordfence geeft een CVSS-score van 6.5.

Het ontbreken van bevestigde actieve aanvallen is geen reden om de update uit te stellen. Nu technische details over de kwetsbaarheid openbaar zijn en een gepatchte versie beschikbaar is, kunnen aanvallers kwetsbare installaties gaan onderzoeken.

Verantwoordelijkheid voor WordPress- en CMS-updates

Klanten zonder Managed WordPress/CMS-onderhoud of een afzonderlijk overeengekomen managed CMS-dienst zijn zelf verantwoordelijk voor het tijdig bijwerken van WordPress, andere CMS-software, plugins, extensies en thema’s.

Wanneer misbruik, malware of aantoonbaar achterstallig onderhoud ervoor zorgt dat een website of dienst een risico vormt voor onze infrastructuur, andere klanten of derden, kan Vservs de betreffende website of dienst tijdelijk isoleren of uitschakelen.

Dit gebeurt uitsluitend als veiligheids- en continuïteitsmaatregel om verder misbruik, schade of verstoring van onze infrastructuur en diensten te voorkomen.

Herstelwerkzaamheden aan niet-managed omgevingen buiten onze reguliere openingstijden, tijdens weekenden of op feestdagen zijn afhankelijk van de ernst van het incident en de beschikbare capaciteit. Wanneer onmiddellijke interventie niet noodzakelijk is, kunnen herstelwerkzaamheden vanaf de eerstvolgende werkdag worden opgepakt.

Managed WordPress van Vservs

Het tijdig herkennen en oplossen van kwetsbaarheden zoals CVE-2026-17509 is onderdeel van het technisch beheer van een professionele WordPress-omgeving.

Met Vservs Managed WordPress verzorgen wij onder andere WordPress Core-, plugin- en thema-updates, security hardening, malware- en beveiligingsmonitoring, automatische back-ups en technisch WordPress-beheer.

Voor organisaties die het technische onderhoud en de beveiliging van hun WordPress-omgeving niet zelf willen uitvoeren, zijn verschillende Managed WordPress-pakketten beschikbaar.

Bronnen

• Patchstack – WPML Multilingual CMS CVE-2026-17509
• Wordfence Threat Intelligence – WordPress Vulnerability Database
• WPML – officiële changelog

Magento security update APSB26-138 is op 8 september 2026 door Adobe uitgebracht voor Adobe Commerce, Adobe Commerce B2B en Magento Open Source. De update verhelpt acht kritieke beveiligingsproblemen.

De kwetsbaarheden kunnen onder andere leiden tot privilege escalation en het omzeilen van beveiligingsmaatregelen. Zes van de acht kwetsbaarheden kunnen volgens Adobe zonder authenticatie worden misbruikt.

De hoogste CVSS-score bedraagt 9.3. Adobe heeft op het moment van publicatie geen aanwijzingen dat een van de acht kwetsbaarheden uit APSB26-138 actief in het wild wordt misbruikt.

Belangrijk is dat deze Magento security update niet de afzonderlijke CVE-2026-75650 zero-day hotfix vervangt. Adobe schrijft expliciet dat de hotfix voor CVE-2026-75650 naast de september-updates moet worden geïnstalleerd.

Magento security update APSB26-138

Adobe heeft APSB26-138 gepubliceerd als nieuwe security update voor Adobe Commerce en Magento Open Source.

De update bevat beveiligingsoplossingen voor acht CVE’s:

• CVE-2026-76200 – Stored Cross-Site Scripting;
• CVE-2026-76201 – Stored Cross-Site Scripting;
• CVE-2026-77111 – Incorrect Authorization;
• CVE-2026-77109 – Incorrect Authorization in Adobe Commerce B2B;
• CVE-2026-77774 – Incorrect Authorization;
• CVE-2026-76202 – Incorrect Authorization;
• CVE-2026-77110 – Path Traversal;
• CVE-2026-77108 – Incorrect Authorization in Adobe Commerce B2B.

Adobe classificeert alle acht kwetsbaarheden als Critical.

Belangrijkste gegevens over de Magento security update

• Adobe bulletin: APSB26-138
• Publicatiedatum: 8 september 2026
• Producten: Adobe Commerce, Adobe Commerce B2B en Magento Open Source
• Aantal kwetsbaarheden: 8
• Hoogste ernst: Critical
• Hoogste CVSS-score: 9.3
• Mogelijke gevolgen: privilege escalation en security feature bypass
• Kwetsbaarheden zonder authenticatie: 6 van de 8
• Actieve exploitatie: niet bekend bij Adobe
• Adobe Priority Rating: 2
• Actie: september 2026 security update installeren
• Extra actie: CVE-2026-75650 hotfix afzonderlijk controleren en toepassen

Twee kwetsbaarheden met CVSS 9.3

De zwaarst beoordeelde kwetsbaarheden in APSB26-138 zijn CVE-2026-76200 en CVE-2026-76201.

Beide beveiligingsproblemen zijn Stored Cross-Site Scripting-kwetsbaarheden, geclassificeerd onder CWE-79.

Adobe kent beide kwetsbaarheden een CVSS-score van 9.3 toe en classificeert de mogelijke impact als privilege escalation.

Voor exploitatie is volgens Adobe geen authenticatie vereist. Er is wel gebruikersinteractie nodig.

Vier Incorrect Authorization-kwetsbaarheden

APSB26-138 verhelpt daarnaast meerdere beveiligingsproblemen die worden veroorzaakt door onvoldoende autorisatiecontroles.

CVE-2026-77111 heeft een CVSS-score van 8.7 en kan leiden tot het omzeilen van beveiligingsmaatregelen. Voor exploitatie is volgens Adobe wel authenticatie en een hoog privilegeniveau vereist.

CVE-2026-77109 treft Adobe Commerce B2B en heeft een CVSS-score van 8.6. Deze kwetsbaarheid kan zonder authenticatie worden misbruikt en kan leiden tot privilege escalation.

CVE-2026-77774 heeft eveneens een CVSS-score van 8.6. Ook hiervoor is geen authenticatie vereist. Succesvolle exploitatie kan leiden tot het omzeilen van beveiligingsmaatregelen.

CVE-2026-76202 heeft een CVSS-score van 8.2 en kan zonder authenticatie worden misbruikt. De mogelijke impact is privilege escalation.

Path Traversal in Adobe Commerce

Een andere kwetsbaarheid uit de Magento security update is CVE-2026-77110.

Deze wordt door Adobe geclassificeerd als Improper Limitation of a Pathname to a Restricted Directory, beter bekend als Path Traversal.

CVE-2026-77110 heeft een CVSS-score van 7.6. Succesvolle exploitatie kan leiden tot het omzeilen van beveiligingsmaatregelen.

Voor het misbruiken van deze kwetsbaarheid zijn volgens Adobe hoge gebruikersrechten vereist.

Adobe Commerce B2B kwetsbaarheid CVE-2026-77108

Ook specifiek voor Adobe Commerce B2B is CVE-2026-77108 opgelost.

Deze Incorrect Authorization-kwetsbaarheid heeft een CVSS-score van 7.5 en kan zonder authenticatie worden misbruikt.

De mogelijke impact wordt door Adobe geclassificeerd als privilege escalation.

Welke Adobe Commerce-versies zijn kwetsbaar?

Volgens Adobe zijn de volgende Adobe Commerce-versies door APSB26-138 getroffen:

• 2.4.9-2026-aug en eerder;
• 2.4.8-2026-aug en eerder;
• 2.4.7-2026-aug en eerder;
• 2.4.6-2026-aug en eerder;
• 2.4.5-2026-aug en eerder;
• 2.4.4-2026-aug en eerder.

Adobe heeft hiervoor de volgende september 2026-updates gepubliceerd:

• 2.4.9-2026-sep;
• 2.4.8-2026-sep;
• 2.4.7-2026-sep;
• 2.4.6-2026-sep;
• 2.4.5-2026-sep;
• 2.4.4-2026-sep.

Adobe Commerce B2B versies

Voor Adobe Commerce B2B noemt Adobe de volgende getroffen branches:

• 1.5.3-2026-aug en eerder;
• 1.5.2-2026-aug en eerder;
• 1.4.2-2026-aug en eerder;
• 1.3.4-2026-aug en eerder;
• 1.3.3-2026-aug en eerder.

De overeenkomstige september-updates zijn:

• 1.5.3-2026-sep;
• 1.5.2-2026-sep;
• 1.4.2-2026-sep;
• 1.3.4-2026-sep;
• 1.3.3-2026-sep.

Magento Open Source bijwerken

Voor Magento Open Source vermeldt Adobe de volgende getroffen versies:

• 2.4.9-2026-aug en eerder;
• 2.4.8-2026-aug en eerder;
• 2.4.7-2026-aug en eerder;
• 2.4.6-2026-aug en eerder.

Adobe vermeldt in APSB26-138 de volgende bijgewerkte Magento Open Source-versies:

• 2.4.9-2026-sep;
• 2.4.8-2026-sep;
• 2.4.7-2026-sep.

Controleer voor uw specifieke Magento-versie altijd de actuele Adobe release notes en installatie-instructies voordat de update op een productieomgeving wordt uitgevoerd.

Geen actieve exploitatie van APSB26-138 bekend

Adobe meldt op het moment van publicatie dat het niet bekend is met exploits in het wild voor de acht kwetsbaarheden die met APSB26-138 worden opgelost.

Dat onderscheid is belangrijk. De kwetsbaarheden uit deze Magento security update moeten niet worden beschreven als actief misbruikt zolang daarvoor geen betrouwbare bevestiging bestaat.

De situatie is daarmee anders dan bij CVE-2026-75650, waarvoor Adobe wel actieve exploitatie heeft bevestigd.

Let op: CVE-2026-75650 vereist een aparte hotfix

Dit is momenteel het belangrijkste aandachtspunt voor Magento- en Adobe Commerce-beheerders.

Adobe heeft op 7 september 2026 het afzonderlijke beveiligingsbulletin APSB26-146 uitgebracht voor de kritieke zero-day CVE-2026-75650.

Deze kwetsbaarheid heeft een CVSS-score van 10.0, maakt arbitrary code execution zonder authenticatie mogelijk en wordt volgens Adobe actief in het wild misbruikt.

Adobe vermeldt daarom expliciet bij APSB26-138 dat beheerders de hotfix voor CVE-2026-75650 naast de security updates uit APSB26-138 moeten installeren.

Het installeren van alleen de nieuwe september security update mag dus niet worden beschouwd als bevestiging dat CVE-2026-75650 eveneens is verholpen.

Controleer beide Magento-beveiligingsupdates

Beheerders moeten daarom twee afzonderlijke zaken controleren:

• of de september 2026 security update uit APSB26-138 is geïnstalleerd;
• of de afzonderlijke CVE-2026-75650 hotfix uit APSB26-146 correct is toegepast.

Voor CVE-2026-75650 heeft Adobe de hotfix VULN-39341 beschikbaar gesteld.

Omdat die zero-day actief wordt misbruikt, moet daarnaast worden onderzocht of een omgeving vóór installatie van de hotfix mogelijk al is gecompromitteerd. Alleen patchen verwijdert geen eventueel eerder geplaatste malware of webshells.

Waarom snel bijwerken verstandig is

Hoewel Adobe momenteel geen actieve exploitatie van de acht APSB26-138-kwetsbaarheden meldt, bevat de update meerdere beveiligingsproblemen die zonder authenticatie kunnen worden misbruikt.

Bij een publiek bereikbare e-commerceomgeving is het daarom onverstandig om een dergelijke security update langdurig uit te stellen.

Magento- en Adobe Commerce-installaties verwerken bovendien vaak gevoelige klant- en bestelgegevens en zijn gekoppeld aan externe systemen zoals:

• betaalproviders;
• ERP- en boekhoudsystemen;
• verzendplatformen;
• voorraad- en fulfilmentsystemen;
• marketingdiensten;
• externe API’s;
• deployment- en beheersystemen.

Een beveiligingsprobleem dat leidt tot privilege escalation of het omzeilen van beveiligingsmaatregelen kan daardoor gevolgen hebben die verder gaan dan alleen de webshop zelf.

Update eerst in een gecontroleerde omgeving

Bij bedrijfskritische Magento- en Adobe Commerce-omgevingen adviseren wij security updates zo snel mogelijk te installeren, maar wel volgens een gecontroleerd updateproces.

Maak vooraf een actuele back-up, controleer maatwerkmodules en externe extensies en test waar mogelijk eerst in een stagingomgeving.

Controleer na de update onder andere:

• de frontend en checkout;
• betaalmethoden;
• Magento cronjobs;
• API-integraties;
• ERP- en fulfilmentkoppelingen;
• beheerfuncties;
• custom modules en themes;
• Magento- en serverlogs op nieuwe fouten.

Verantwoordelijkheid voor CMS-updates

Klanten zonder Managed WordPress/CMS-onderhoud of een afzonderlijke managed CMS-dienst zijn zelf verantwoordelijk voor het tijdig bijwerken van Magento, Adobe Commerce, WordPress, andere CMS-software, plugins, extensies en thema’s.

Wanneer een website door misbruik, malware of aantoonbaar achterstallig onderhoud een risico vormt voor onze infrastructuur, andere klanten of derden, kan Vservs de betreffende website of dienst tijdelijk isoleren of uitschakelen.

Dit gebeurt uitsluitend als veiligheids- en continuïteitsmaatregel om verdere schade, misbruik of verstoring van onze infrastructuur en diensten te voorkomen.

Herstelwerkzaamheden aan niet-managed omgevingen buiten onze reguliere openingstijden, in weekenden of op feestdagen zijn afhankelijk van de ernst van het incident en onze beschikbaarheid. Wanneer directe interventie niet noodzakelijk is, kunnen herstelwerkzaamheden vanaf de eerstvolgende werkdag worden opgepakt.

Managed hosting door Vservs

Deze Magento security update laat opnieuw zien dat het beheer van een bedrijfskritische e-commerceomgeving verder gaat dan alleen het onderhouden van de server.

Security advisories, Magento-updates, extensies, serverbeveiliging, monitoring, back-ups en de integriteit van de webshop moeten gezamenlijk worden bewaakt.

Wilt u het technisch beheer van een Magento-, Adobe Commerce- of andere bedrijfskritische e-commerceomgeving niet volledig zelf uitvoeren? Neem dan contact op met Vservs om de mogelijkheden voor managed hosting en managed VPS te bespreken.

Bronnen

• Adobe Security Bulletin APSB26-138 – September 2026 Security Update
• Adobe Security Bulletin APSB26-146 – CVE-2026-75650
• Adobe Commerce – Urgent Action Required for CVE-2026-75650

Magento CVE-2026-75650 is een kritieke zero-day kwetsbaarheid in Adobe Commerce en Magento Open Source die actief in het wild wordt misbruikt.

De kwetsbaarheid heeft de maximale CVSS-score 10.0 Critical. Een aanvaller kan het beveiligingslek op afstand misbruiken zonder account, authenticatie of gebruikersinteractie en daarmee willekeurige code uitvoeren binnen een kwetsbare webshop.

Adobe bevestigt dat CVE-2026-75650 daadwerkelijk actief wordt misbruikt en heeft hiervoor op 7 september 2026 een afzonderlijke noodpatch uitgebracht.

Door de ernst van Magento CVE-2026-75650 en de bevestigde actieve exploitatie moeten beheerders van Magento Open Source en Adobe Commerce direct actie ondernemen.

Magento CVE-2026-75650 wordt actief misbruikt

CVE-2026-75650 betreft een fout in de verwerking van speciale elementen binnen een template-engine van Adobe Commerce en Magento Open Source.

De kwetsbaarheid is geclassificeerd als CWE-1336 – Improper Neutralization of Special Elements Used in a Template Engine.

Door speciaal vervaardigde invoer naar een kwetsbare installatie te sturen, kan een externe aanvaller willekeurige code laten uitvoeren binnen de omgeving van de webshop.

Voor exploitatie is geen authenticatie vereist. Ook hoeft een beheerder of bezoeker geen link te openen of een andere handeling uit te voeren.

Belangrijkste gegevens over Magento CVE-2026-75650

• Product: Adobe Commerce, Adobe Commerce B2B en Magento Open Source
• CVE: CVE-2026-75650
• Adobe bulletin: APSB26-146
• Adobe hotfix: VULN-39341
• Kwetsbaarheid: template injection / arbitrary code execution
• CWE: CWE-1336
• Ernst: Critical
• CVSS: 10.0
• Authenticatie vereist: nee
• Gebruikersinteractie vereist: nee
• Exploitstatus: actieve exploitatie door Adobe bevestigd
• Adobe Priority Rating: 1
• Veilige oplossing: Adobe hotfix VULN-39341 toepassen
• Vereiste actie: onmiddellijk patchen, de omgeving controleren op compromise en daarna mogelijk blootgestelde credentials roteren

Welke Magento- en Adobe Commerce-versies zijn kwetsbaar?

Adobe vermeldt de volgende Adobe Commerce-versies als getroffen:

• 2.4.9-2026-aug en eerder;
• 2.4.8-2026-aug en eerder;
• 2.4.7-2026-aug en eerder;
• 2.4.6-2026-aug en eerder;
• 2.4.5-2026-aug en eerder;
• 2.4.4-2026-aug en eerder.

Voor Adobe Commerce B2B zijn de volgende branches getroffen:

• 1.5.3-2026-aug en eerder;
• 1.5.2-2026-aug en eerder;
• 1.4.2-2026-aug en eerder;
• 1.3.4-2026-aug en eerder;
• 1.3.3-2026-aug en eerder.

Voor Magento Open Source vermeldt Adobe:

• 2.4.9-2026-aug en eerder;
• 2.4.8-2026-aug en eerder;
• 2.4.7-2026-aug en eerder;
• 2.4.6-2026-aug en eerder.

Adobe heeft voor de kwetsbaarheid een afzonderlijke VULN-39341-hotfix gepubliceerd. Alleen het zichtbare Magento-versienummer controleren is daardoor niet voldoende om vast te stellen of een omgeving beschermd is.

Actieve aanvallen op Magento CVE-2026-75650

Bij deze kwetsbaarheid gaat het niet alleen om een theoretisch beveiligingsrisico.

Adobe bevestigt expliciet dat CVE-2026-75650 actief in het wild wordt misbruikt.

Securityonderzoekers hebben daarnaast aanvallen tegen kwetsbare e-commerceomgevingen waargenomen. Bij succesvolle compromise kunnen aanvallers permanente toegang proberen te verkrijgen door bijvoorbeeld een backdoor of webshell te plaatsen.

Dit betekent dat een webshop die vóór installatie van de hotfix publiek bereikbaar en kwetsbaar was, niet automatisch als veilig kan worden beschouwd nadat de patch is geïnstalleerd.

Patchen voorkomt nieuwe exploitatie via de kwetsbaarheid, maar verwijdert geen malware die mogelijk eerder is geplaatst.

Remote code execution zonder login

De gepubliceerde CVSS-vector voor CVE-2026-75650 is:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Dit betekent onder andere:

• de aanval kan via het netwerk worden uitgevoerd;
• de aanval heeft een lage complexiteit;
• er zijn geen gebruikersrechten nodig;
• er is geen gebruikersinteractie nodig;
• de gevolgen voor vertrouwelijkheid, integriteit en beschikbaarheid zijn hoog.

Succesvolle remote code execution kan een aanvaller in staat stellen bestanden te wijzigen, malware of webshells te plaatsen, webshopgegevens uit te lezen en permanente toegang tot de omgeving te creëren.

Voor een e-commerceomgeving is dit bijzonder ernstig. Magento en Adobe Commerce hebben doorgaans toegang tot databases, API-tokens, betaalproviderconfiguraties en verschillende externe integraties.

Installeer direct hotfix VULN-39341

Adobe heeft de kwetsbaarheid ingedeeld als Priority 1 en adviseert getroffen omgevingen onmiddellijk van de beschikbare hotfix te voorzien.

Voor Adobe Commerce on-premises, Adobe Commerce Cloud en Magento Open Source moet de juiste versie van VULN-39341 worden toegepast.

Adobe geeft aan dat de hotfix officieel is getest op de betreffende ondersteunde productbranches. Gebruik daarom uitsluitend de officiële Adobe-hotfix en controleer zorgvuldig of deze zonder fouten is toegepast.

Vanwege de actieve exploitatie van Magento CVE-2026-75650 adviseren wij niet te wachten op een regulier onderhoudsmoment.

Alleen patchen is niet voldoende

Omdat CVE-2026-75650 al actief werd misbruikt voordat de beveiligingsupdate beschikbaar kwam, zijn aanvullende maatregelen noodzakelijk voor omgevingen die tijdens de kwetsbare periode publiek bereikbaar waren.

Na installatie van de hotfix moeten onder andere de encryptiesleutel en mogelijk blootgestelde credentials worden vervangen.

Alleen het roteren van de Commerce-encryptiesleutel is niet voldoende wanneer credentials eerder zijn ontsleuteld of buitgemaakt. Dergelijke credentials blijven geldig totdat ze bij de betreffende dienst zelf worden ingetrokken of vervangen.

Welke credentials moeten worden vervangen?

Controleer na het patchen welke gevoelige gegevens vanuit de Magento-omgeving toegankelijk waren. Denk onder andere aan:

• de Adobe Commerce/Magento encryption key;
• wachtwoorden van Admin Panel-gebruikers;
• REST-, SOAP- en GraphQL-integratietokens;
• OAuth client secrets;
• API-credentials van betaalproviders;
• databasegebruikers en wachtwoorden;
• SSH- en deploymentkeys;
• credentials van cron- en andere serviceaccounts;
• API-keys van verzend-, belasting- en andere externe integraties.

Credentials voor externe diensten moeten bij de betreffende provider daadwerkelijk worden ingetrokken en opnieuw worden aangemaakt. Alleen een wijziging binnen Magento is daarvoor niet altijd voldoende.

Controleer of de Magento-hotfix werkelijk actief is

Het is niet altijd mogelijk om uitsluitend aan het Magento-versienummer te zien of CVE-2026-75650 daadwerkelijk is opgelost.

Voor Adobe Commerce Cloud kan de status van de VULN-39341-hotfix onder andere worden gecontroleerd met:

vendor/bin/magento-patches -n status | grep "39341\|Status"

De hotfix moet daarbij als Applied worden weergegeven.

Voor andere installatietypen moet worden gecontroleerd of de officiële patch daadwerkelijk zonder fouten is toegepast.

Controleer Magento op mogelijke compromise

Omdat Magento CVE-2026-75650 actief wordt misbruikt, adviseren wij beheerders niet alleen te patchen maar ook te controleren of de omgeving mogelijk al is gecompromitteerd.

Controleer onder andere:

• recent aangemaakte of gewijzigde PHP-bestanden;
• onverwachte bestanden in schrijfbare Magento-directories;
• onbekende webshells of andere uitvoerbare bestanden;
• onverwachte wijzigingen aan templates en CMS-content;
• nieuwe of onbekende Magento-administratoraccounts;
• onverwachte wijzigingen aan integraties of API-tokens;
• afwijkende cronjobs;
• onbekende processen onder de webservergebruiker;
• onverwachte uitgaande netwerkverbindingen;
• verdachte HTTP-verzoeken uit de periode waarin de webshop kwetsbaar was;
• bestandswijzigingen die niet door een reguliere deployment zijn veroorzaakt.

Een volledige server-side malware- en integriteitscontrole is verstandig wanneer een kwetsbare webshop vóór het patchen publiek bereikbaar was.

Een succesvolle patch verwijdert bestaande malware niet

Dit is bij een actief misbruikte remote-code-executionkwetsbaarheid een belangrijk onderscheid.

De VULN-39341-hotfix voorkomt nieuwe exploitatie via CVE-2026-75650, maar verwijdert geen backdoors, webshells of andere malware die vóór het patchen al kan zijn geplaatst.

Wanneer aanwijzingen voor compromise worden gevonden, moet de omgeving als beveiligingsincident worden behandeld.

Controleer in dat geval niet alleen de Magento-installatie, maar ook de onderliggende server, gebruikersaccounts, database, cronjobs, SSH-toegang en externe integraties.

Waarom deze Magento-kwetsbaarheid bijzonder ernstig is

Een Magento- of Adobe Commerce-webshop verwerkt doorgaans aanzienlijk meer gevoelige informatie en externe koppelingen dan een eenvoudige website.

Naast klant- en bestelgegevens zijn vaak verbindingen aanwezig met:

• betaalproviders;
• ERP- en boekhoudsystemen;
• verzendplatformen;
• marketing- en analyticsdiensten;
• voorraad- en fulfilmentsystemen;
• externe API’s;
• deployment- en beheersystemen.

Wanneer een aanvaller willekeurige code kan uitvoeren binnen de webshopomgeving, kunnen ook credentials en gegevens van gekoppelde systemen risico lopen.

Verantwoordelijkheid voor CMS-updates

Klanten zonder Managed WordPress/CMS-onderhoud of een afzonderlijke managed CMS-dienst zijn zelf verantwoordelijk voor het tijdig bijwerken van Magento, Adobe Commerce, WordPress, andere CMS-software, plugins, extensies en thema’s.

Wanneer een website door misbruik, malware of aantoonbaar achterstallig onderhoud een risico vormt voor onze infrastructuur, andere klanten of derden, kan Vservs de betreffende website of dienst tijdelijk isoleren of uitschakelen.

Dit gebeurt uitsluitend als veiligheids- en continuïteitsmaatregel om verdere schade, misbruik of verstoring van onze infrastructuur en diensten te voorkomen.

Herstelwerkzaamheden aan niet-managed omgevingen buiten onze reguliere openingstijden, in weekenden of op feestdagen zijn afhankelijk van de ernst van het incident en onze beschikbaarheid. Wanneer directe interventie niet noodzakelijk is, kunnen herstelwerkzaamheden vanaf de eerstvolgende werkdag worden opgepakt.

Managed hosting door Vservs

Magento CVE-2026-75650 laat zien dat bij bedrijfskritische e-commerceomgevingen niet alleen het onderliggende serverbeheer belangrijk is. Ook security advisories, applicatiepatches, extensies, malwarecontrole en de integriteit van de webshop moeten actief worden bewaakt.

Wilt u het technisch beheer van een bedrijfskritische Magento-, Adobe Commerce- of andere e-commerceomgeving niet volledig zelf uitvoeren? Bekijk dan de managed hosting- en VPS-oplossingen van Vservs of neem contact met ons op om de mogelijkheden voor uw omgeving te bespreken.

Bronnen

• Adobe Security Bulletin APSB26-146 – CVE-2026-75650
• Adobe Commerce – Urgent Action Required CVE-2026-75650
• Sansec Threat Research

TYPO3 heeft op 8 september 2026 een nieuwe beveiligingsupdate uitgebracht voor TYPO3 CMS. De security release verhelpt twee nieuwe kwetsbaarheden in TYPO3 Core.

Het gaat om CVE-2026-77132, waarmee een laaggeprivilegieerde backendgebruiker informatie buiten zijn toegestane bereik kan opvragen, en CVE-2026-85400, waarmee bepaalde backendadministrators ongeautoriseerd systeemconfiguratie kunnen wijzigen.

TYPO3 14.3.7 bevat oplossingen voor beide kwetsbaarheden. Voor oudere ondersteunde TYPO3-versies zijn eveneens beveiligde versies beschikbaar waar van toepassing.

Er is op het moment van publicatie geen bevestigde actieve exploitatie van deze kwetsbaarheden bekend.

TYPO3 security update van 8 september 2026

De TYPO3-securityrelease bevat oplossingen voor twee afzonderlijke beveiligingsproblemen in de TYPO3 Core:

• CVE-2026-77132: Information Disclosure via Backend Localization Wizard;
• CVE-2026-85400: Missing Authorization in lowlevel commands.

Beide kwetsbaarheden vereisen toegang tot de TYPO3-backend. Het gaat dus niet om unauthenticated remote code execution vanaf het openbare internet.

Dat maakt tijdig bijwerken echter nog steeds belangrijk, vooral voor TYPO3-omgevingen waarin meerdere redacteuren, beheerders of externe partijen toegang tot de backend hebben.

Belangrijkste gegevens

• Product: TYPO3 CMS
• Onderdeel: TYPO3 Core
• Publicatiedatum: 8 september 2026
• CVE’s: CVE-2026-77132 en CVE-2026-85400
• Security advisories: TYPO3-CORE-SA-2026-022 en TYPO3-CORE-SA-2026-023
• CVE-2026-77132 ernst: Medium, CVSS 4.0 score 5.3
• CVE-2026-85400 ernst: High, CVSS 7.5
• Impact: informatielek, ongeautoriseerde configuratiewijzigingen, privilege escalation en denial of service
• Authenticatie vereist: ja
• Exploitstatus: geen bevestigde actieve exploitatie bekend
• Veilige TYPO3 14-versie: 14.3.7 of nieuwer
• Vereiste actie: kwetsbare TYPO3-installaties bijwerken naar een beveiligde ondersteunde versie

CVE-2026-77132: informatie buiten toegestane rechten uitlezen

CVE-2026-77132 bevindt zich in verschillende AJAX-routes die door de TYPO3 Backend Localization Wizard worden gebruikt.

Deze routes voerden onvoldoende autorisatiecontroles uit. Hierdoor kan een ingelogde backendgebruiker met beperkte rechten informatie verkrijgen over records en content-elementen die normaal buiten het voor deze gebruiker toegestane bereik vallen.

Voor exploitatie is een geldig TYPO3-backendaccount vereist. Een anonieme internetgebruiker kan deze kwetsbaarheid volgens de gepubliceerde informatie niet rechtstreeks misbruiken.

Getroffen versies CVE-2026-77132

• TYPO3 10.0.0 tot en met 10.4.59;
• TYPO3 11.0.0 tot en met 11.5.53;
• TYPO3 12.0.0 tot en met 12.4.48;
• TYPO3 13.0.0 tot en met 13.4.34;
• TYPO3 14.0.0 tot en met 14.3.6.

De beveiligde versies zijn respectievelijk 10.4.60, 11.5.54, 12.4.49, 13.4.35 en 14.3.7.

Installaties op end-of-life TYPO3-versies moeten niet uitsluitend op deze specifieke patch worden beoordeeld. Voor productieomgevingen adviseren wij een actuele en door TYPO3 ondersteunde release te gebruiken.

CVE-2026-85400: systeemconfiguratie wijzigen

De tweede kwetsbaarheid, CVE-2026-85400, heeft potentieel grotere gevolgen.

Backendadministrators zonder System Maintainer-rechten konden via de TYPO3 Scheduler bepaalde lowlevel-commando’s uitvoeren die normaal alleen beschikbaar horen te zijn voor System Maintainers.

Het betreft onder andere de commando’s:

• configuration:read
• configuration:set
• configuration:show

Door het ontbreken van de juiste autorisatiecontrole kon een backendadministrator systeemconfiguratie aanpassen die normaal buiten zijn bevoegdheden valt.

Wat kan een aanvaller met CVE-2026-85400 doen?

Volgens de TYPO3-beschrijving kan misbruik onder andere worden gebruikt om System Maintainer-rechten te verkrijgen of een Denial of Service te veroorzaken.

De aanval vereist wel al een backendaccount met administratorrechten. Het gaat daarmee niet om een kwetsbaarheid waarmee iedere willekeurige internetbezoeker een TYPO3-installatie kan overnemen.

De scheiding tussen gewone backendadministrators en System Maintainers is echter bewust onderdeel van het TYPO3-beveiligingsmodel. Het kunnen omzeilen van die scheiding is daarom een relevante privilege-escalationkwetsbaarheid.

Getroffen versies CVE-2026-85400

CVE-2026-85400 treft volgens de gepubliceerde CVE-informatie:

• TYPO3 CMS 14.2.0 tot en met 14.3.6.

TYPO3 14.3.7 bevat de beveiligingscorrectie.

Update TYPO3 naar een beveiligde versie

TYPO3 14.3.7 is op 8 september 2026 uitgebracht als security release en bevat oplossingen voor beide kwetsbaarheden.

Voor TYPO3 14 adviseren wij daarom direct bij te werken naar 14.3.7 of een nieuwere ondersteunde versie.

Voor oudere TYPO3-branches moet worden gecontroleerd welke ondersteunde beveiligde release beschikbaar is. Installaties die inmiddels end-of-life zijn, moeten naar een ondersteunde TYPO3-versie worden gemigreerd.

TYPO3 geeft aan dat voor de upgrade naar 14.3.7 geen database-update noodzakelijk is. Na de upgrade kan het wel nodig zijn caches te legen. TYPO3 adviseert daarnaast de Database Analyzer uit te voeren.

Controleer backendaccounts en rechten

Omdat beide kwetsbaarheden een geldig backendaccount vereisen, adviseren wij beheerders naast de update ook de bestaande TYPO3-backendgebruikers te controleren.

Controleer onder andere:

• welke gebruikers toegang hebben tot de TYPO3-backend;
• welke accounts administratorrechten hebben;
• welke gebruikers als System Maintainer zijn geconfigureerd;
• of oude of ongebruikte accounts nog actief zijn;
• of externe ontwikkelaars of voormalige medewerkers nog toegang hebben;
• of recent onverwachte wijzigingen aan systeemconfiguratie zijn uitgevoerd;
• of onbekende Scheduler-taken aanwezig zijn.

Controle op mogelijk misbruik

Voor CVE-2026-77132 en CVE-2026-85400 zijn op het moment van publicatie geen betrouwbare specifieke malwarebestanden, aanvallende IP-adressen of andere publieke Indicators of Compromise gepubliceerd.

Het is daarom niet verantwoord willekeurige IP-adressen of bestanden als indicator van deze kwetsbaarheden te presenteren.

Wanneer misbruik wordt vermoed, controleer dan beschikbare TYPO3-, webserver- en authenticatielogs op onverwachte backendactiviteit en wijzigingen die zijn uitgevoerd door accounts die daar normaal geen bevoegdheid voor hebben.

Bij CVE-2026-85400 verdienen met name onverwachte Scheduler-taken en wijzigingen aan TYPO3-systeemconfiguratie nader onderzoek.

Geen bevestigde actieve exploitatie

Op het moment van publicatie is er geen betrouwbare bevestiging dat CVE-2026-77132 of CVE-2026-85400 actief in het wild wordt misbruikt.

Dat is geen reden om de update uit te stellen. De beveiligingsupdates zijn beschikbaar en TYPO3 heeft versie 14.3.7 expliciet als security release uitgebracht.

Verantwoordelijkheid voor CMS-updates

Klanten zonder Managed WordPress/CMS-onderhoud of een afzonderlijke managed CMS-dienst zijn zelf verantwoordelijk voor het tijdig bijwerken van TYPO3, WordPress, andere CMS-software, plugins, extensies en thema’s.

Wanneer een website door misbruik, malware of aantoonbaar achterstallig onderhoud een risico vormt voor onze infrastructuur, andere klanten of derden, kan Vservs de betreffende website of dienst tijdelijk isoleren of uitschakelen.

Dit gebeurt uitsluitend als veiligheids- en continuïteitsmaatregel om verdere schade, misbruik of verstoring van onze infrastructuur en diensten te voorkomen.

Herstelwerkzaamheden aan niet-managed omgevingen buiten onze reguliere openingstijden, in weekenden of op feestdagen zijn afhankelijk van de ernst van het incident en onze beschikbaarheid. Wanneer directe interventie niet noodzakelijk is, kunnen herstelwerkzaamheden vanaf de eerstvolgende werkdag worden opgepakt.

Managed hosting door Vservs

Security releases zoals TYPO3 14.3.7 laten zien waarom het belangrijk is niet alleen het besturingssysteem en PHP, maar ook het gebruikte CMS en de bijbehorende extensies actief te onderhouden.

Wilt u het technisch beheer van een bedrijfskritische CMS-omgeving niet volledig zelf uitvoeren? Bekijk dan de managed hosting- en VPS-oplossingen van Vservs of neem contact met ons op om de mogelijkheden voor uw omgeving te bespreken.

Bronnen

• TYPO3 – Release Notes TYPO3 CMS 14.3.7
• TYPO3 Security Advisory – CVE-2026-77132
• TYPO3 Security Advisory – CVE-2026-85400
• CVE Program – CVE-2026-77132
• CVE Program – CVE-2026-85400

Een nieuwe WooCommerce kwetsbaarheid kan door een aanvaller worden gebruikt om een WordPress-webshop via internet onbereikbaar te maken.

De kwetsbaarheid is geregistreerd als CVE-2026-48888 en heeft een CVSS-score van 7.5 (High). Voor een aanval zijn geen WordPress-account, andere inloggegevens of gebruikersinteractie nodig.

WooCommerce-versies ouder dan 11.1.0 zijn kwetsbaar. De kwetsbaarheid is verholpen in WooCommerce 11.1.0.

Beheerders van WooCommerce-webshops wordt daarom geadviseerd de actieve versie te controleren en kwetsbare installaties bij te werken naar minimaal WooCommerce 11.1.0.

WooCommerce kwetsbaarheid CVE-2026-48888

CVE-2026-48888 betreft onvoldoende begrenzing van het gebruik van systeemresources binnen WooCommerce. De kwetsbaarheid valt onder CWE-770: Allocation of Resources Without Limits or Throttling.

Een externe aanvaller kan speciaal gevormde HTTP-verzoeken naar een kwetsbare WooCommerce-installatie sturen waardoor buitensporig veel systeemresources worden gebruikt.

Het gevolg kan een Denial of Service (DoS) zijn: de webshop reageert zeer traag of wordt volledig onbereikbaar voor normale bezoekers en klanten.

Belangrijkste gegevens

• Product: WooCommerce voor WordPress
• Vendor: Automattic
• CVE: CVE-2026-48888
• Ernst: High
• CVSS: 7.5
• CWE: CWE-770 – Allocation of Resources Without Limits or Throttling
• Type: HTTP Denial of Service
• Kwetsbare versies: WooCommerce ouder dan 11.1.0
• Gepatchte versie: WooCommerce 11.1.0 en nieuwer
• Authenticatie vereist: nee
• Gebruikersinteractie vereist: nee
• Exploitstatus: geen bevestigde actieve exploitatie bekend op het moment van publicatie
• CISA KEV: niet opgenomen op het moment van publicatie
• Vereiste actie: update WooCommerce naar minimaal versie 11.1.0

Waarom is deze kwetsbaarheid relevant?

WooCommerce vormt voor veel bedrijven een bedrijfskritisch onderdeel van hun website. Wanneer de webshop door een Denial-of-Service-aanval niet meer bereikbaar is, kunnen bezoekers geen producten bekijken, winkelwagens gebruiken of bestellingen afronden.

CVE-2026-48888 heeft volgens de gepubliceerde CVSS-vector geen directe impact op de vertrouwelijkheid of integriteit van gegevens. Het primaire risico is de beschikbaarheid van de webshop.

Dat onderscheid is belangrijk: deze kwetsbaarheid is op basis van de momenteel beschikbare informatie geen remote-code-executionlek en geeft een aanvaller niet automatisch toegang tot WordPress of WooCommerce.

Aanval zonder WordPress-account mogelijk

De kwetsbaarheid is via het netwerk bereikbaar en vereist geen authenticatie.

De officiële CVSS-vector is:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Daaruit volgt dat de aanval via het netwerk kan worden uitgevoerd, een lage attack complexity heeft, geen privileges vereist en geen gebruikersinteractie nodig heeft.

De availability-impact wordt als High beoordeeld.

Update WooCommerce naar minimaal 11.1.0

Alle WooCommerce-versies voor 11.1.0 vallen binnen het gepubliceerde kwetsbare versiebereik.

WooCommerce 11.1.0 staat in het CVE-record als niet kwetsbaar vermeld.

Controleer daarom in WordPress welke WooCommerce-versie daadwerkelijk actief is en werk een kwetsbare installatie bij naar minimaal versie 11.1.0 of een nieuwere ondersteunde versie.

Maak bij bedrijfskritische webshops vooraf een bruikbare back-up en controleer na de update minimaal de productpagina’s, winkelwagen, checkout, betaalmethoden en eventuele maatwerk- of WooCommerce-extensies.

Geen bevestigde actieve exploitatie

Op het moment van publicatie is er geen betrouwbare bevestiging dat CVE-2026-48888 actief in het wild wordt misbruikt.

De kwetsbaarheid is op 8 september 2026 openbaar gemaakt. Er is momenteel geen publiek exploit opgenomen in de door ons gecontroleerde bronnen en CVE-2026-48888 staat op het moment van publicatie niet in de CISA Known Exploited Vulnerabilities Catalog.

Dat betekent niet dat een kwetsbare WooCommerce-installatie niet hoeft te worden bijgewerkt. De aanval vereist geen authenticatie en de noodzakelijke beveiligingsupdate is beschikbaar.

Controleer op opvallende belasting

Voor CVE-2026-48888 zijn op het moment van publicatie geen betrouwbare specifieke compromise-indicatoren of IP-adressen gepubliceerd.

Verzin of blokkeer daarom niet willekeurig IP-adressen op basis van onbevestigde informatie.

Bij onverwachte performanceproblemen op een kwetsbare WooCommerce-installatie kunnen beheerders wel controleren op:

• plotseling sterk verhoogde aantallen HTTP-verzoeken;
• grote aantallen vergelijkbare verzoeken naar WooCommerce-functionaliteit;
• onverklaarbare pieken in PHP-FPM-processen;
• sterk verhoogd CPU- of geheugengebruik;
• langlopende PHP-processen;
• plotseling verhoogde databasebelasting;
• HTTP 502-, 503- of 504-fouten tijdens piekbelasting;
• afwijkende patronen in webserver access- en errorlogs;
• WAF- of rate-limitmeldingen rond hetzelfde tijdstip.

Deze signalen bewijzen op zichzelf geen exploitatie van CVE-2026-48888. Ze kunnen ook door legitiem verkeer, bots, slecht functionerende plugins of andere technische problemen worden veroorzaakt.

Rate limiting als aanvullende bescherming

Webserver-, reverse-proxy-, CDN- en WAF-rate limiting kunnen de gevolgen van geautomatiseerde HTTP-aanvallen helpen beperken.

Dergelijke maatregelen moeten zorgvuldig worden ingesteld. Een te agressieve limiet kan ook normale bezoekers, API-koppelingen, betaalproviders of andere WooCommerce-functionaliteit hinderen.

Rate limiting is bovendien geen vervanging voor de beveiligingsupdate. De primaire maatregel voor CVE-2026-48888 is het installeren van WooCommerce 11.1.0 of nieuwer.

Gedeelde hosting kan extra impact ondervinden

Een resource-exhaustionaanval is niet alleen relevant voor de aangevallen webshop zelf.

Wanneer meerdere websites resources op dezelfde server delen, kan extreme CPU-, geheugen-, PHP- of databasebelasting in bepaalde omstandigheden ook invloed hebben op andere websites op dezelfde infrastructuur.

Dit is één van de redenen waarom Vservs bij abnormale belasting en aanvallen actief kan ingrijpen om de stabiliteit van de hostingomgeving te beschermen.

Verantwoordelijkheid voor CMS-updates

Klanten zonder Managed WordPress/CMS-onderhoud of een afzonderlijke managed CMS-dienst zijn zelf verantwoordelijk voor het tijdig bijwerken van WordPress, WooCommerce, andere CMS-software, plugins, extensies en thema’s.

Wanneer een website door misbruik, malware of aantoonbaar achterstallig onderhoud een risico vormt voor onze infrastructuur, andere klanten of derden, kan Vservs de betreffende website of dienst tijdelijk isoleren of uitschakelen.

Dit gebeurt uitsluitend als veiligheids- en continuïteitsmaatregel om verdere schade, misbruik of verstoring van onze infrastructuur en diensten te voorkomen.

Herstelwerkzaamheden aan niet-managed omgevingen buiten onze reguliere openingstijden, in weekenden of op feestdagen zijn afhankelijk van de ernst van het incident en onze beschikbaarheid. Wanneer directe interventie niet noodzakelijk is, kunnen herstelwerkzaamheden vanaf de eerstvolgende werkdag worden opgepakt.

Managed WordPress door Vservs

WooCommerce-webshops bevatten naast WordPress Core vaak tientallen plugins, betaalmodules, verzendkoppelingen en andere extensies. Daardoor is tijdig technisch onderhoud belangrijk voor zowel beveiliging als beschikbaarheid.

Bij Managed WordPress door Vservs worden relevante beveiligingsupdates, technisch onderhoud, monitoring en controles binnen de overeengekomen managed dienstverlening door ons opgevolgd.

Wilt u het technisch beheer en de beveiligingsupdates van uw zakelijke WordPress- of WooCommerce-omgeving niet zelf uitvoeren? Bekijk dan onze Managed WordPress-oplossingen.

Bronnen

• Patchstack – WooCommerce CVE-2026-48888
• CVE Program – CVE-2026-48888
• NVD – CVE-2026-48888

De Super Forms kwetsbaarheid CVE-2026-14894 is een kritieke beveiligingsfout in de WordPress-plugin Super Forms – Drag & Drop Form Builder die actief wordt misbruikt. De kwetsbaarheid maakt het mogelijk dat een aanvaller zonder account of authenticatie bestanden naar een kwetsbare WordPress-website uploadt. Omdat hierbij ook uitvoerbare bestanden kunnen worden geplaatst, kan succesvolle exploitatie leiden tot Remote Code Execution (RCE) en volledige compromittering van de website.

De kwetsbaarheid heeft een CVSS-score van 9.8 (Critical). Alle versies tot en met Super Forms 6.3.313 zijn kwetsbaar. Gebruikers moeten zo snel mogelijk bijwerken naar versie 6.3.314 of nieuwer.

Super Forms kwetsbaarheid CVE-2026-14894

CVE-2026-14894 bevindt zich in de verwerking van bestandsuploads via de submit_form-functionaliteit van Super Forms.

De kwetsbare code controleert het bestandstype onvoldoende en voert geen adequate capability check uit voordat bestanden worden verwerkt.

Normaal gesproken wordt de betreffende AJAX-functionaliteit beschermd door een sessie-nonce. Bij Super Forms kan een niet-ingelogde bezoeker echter via een afzonderlijk publiek toegankelijk AJAX-endpoint zelf een geldige sf_nonce en sessiecookie verkrijgen.

Hierdoor kan de beveiligingscontrole worden omzeild en kan de aanval zonder WordPress-account worden uitgevoerd.

Welke versies van Super Forms zijn kwetsbaar?

De kwetsbaarheid treft:

• Super Forms – Drag & Drop Form Builder 6.3.313 en ouder.

De kwetsbaarheid is verholpen in versie 6.3.314. Websites die nog versie 6.3.313 of ouder gebruiken, moeten onmiddellijk worden bijgewerkt.

Hoe ernstig is CVE-2026-14894?

CVE-2026-14894 heeft een CVSS 3.1-score van 9.8 (Critical).

De kwetsbaarheid is geclassificeerd als CWE-434 – Unrestricted Upload of File with Dangerous Type.

De belangrijkste kenmerken zijn:

• Authenticatie vereist: nee;
• Gebruikersinteractie vereist: nee;
• Aanvalscomplexiteit: laag;
• Aanval via netwerk: ja;
• Mogelijke impact: Remote Code Execution;
• CVSS: 9.8 Critical;
• Exploitstatus: actieve aanvallen waargenomen.

Hoe werkt de aanval?

De aanval kan in twee stappen worden uitgevoerd.

Eerst kan een niet-ingelogde aanvaller via de publiek toegankelijke super_create_nonce AJAX-action een geldige sessie en nonce verkrijgen.

Vervolgens kan deze nonce worden gebruikt om de kwetsbare submit_form-functionaliteit aan te roepen en een door de aanvaller gekozen bestand naar de WordPress-website te uploaden.

Omdat de plugin het bestandstype onvoldoende controleert, kan onder kwetsbare omstandigheden ook een uitvoerbaar PHP-bestand worden geplaatst.

Wanneer het geüploade bestand vervolgens via het web bereikbaar is, kan de aanvaller de daarin opgenomen code uitvoeren.

Remote Code Execution en volledige website-overname

Een succesvolle arbitrary file upload kan daardoor direct leiden tot Remote Code Execution.

Een aanvaller kan bijvoorbeeld proberen een PHP-webshell of andere malware te uploaden. Daarmee kan vervolgens aanvullende code op de server worden uitgevoerd.

Afhankelijk van de configuratie en rechten van het webserverproces kan een aanvaller mogelijk:

• WordPress-bestanden wijzigen;
• malware of webshells installeren;
• gegevens uit de WordPress-database uitlezen;
• WordPress-beheerdersaccounts aanmaken of wijzigen;
• websitecontent manipuleren;
• spam- of phishingpagina’s plaatsen;
• kwaadaardige JavaScript-code injecteren;
• bezoekers doorsturen naar frauduleuze websites;
• permanente toegang tot de website creëren;
• andere websites of onderdelen van de hostingomgeving proberen aan te vallen.

CVE-2026-14894 wordt actief misbruikt

Deze kwetsbaarheid is niet alleen theoretisch. Er zijn inmiddels actieve exploitatiepogingen tegen kwetsbare Super Forms-installaties waargenomen.

Volgens gepubliceerde informatie begonnen aanvallers kort na de openbaarmaking van de kwetsbaarheid met exploitatiepogingen. Er zijn inmiddels grote aantallen kwaadaardige verzoeken gericht op deze kwetsbaarheid geblokkeerd.

Omdat geen authenticatie nodig is en exploitatie relatief eenvoudig kan worden geautomatiseerd, kunnen aanvallers het internet op grote schaal scannen naar WordPress-websites waarop een kwetsbare versie van Super Forms aanwezig is.

Update Super Forms onmiddellijk

Controleer op WordPress-websites waarop Super Forms wordt gebruikt welke versie van de plugin is geïnstalleerd.

Wanneer versie 6.3.313 of ouder wordt gebruikt:

1. maak indien mogelijk eerst een actuele back-up;
2. update Super Forms onmiddellijk naar versie 6.3.314 of nieuwer;
3. controleer of de update succesvol is uitgevoerd;
4. controleer de website vervolgens op mogelijke compromittering.

Wanneer de plugin niet direct kan worden bijgewerkt, adviseren wij de plugin tijdelijk uit te schakelen totdat een veilige versie kan worden geïnstalleerd.

Alleen updaten is niet voldoende

Omdat actieve exploitatie van CVE-2026-14894 is waargenomen, adviseren wij websites die met een kwetsbare versie publiek toegankelijk zijn geweest ook te controleren op mogelijke compromittering.

Het installeren van versie 6.3.314 sluit de bekende kwetsbaarheid, maar toont niet aan of een aanvaller vóór de update al een kwaadaardig bestand heeft geüpload.

Controleer WordPress op misbruik

Controleer onder andere op:

• recent aangemaakte of gewijzigde PHP-bestanden;
• PHP-bestanden op locaties waar normaal geen PHP-bestanden horen te staan;
• onbekende bestanden in WordPress upload- en tijdelijke directories;
• onbekende WordPress-beheerdersaccounts;
• recent geïnstalleerde plugins of thema’s;
• wijzigingen aan wp-config.php;
• onbekende cronjobs en geplande WordPress-taken;
• verdachte requests naar admin-ajax.php;
• onverwachte uitgaande netwerkverbindingen;
• webshells, malware of andere verdachte PHP-code.

Controleer waar mogelijk ook de webserver access- en errorlogs rond verzoeken naar WordPress AJAX-functionaliteit en Super Forms.

Wat als een verdacht bestand wordt gevonden?

Verwijder bij een mogelijke compromittering niet direct alle verdachte bestanden voordat relevante logs en informatie zijn veiliggesteld.

Er moet eerst worden vastgesteld wanneer het bestand is geplaatst, welke code is uitgevoerd en of de aanvaller aanvullende wijzigingen heeft aangebracht.

Een aanvaller met Remote Code Execution kan bijvoorbeeld extra webshells, WordPress-accounts, cronjobs of andere persistence-mechanismen hebben geïnstalleerd.

Na onderzoek en opschoning moeten relevante WordPress-wachtwoorden, application passwords, API-sleutels en andere mogelijk blootgestelde credentials waar nodig worden vervangen.

Verantwoordelijkheid voor WordPress-updates

Klanten zonder Managed WordPress of een afzonderlijke managed CMS-dienst zijn zelf verantwoordelijk voor het actueel houden van WordPress Core, plugins en thema’s.

Wanneer een website door misbruik, malware of aantoonbaar achterstallig onderhoud een risico vormt voor onze infrastructuur, andere klanten of derden, kan Vservs de betreffende website of dienst tijdelijk isoleren of uitschakelen.

Dit gebeurt uitsluitend als beveiligings- en continuïteitsmaatregel om verdere schade, misbruik of verspreiding van malware te voorkomen.

Managed WordPress door Vservs

Kwetsbaarheden zoals CVE-2026-14894 laten zien hoe snel een beveiligingsprobleem in een WordPress-plugin kan veranderen in een daadwerkelijk risico zodra aanvallers de kwetsbaarheid actief gaan misbruiken.

Met Managed WordPress Hosting van Vservs kunnen technisch WordPress-beheer, updates, security hardening, malwaremonitoring, back-ups en performance-optimalisatie onderdeel zijn van de dienstverlening.

Vermoedt u dat een WordPress-website via deze kwetsbaarheid is aangevallen? Vservs kan de WordPress-installatie en hostingomgeving onderzoeken en helpen bij het beveiligen of herstellen van de website.

Bronnen en aanvullende informatie

• CVE Program – CVE-2026-14894
• Wordfence Intelligence – CVE-2026-14894
• Super Forms – beveiligingswijziging

Deze beveiligingsmelding is gebaseerd op de momenteel beschikbare publieke informatie over CVE-2026-14894. Technische details, aanvalsinformatie en beveiligingsadviezen kunnen veranderen wanneer nieuwe informatie beschikbaar komt.

De All-in-One WP Migration kwetsbaarheid CVE-2026-19949 is een ernstige beveiligingsfout in de populaire WordPress-plugin All-in-One WP Migration and Backup. De kwetsbaarheid treft versies tot en met 7.109 en kan via een second-order SQL-injectie uiteindelijk leiden tot het uitvoeren van willekeurige code op de server.

All-in-One WP Migration wordt gebruikt voor het exporteren, importeren, migreren en herstellen van complete WordPress-websites. Juist omdat de plugin toegang heeft tot de volledige WordPress-database en bestanden, kan succesvolle exploitatie grote gevolgen hebben.

All-in-One WP Migration kwetsbaarheid CVE-2026-19949

De kwetsbaarheid bevindt zich in de functionaliteit waarmee een WordPress-website vanuit een migratie- of back-uparchief wordt hersteld.

Bepaalde gegevens worden onvoldoende veilig verwerkt voordat deze in databasequeries terechtkomen. Hierdoor kan kwaadaardige invoer die eerder in WordPress is opgeslagen later tijdens het herstellen van een archief alsnog een SQL-injectie veroorzaken.

Dit type aanval wordt een second-order SQL injection genoemd. De kwaadaardige invoer hoeft niet direct bij het eerste verzoek te worden uitgevoerd, maar kan eerst in de database worden opgeslagen en pas later tijdens een andere bewerking actief worden.

Welke versies zijn kwetsbaar?

Volgens de gepubliceerde CVE-informatie zijn de volgende versies getroffen:

• All-in-One WP Migration and Backup 7.109 en ouder.

Beheerders die versie 7.109 of een oudere versie gebruiken, moeten de plugin zo snel mogelijk bijwerken naar de nieuwste beschikbare release.

Hoe ernstig is CVE-2026-19949?

CVE-2026-19949 heeft een CVSS 3.1-score van 8.8 (High).

De kwetsbaarheid is geclassificeerd als CWE-89: Improper Neutralization of Special Elements used in an SQL Command, beter bekend als SQL-injectie.

De mogelijke technische impact is groot. Een aanvaller kan onder bepaalde omstandigheden databasegegevens uitlezen en uiteindelijk proberen de geheime sleutel van All-in-One WP Migration te verkrijgen.

Van SQL-injectie naar Remote Code Execution

Het risico beperkt zich niet tot het uitlezen van informatie uit de WordPress-database.

De aanval kan worden gebruikt om de ai1wm_secret_key van All-in-One WP Migration te achterhalen. Wanneer een aanvaller deze sleutel succesvol weet te verkrijgen en misbruiken, kan de aanvalsketen uiteindelijk leiden tot Remote Code Execution (RCE).

Remote Code Execution betekent dat een aanvaller mogelijk eigen code binnen de getroffen hostingomgeving kan uitvoeren.

Afhankelijk van de configuratie en rechten van het webserverproces kan een aanvaller vervolgens mogelijk:

• WordPress-bestanden wijzigen;
• malware of een webshell plaatsen;
• gegevens uit de WordPress-database uitlezen;
• WordPress-gebruikers of beheerdersaccounts manipuleren;
• kwaadaardige PHP-code uitvoeren;
• websitebezoekers doorsturen naar frauduleuze websites;
• spam- of phishingpagina’s plaatsen;
• permanente toegang tot de website proberen te behouden;
• andere onderdelen van de hostingomgeving proberen aan te vallen.

Is CVE-2026-19949 actief misbruikt?

Op basis van de momenteel gepubliceerde CVE-informatie is er geen bevestiging dat CVE-2026-19949 op grote schaal actief wordt misbruikt.

Dat betekent echter niet dat beheerders met het installeren van een update moeten wachten. Zodra technische details over een kwetsbaarheid openbaar zijn, kunnen aanvallers deze informatie gebruiken om kwetsbare WordPress-installaties te zoeken en exploitcode te ontwikkelen.

Een publiek toegankelijke WordPress-website met een kwetsbare plugin moet daarom zo snel mogelijk worden bijgewerkt.

Wat moeten WordPress-beheerders doen?

Controleer eerst welke versie van All-in-One WP Migration op de website is geïnstalleerd.

Wanneer versie 7.109 of ouder wordt gebruikt:

1. maak indien mogelijk eerst een actuele back-up van de website;
2. update All-in-One WP Migration naar de nieuwste beschikbare versie;
3. gebruik geen migratie- of back-uparchieven waarvan de herkomst niet volledig wordt vertrouwd;
4. controleer de WordPress-installatie op onverwachte wijzigingen;
5. controleer gebruikersaccounts en administratoraccounts;
6. controleer recente wijzigingen aan PHP-bestanden;
7. controleer webserver- en WordPress-logs op verdachte activiteit.

Alleen updaten is niet altijd voldoende

Het installeren van een beveiligingsupdate voorkomt dat de bekende kwetsbare code beschikbaar blijft, maar toont niet automatisch aan of een website vóór de update al is aangevallen.

Wanneer een kwetsbare versie langere tijd publiek toegankelijk is geweest of wanneer verdachte activiteit wordt waargenomen, adviseren wij daarom ook een controle op mogelijke compromittering.

Controleer daarbij onder andere:

• onbekende WordPress-beheerdersaccounts;
• recent gewijzigde PHP-bestanden;
• onbekende bestanden in WordPress-mappen;
• onverwachte wijzigingen in wp-config.php;
• onbekende plugins of thema’s;
• verdachte cronjobs of geplande WordPress-taken;
• ongebruikelijke requests in access- en errorlogs;
• onverwachte uitgaande verbindingen vanaf de server.

Wat als misbruik wordt vastgesteld?

Wanneer aanwijzingen voor succesvolle exploitatie worden gevonden, is alleen het verwijderen van een verdacht bestand of het updaten van de plugin niet voldoende.

Er moet worden onderzocht welke toegang de aanvaller heeft verkregen en welke onderdelen van WordPress of de onderliggende hostingomgeving zijn gewijzigd.

Na onderzoek en opschoning moeten relevante WordPress-wachtwoorden, application passwords, API-sleutels en andere mogelijk blootgestelde credentials waar nodig worden vervangen.

Verantwoordelijkheid voor WordPress-updates

Klanten zonder Managed WordPress of een afzonderlijke managed CMS-dienst zijn zelf verantwoordelijk voor het actueel houden van WordPress Core, plugins en thema’s.

Wanneer een website door misbruik, malware of aantoonbaar achterstallig onderhoud een risico vormt voor onze infrastructuur, andere klanten of derden, kan Vservs de betreffende website of dienst tijdelijk isoleren of uitschakelen.

Dit gebeurt uitsluitend als beveiligings- en continuïteitsmaatregel om verdere schade, misbruik of verspreiding van malware te voorkomen.

Managed WordPress door Vservs

Kwetsbaarheden zoals CVE-2026-19949 laten zien waarom het regelmatig bijwerken en controleren van WordPress-plugins belangrijk is. Ook een plugin die voornamelijk voor migraties of back-ups wordt gebruikt, kan toegang hebben tot zeer gevoelige onderdelen van een WordPress-installatie.

Met Managed WordPress Hosting van Vservs kunnen technisch WordPress-beheer, updates, security hardening, malwaremonitoring, back-ups en performance-optimalisatie onderdeel zijn van de dienstverlening.

Vermoedt u dat een WordPress-website al is misbruikt? Vservs kan de installatie en hostingomgeving onderzoeken en helpen bij het beveiligen of herstellen van de website.

Bronnen en aanvullende informatie

• CVE Program – CVE-2026-19949
• WordPress.org – All-in-One WP Migration and Backup
• Wordfence Intelligence – CVE-2026-19949

Deze beveiligingsmelding is gebaseerd op de op dit moment beschikbare publieke informatie over CVE-2026-19949. Technische details en beveiligingsadviezen kunnen worden aangepast wanneer nieuwe informatie beschikbaar komt.

Een kritieke Magento kwetsbaarheid in Adobe Commerce en Magento Open Source wordt momenteel actief misbruikt. Adobe heeft hiervoor met spoed beveiligingsbulletin APSB26-146 uitgebracht.

De kwetsbaarheid is geregistreerd als CVE-2026-75650 en heeft de maximale CVSS-score van 10.0 (Critical). Een aanvaller heeft geen account of andere authenticatie nodig en kan op afstand willekeurige code uitvoeren op een kwetsbare Magento-installatie.

Adobe bevestigt expliciet dat CVE-2026-75650 in het wild wordt misbruikt. Beheerders van Adobe Commerce en Magento Open Source moeten daarom direct de beschikbare hotfix installeren en getroffen systemen controleren.

Magento kwetsbaarheid CVE-2026-75650

De kwetsbaarheid bevindt zich in de verwerking van gegevens binnen de template-engine van Adobe Commerce en Magento Open Source.

Door onvoldoende neutralisatie van speciale elementen kan door een aanvaller aangeleverde invoer uiteindelijk leiden tot het uitvoeren van willekeurige code.

Voor succesvolle exploitatie is volgens Adobe geen authenticatie en geen gebruikersinteractie vereist. Een publiek bereikbare kwetsbare Magento-installatie kan daardoor rechtstreeks via het netwerk worden aangevallen.

Belangrijkste gegevens

• Product: Adobe Commerce en Magento Open Source
• CVE: CVE-2026-75650
• Adobe bulletin: APSB26-146
• Adobe hotfix: VULN-39341
• Ernst: Critical
• CVSS: 10.0
• Type: Template Injection / Arbitrary Code Execution
• CWE: CWE-1336
• Authenticatie vereist: nee
• Gebruikersinteractie vereist: nee
• Exploitstatus: actief misbruikt in het wild, bevestigd door Adobe
• Veilige situatie: Adobe-hotfix VULN-39341 toegepast
• Actie: direct patchen, daarna encryption keys en mogelijk blootgestelde credentials roteren

Welke Magento-versies zijn kwetsbaar?

Volgens Adobe zijn onder andere de volgende Adobe Commerce-versiereeksen getroffen:

• Adobe Commerce 2.4.9-2026-aug en eerder;
• Adobe Commerce 2.4.8-2026-aug en eerder;
• Adobe Commerce 2.4.7-2026-aug en eerder;
• Adobe Commerce 2.4.6-2026-aug en eerder;
• Adobe Commerce 2.4.5-2026-aug en eerder;
• Adobe Commerce 2.4.4-2026-aug en eerder.

Voor Magento Open Source zijn volgens Adobe de volgende reeksen getroffen:

• Magento Open Source 2.4.9-2026-aug en eerder;
• Magento Open Source 2.4.8-2026-aug en eerder;
• Magento Open Source 2.4.7-2026-aug en eerder;
• Magento Open Source 2.4.6-2026-aug en eerder.

Ook verschillende ondersteunde versies van Adobe Commerce B2B zijn getroffen.

Belangrijk is dat zelfs installaties waarop de meest recente 2026-aug release is geïnstalleerd nog kwetsbaar zijn zolang de afzonderlijke beveiligingshotfix niet is toegepast.

Adobe bevestigt actieve exploitatie

Bij deze kwetsbaarheid gaat het niet alleen om een theoretisch beveiligingsrisico.

Adobe meldt expliciet dat het bedrijf ervan op de hoogte is dat CVE-2026-75650 actief wordt misbruikt tegen Adobe Commerce-webshops.

Adobe kwalificeert APSB26-146 daarom als een urgente beveiligingsupdate en geeft het bulletin Priority Rating 1.

Door de combinatie van actieve exploitatie, remote code execution zonder authenticatie en een CVSS-score van 10.0 moet deze Magento kwetsbaarheid als spoedonderhoud worden behandeld.

Wat kan een aanvaller doen?

Succesvolle exploitatie maakt het mogelijk willekeurige code uit te voeren binnen de context van de getroffen Magento-omgeving.

Afhankelijk van de configuratie en de rechten van het webserverproces kan een aanvaller daarmee onder andere:

• Magento- en webshopbestanden wijzigen;
• malware of webshells plaatsen;
• databasegegevens uitlezen;
• administratoraccounts manipuleren;
• webshop- of betaalgegevens onderscheppen;
• API- en integratiecredentials buitmaken;
• kwaadaardige JavaScript-code of skimmers toevoegen;
• aanvullende backdoors of persistentiemechanismen installeren;
• proberen toegang tot andere onderdelen van de server te verkrijgen.

Voor webshops is de potentiële impact bijzonder groot omdat Magento-installaties doorgaans gekoppeld zijn aan betaalproviders, verzenddiensten, ERP-systemen en andere externe API’s.

Installeer Adobe hotfix VULN-39341 direct

Adobe heeft voor CVE-2026-75650 de beveiligingshotfix VULN-39341 beschikbaar gesteld.

De hotfix moet worden toegepast op getroffen Adobe Commerce- en Magento Open Source-installaties.

Adobe geeft aan dat de hotfix officieel is getest voor de genoemde 2026-aug versies. Voor andere ondersteunde versies kan de patch mogelijk eveneens werken, maar dit is niet voor iedere oudere release officieel door Adobe geverifieerd.

Stel installatie van deze hotfix niet uit tot een reguliere onderhoudsronde. Omdat actieve exploitatie is bevestigd adviseren wij deze update direct uit te voeren.

Alleen patchen is niet voldoende

Adobe schrijft voor deze kwetsbaarheid nadrukkelijk voor dat na installatie van de hotfix ook beveiligingssleutels en mogelijk blootgestelde credentials moeten worden vervangen.

De Magento encryption key wordt onder andere gebruikt bij de bescherming van integratietokens, payment-gatewaycredentials en tokens voor geautomatiseerde processen met verhoogde rechten.

Het uitsluitend vervangen van de encryption key maakt credentials die eerder door een aanvaller zijn buitgemaakt niet ongeldig.

Welke credentials moeten worden vervangen?

Adobe adviseert na installatie van de hotfix onder andere:

1. de Magento/Adobe Commerce encryption key te roteren;
2. alle Admin Panel-wachtwoorden te wijzigen;
3. REST-, SOAP- en GraphQL-integratietokens te deactiveren en opnieuw aan te maken;
4. OAuth client secrets van gekoppelde applicaties te vervangen;
5. API-credentials van betaalproviders zoals Stripe, Braintree, Adyen en PayPal bij de provider zelf te vervangen;
6. databasecredentials te wijzigen;
7. SSH- en deployment keys te vervangen;
8. credentials van cronjobs en serviceaccounts met verhoogde rechten te vervangen;
9. API-keys voor verzending, belastingdiensten en andere gekoppelde extensies te roteren;
10. na afronding de Magento-cache volledig te legen.

Voer het vervangen van externe credentials daadwerkelijk bij de betreffende externe provider uit. Alleen het opnieuw opslaan van dezelfde gegevens binnen Magento is niet voldoende.

Controleer op mogelijke compromittering

Omdat Adobe actieve exploitatie heeft bevestigd, moeten systemen die vóór installatie van de hotfix publiek bereikbaar waren worden beschouwd als mogelijk blootgesteld.

Controleer daarom onder andere:

• recent aangemaakte of gewijzigde PHP-bestanden;
• onbekende bestanden in tijdelijke, cache- en webdirectories;
• onverwachte wijzigingen aan Magento Core, modules en thema’s;
• onbekende administratoraccounts;
• onverwachte wijzigingen aan bestaande administratoraccounts;
• webserver access- en errorlogs op afwijkende verzoeken;
• Magento- en PHP-logs op onverwachte template- of renderingfouten;
• cronjobs op onbekende of recent toegevoegde opdrachten;
• lopende processen op onbekende of afwijkende processen;
• uitgaande netwerkverbindingen naar onbekende systemen;
• frontend JavaScript en checkoutpagina’s op ongeautoriseerde wijzigingen of skimming-code;
• WAF-, IDS-, malware- en andere beschikbare beveiligingslogs.

Adobe heeft in het publieke beveiligingsbulletin geen universele lijst met IoC’s gepubliceerd waarmee iedere compromittering betrouwbaar kan worden vastgesteld. Vertrouw daarom niet uitsluitend op één IP-adres, bestandsnaam of logregel.

Bij aanwijzingen voor misbruik

Wanneer verdachte bestanden, processen, accounts of andere aanwijzingen voor succesvolle exploitatie worden gevonden, is alleen het installeren van VULN-39341 niet voldoende.

Bewaar relevante logs en andere sporen voordat verdachte bestanden of accounts worden verwijderd. Vervolgens moet worden vastgesteld welke toegang een aanvaller heeft verkregen en welke gegevens of credentials mogelijk zijn blootgesteld.

Een aanvaller die remote code execution heeft verkregen kan aanvullende webshells, cronjobs, administratoraccounts of andere persistentiemechanismen hebben geplaatst.

Bij bevestigde compromittering moeten daarom naast de door Adobe voorgeschreven credentialrotatie ook de volledige Magento-installatie en onderliggende serveromgeving worden onderzocht.

Verantwoordelijkheid voor CMS-updates

Klanten zonder Managed WordPress/CMS-onderhoud of een afzonderlijke managed CMS-dienst zijn zelf verantwoordelijk voor het tijdig bijwerken van Magento, Adobe Commerce, WordPress en andere CMS-software, plugins, extensies en thema’s.

Wanneer een website door misbruik, malware of aantoonbaar achterstallig onderhoud een risico vormt voor onze infrastructuur, andere klanten of derden, kan Vservs de betreffende website of dienst tijdelijk isoleren of uitschakelen.

Dit gebeurt uitsluitend als veiligheids- en continuïteitsmaatregel om verdere schade, misbruik of verspreiding van malware te voorkomen.

Herstelwerkzaamheden aan niet-managed omgevingen buiten onze reguliere openingstijden, in weekenden of op feestdagen zijn afhankelijk van de ernst van het incident en onze beschikbaarheid. Wanneer directe interventie niet noodzakelijk is, kunnen herstelwerkzaamheden vanaf de eerstvolgende werkdag worden opgepakt.

Managed hosting door Vservs

Een kwetsbaarheid zoals CVE-2026-75650 laat zien waarom bedrijfskritische webshops actief moeten worden onderhouden. Bij een kwetsbaarheid met remote code execution en bevestigde actieve exploitatie kan het verschil tussen tijdig patchen en wachten op regulier onderhoud zeer groot zijn.

Vservs biedt managed hosting en serverbeheer voor bedrijfskritische websites en webshops waarbij technisch onderhoud, beveiliging, monitoring en serverbeheer onderdeel kunnen zijn van de dienstverlening.

Neem contact met ons op wanneer u het technisch beheer en de beveiliging van uw Magento-, Adobe Commerce- of andere bedrijfskritische hostingomgeving door Vservs wilt laten uitvoeren.

Bronnen

• Adobe Security Bulletin APSB26-146 – CVE-2026-75650
• Adobe Commerce – urgente instructies voor CVE-2026-75650 en hotfix VULN-39341
• CVE Program – CVE-2026-75650