Beveiligingslek in Click to Chat bedreigt 600.000 WordPress-websites

Click to Chat CVE-2026-92097 is een beveiligingskwetsbaarheid in de populaire WordPress-plugin Click to Chat – HoliThemes. Door onvoldoende filtering kunnen aanvallers zonder authenticatie ongeautoriseerd WordPress-shortcodes uitvoeren. De kwetsbaarheid treft pluginversies tot en met 4.44. Meer dan 600.000 WordPress-websites gebruiken deze plugin. Versie 4.45 verhelpt het beveiligingsprobleem.

De ontwikkelaar heeft het probleem verholpen in versie 4.45. Websitebeheerders wordt geadviseerd hun installatie zo snel mogelijk bij te werken.

Wat is CVE-2026-92097?

Click to Chat is een WordPress-plugin waarmee bezoekers eenvoudig via WhatsApp contact kunnen opnemen met een bedrijf of websitebeheerder.

De plugin ondersteunt onder meer interactieve welkomstvensters en dynamische berichten waarin gegevens van de huidige webpagina worden verwerkt.

Onderzoekers ontdekten dat deze verwerking onvoldoende bescherming bood tegen ongewenste WordPress-shortcodes.

Het probleem bevindt zich onder meer in de verwerking van de variabele {url} binnen bepaalde welkomstvensters.

Hoe werkt de kwetsbaarheid?

De kwetsbaarheid ontstaat doordat de plugin gegevens uit de aangevraagde URL verwerkt en deze vervolgens door de WordPress-functie do_shortcode() laat interpreteren.

De functie is bedoeld om geregistreerde WordPress-shortcodes uit te voeren.

Door onvoldoende filtering kunnen aanvallers onder bepaalde omstandigheden zelf aangeleverde shortcode-instructies laten verwerken.

Volgens Wordfence kan deze aanval zonder authenticatie plaatsvinden.

De kwetsbaarheid heeft betrekking op de verwerking van de URL binnen de Greetings-1- en Greetings-2-templates.

Wat zijn de mogelijke gevolgen?

De directe impact bestaat uit ongeautoriseerde uitvoering van geregistreerde WordPress-shortcodes.

De gevolgen zijn afhankelijk van de shortcodes die op de betreffende website beschikbaar zijn.

Wanneer andere plugins of thema’s krachtige shortcodes registreren, kan dit onder bepaalde omstandigheden leiden tot:

• Ongeautoriseerde uitvoering van applicatiefuncties.
• Onbedoelde openbaarmaking van gegevens.
• Manipulatie van websitefunctionaliteit.
• Misbruik van kwetsbare of onvoldoende beveiligde shortcodes uit andere extensies.

Het beveiligingsprobleem betekent niet automatisch dat iedere getroffen installatie kwetsbaar is voor directe uitvoering van willekeurige PHP-code.

Welke versies zijn kwetsbaar?

• Getroffen: Click to Chat versie 4.44 en ouder.
• Veilige versie: Click to Chat 4.45 of nieuwer.
• CVE: CVE-2026-92097.
• Ernst: Wordfence CVSS 9.1; Patchstack CVSS 5.3.
• Authenticatie: niet vereist.

De verschillende ernstscores weerspiegelen een verschil in beoordeling van de mogelijke gevolgen.

Wordt de kwetsbaarheid actief misbruikt?

Op 14 oktober 2026 is geen ondubbelzinnige bevestiging aangetroffen dat CVE-2026-92097 actief wordt misbruikt bij aanvallen op WordPress-websites.

Wel zijn de technische details openbaar en is een beveiligingsupdate beschikbaar.

Vanwege het grote aantal installaties is tijdig bijwerken verstandig.

Wat moeten WordPress-beheerders doen?

1. Controleer of Click to Chat – HoliThemes op de website is geïnstalleerd.
2. Controleer de actieve pluginversie.
3. Update onmiddellijk naar versie 4.45 of nieuwer.
4. Controleer na de update of de WhatsApp-knoppen en welkomstvensters correct functioneren.
5. Controleer of overige plugins en thema’s eveneens actueel zijn.
6. Schakel ongebruikte shortcodes en functionaliteit waar mogelijk uit.

Wanneer de update niet direct kan worden uitgevoerd, kan het tijdelijk uitschakelen van de kwetsbare plugin de aanvalsmogelijkheid wegnemen.

Controleer op verdachte activiteit

Beheerders kunnen serverlogs controleren op ongebruikelijke aanvragen naar archiefpagina’s en URL’s met onverwachte shortcode-achtige inhoud.

Let bijvoorbeeld op ongebruikelijke URL-encoding, vierkante haken in onverwachte contexten en verzoeken die afwijkende applicatiefunctionaliteit activeren.

Controleer daarnaast op onbekende gebruikersaccounts, gewijzigde instellingen en onverwachte wijzigingen aan websitebestanden.

Deze signalen vormen op zichzelf geen bewijs van exploitatie, maar kunnen aanleiding zijn voor nader onderzoek.

WordPress-beveiliging en Managed Hosting

Kwetsbaarheden in veelgebruikte WordPress-plugins onderstrepen het belang van zorgvuldig updatebeheer.

Naast WordPress en plugins moet ook de onderliggende hostingomgeving goed worden beveiligd en onderhouden.

Vservs biedt Managed VPS-hosting voor organisaties die behoefte hebben aan professioneel serverbeheer, beveiligingsupdates en een stabiele hostingomgeving.

Bronnen

• Wordfence Intelligence – CVE-2026-92097
• Patchstack – Click to Chat vulnerability
• WordPress.org – Click to Chat

Hoe controleer je of Click to Chat kwetsbaar is?

Websitebeheerders kunnen eenvoudig controleren of hun WordPress-installatie getroffen is door Click to Chat CVE-2026-92097. Hiervoor moet eerst de geïnstalleerde pluginversie worden vastgesteld.

Open het WordPress-dashboard en ga naar Plugins. Zoek naar Click to Chat – HoliThemes en controleer het versienummer.

Wanneer versie 4.44 of ouder is geïnstalleerd, moet de plugin worden bijgewerkt naar minimaal versie 4.45.

Serverbeheerders met SSH-toegang kunnen de geïnstalleerde versie ook controleren via WP-CLI:

wp plugin get click-to-chat-for-whatsapp --field=version

De plugin kan vervolgens worden bijgewerkt met:

wp plugin update click-to-chat-for-whatsapp

Controleer na de update of de WhatsApp-knoppen, welkomstvensters en vooraf ingevulde berichten correct functioneren.

Wanneer is een WordPress-website daadwerkelijk kwetsbaar?

De kwetsbaarheid heeft specifiek betrekking op de verwerking van de URL-placeholder binnen bepaalde welkomstvensters van Click to Chat.

Wanneer een kwetsbare pluginversie wordt gebruikt in combinatie met de betreffende welkomstvensters en URL-verwerking, kunnen aanvallers proberen ongeautoriseerde shortcodes uit te voeren.

De gevolgen zijn afhankelijk van de shortcodes die door WordPress, het actieve thema en andere geïnstalleerde plugins beschikbaar worden gesteld.

Het uitschakelen van de betreffende welkomstvensters of het verwijderen van de URL-placeholder kan de aanvalsmogelijkheid tijdelijk beperken. Dit is echter geen vervanging voor het installeren van de beveiligingsupdate.

Advies van Vservs: installeer versie 4.45 of nieuwer en controleer tegelijkertijd of andere WordPress-plugins en thema’s volledig zijn bijgewerkt.