Kritieke WP Project Manager-kwetsbaarheid maakt uitvoering van schadelijke code mogelijk
Een kritieke WP Project Manager kwetsbaarheid maakt het mogelijk dat aanvallers zonder inloggegevens schadelijke code uitvoeren op een WordPress-server. Het beveiligingsprobleem is geregistreerd als CVE-2026-116512 en heeft een CVSS-score van 9.8. De kwetsbaarheid treft WP Project Manager-versies tot en met 4.1.1. De ontwikkelaar heeft versie 4.1.2 uitgebracht om het probleem te verhelpen. Vservs adviseert websitebeheerders onmiddellijk te controleren of zij deze plugin gebruiken en de beschikbare beveiligingsupdate te installeren.
WP Project Manager is een WordPress-plugin voor projectbeheer, taakplanning, samenwerking en urenregistratie.
De plugin wordt gebruikt door bedrijven, organisaties en teams die projecten rechtstreeks vanuit WordPress beheren.
Met meer dan 5.000 actieve installaties vormt de kwetsbaarheid een serieus risico voor organisaties die deze software gebruiken.
Wat is de WP Project Manager kwetsbaarheid?
CVE-2026-116512 is een Remote Code Execution-kwetsbaarheid in de verwerking van REST API-verzoeken.
De kwetsbaarheid ontstaat doordat de plugin bepaalde invoer onvoldoende valideert voordat deze wordt gebruikt binnen een interne controlefunctie.
Een door een bezoeker aangeleverde waarde kan daardoor worden verwerkt als onderdeel van een dynamische PHP-functieaanroep.
Onder specifieke omstandigheden kan een aanvaller deze verwerking manipuleren en ongeautoriseerde code laten uitvoeren.
Het probleem bevindt zich in de beveiligingscontroles van de plugin en niet in WordPress Core zelf.
Waarom kan de kwetsbaarheid zonder login worden misbruikt?
Normaal gesproken moeten WordPress REST API-verzoeken worden gecontroleerd op de vereiste gebruikersrechten.
WP Project Manager gebruikt hiervoor eigen toegangscontroles.
Wordfence heeft echter vastgesteld dat WordPress bepaalde argumentvalidaties uitvoert voordat de toegangscontrole van een REST API-route wordt aangeroepen.
De kwetsbare plugin verwerkt de aangeleverde waarde tijdens deze eerdere validatiefase.
Daardoor kan de gevaarlijke verwerking plaatsvinden voordat wordt vastgesteld of de bezoeker voldoende rechten heeft.
Dit betekent dat een aanvaller niet noodzakelijk een geldig WordPress-account nodig heeft.
Welke WP Project Manager-versies zijn kwetsbaar?
- Plugin: Project Manager – AI Powered Project Management, Task Management, Kanban Board & Time Tracker.
- WordPress-plugin slug: wedevs-project-manager.
- Kwetsbare versies: 4.1.1 en ouder.
- Eerste veilige versie: 4.1.2.
- CVE: CVE-2026-116512.
- CVSS: 9.8 – Critical.
- Openbaar gemaakt: 30 oktober 2026.
De ontwikkelaar heeft op 29 oktober 2026 versie 4.1.2 uitgebracht.
Deze release bevat een beveiligingscorrectie voor de verwerking en validatie van projectwijzigingen.
Wat zijn de mogelijke gevolgen van Remote Code Execution?
Bij succesvolle exploitatie kan een aanvaller mogelijk PHP-code uitvoeren binnen de rechten van het getroffen webserverproces.
Afhankelijk van de serverconfiguratie kunnen de gevolgen ernstig zijn.
Mogelijke gevolgen zijn:
- Ongeautoriseerde toegang tot websitebestanden.
- Uitlezen van vertrouwelijke configuratiegegevens.
- Toegang tot gegevens die voor het getroffen PHP-proces bereikbaar zijn.
- Manipulatie van WordPress-bestanden.
- Installatie van schadelijke PHP-bestanden of webshells.
- Wijziging van website-inhoud.
- Verdere compromittering van de hostingomgeving.
De daadwerkelijke impact hangt af van de rechten van het PHP-proces en de beveiligingsmaatregelen op de server.
Remote Code Execution betekent niet automatisch dat een aanvaller rootrechten op de Linux-server verkrijgt.
Wordt CVE-2026-116512 actief misbruikt?
Met stand van 2 november 2026 is op basis van de geraadpleegde primaire beveiligingsmeldingen geen actieve exploitatie in het wild ondubbelzinnig bevestigd.
De technische beschrijving maakt wel duidelijk dat de kwetsbaarheid op afstand en zonder authenticatie kan worden misbruikt.
Vanwege de mogelijke gevolgen adviseert Vservs de beveiligingsupdate met de hoogste prioriteit te installeren.
Hoe controleert u de geïnstalleerde pluginversie?
Open het WordPress-dashboard en ga naar Plugins → Geïnstalleerde plugins.
Zoek WP Project Manager en controleer het geïnstalleerde versienummer.
Met WP-CLI kan de versie worden gecontroleerd:
wp plugin get wedevs-project-manager --field=versionVoer deze opdracht uit vanuit de betreffende WordPress-installatie.
Wanneer versie 4.1.1 of ouder wordt gebruikt, moet de plugin worden bijgewerkt.
Controleer WordPress op mogelijke compromittering
Wanneer een kwetsbare pluginversie bereikbaar was vanaf internet, adviseert Vservs aanvullende beveiligingscontroles.
Controleer onder andere:
- Ongebruikelijke verzoeken naar WordPress REST API-routes.
- Verdachte invoer in projectgerelateerde API-verzoeken.
- Onbekende PHP-bestanden binnen de WordPress-installatie.
- Onverwachte wijzigingen aan plugins en thema’s.
- Onbekende WordPress-beheerdersaccounts.
- Verdachte wijzigingen aan wp-config.php.
- Onverwachte geplande taken.
- Ongebruikelijke uitgaande netwerkverbindingen.
Deze signalen zijn algemene indicatoren van mogelijke compromittering en bewijzen niet zelfstandig dat CVE-2026-116512 is misbruikt.
Wanneer verdachte bestanden worden aangetroffen, adviseert Vservs eerst het bestandspad, de status en een SHA256-hash vast te leggen.
Bevestigd schadelijke bestanden kunnen vervolgens gecontroleerd in quarantaine worden geplaatst en uit de publiek toegankelijke webroot worden geïsoleerd.
Bewaar relevante logbestanden en andere bewijsmiddelen voordat uitgebreide herstelwerkzaamheden plaatsvinden.
Welke beveiligingsmaatregelen adviseert Vservs?
- Controleer alle WordPress-websites waarop WP Project Manager is geïnstalleerd.
- Maak een actuele back-up van websitebestanden en database.
- Installeer WP Project Manager 4.1.2 of nieuwer.
- Controleer de compatibiliteit met eventuele WP Project Manager Pro-uitbreidingen.
- Onderzoek verdachte REST API-verzoeken.
- Controleer de website op onbekende of gewijzigde PHP-bestanden.
- Onderzoek verdachte WordPress-gebruikersaccounts.
- Voer na de update een gerichte beveiligingsscan uit.
Wanneer een update niet onmiddellijk mogelijk is, kan tijdelijke deactivering van de plugin worden overwogen.
Houd er rekening mee dat hierdoor projectbeheerfunctionaliteit tijdelijk niet beschikbaar kan zijn.
Managed WordPress Hosting bij Vservs
Vservs biedt professionele hostingoplossingen voor WordPress-websites van bedrijven, organisaties en webdesignbureaus.
Met Managed WordPress Hosting verzorgt Vservs het technische beheer, onderhoud en de beveiliging van WordPress-websites binnen het overeengekomen beheerpakket.
Daarnaast biedt Vservs Managed VPS Hosting voor organisaties die behoefte hebben aan professioneel beheerde Linux-serverinfrastructuur.
Volg regelmatig onze Security & Beveiligingsupdates voor belangrijke beveiligingsmeldingen.
Conclusie
De WP Project Manager kwetsbaarheid CVE-2026-116512 vormt een ernstig beveiligingsrisico voor websites die kwetsbare pluginversies gebruiken.
Omdat de kwetsbaarheid mogelijk zonder authenticatie kan worden misbruikt om code uit te voeren, verdient deze beveiligingsupdate de hoogste prioriteit.
Vservs adviseert om onmiddellijk naar versie 4.1.2 of nieuwer bij te werken en waar nodig aanvullende controles uit te voeren.