Actief WordPress-lek zit in het updatesysteem
Een kwetsbaarheid in WordPress laat aanvallers zonder account code uitvoeren, maar alleen tijdens de korte tijd dat een site zichzelf bijwerkt. Het wordt actief misbruikt. Wat u controleert, en waarom ook de update naar de veilige versie nog één keer risico geeft.
Twee weken geleden zat het lek in PHP zelf. Nu zit het in WordPress, op een plek waar u het niet verwacht.
Wat is er aan de hand?
Bij een volledige update zet WordPress de nieuwe bestanden eerst klaar in een tijdelijke map. Volgens het NCSC is die map voorspelbaar en via het web bereikbaar zolang de update loopt, en staat het installatieprogramma van WordPress erin. Wie op dat moment een verzoek naar dat bestand stuurt, kan zonder in te loggen code uitvoeren op de server.
Het venster is kort, maar aanvallers proberen het gewoon voortdurend. Volgens BleepingComputer blokkeerde Wordfence ruim 13.000 pogingen in 24 uur. CISA bevestigde op 3 november actief misbruik en het NCSC bracht op 4 november een alert uit.
Getroffen zijn WordPress 4.7 tot en met 7.1.3 (CVE-2026-119977). WordPress zelf noemt de ernst laag, Wordfence geeft 8.1 en het NCSC schat de kans laag en de schade hoog in. Per site is de kans klein, maar een geslaagde aanval geeft volledige controle over de server.
Het risicomoment is de update zelf
De kwetsbare code is de code die de update uitvoert, en dat is de code van de versie die u nu draait. Wie van 7.1.3 naar 7.1.4 gaat, doet dat dus nog met de oude updatecode. Juist die update is nog één keer het risicomoment. Dit is onze eigen lezing van hoe het lek werkt, niet een uitspraak van WordPress.
Dat is geen reden om te wachten. Wel om de tijdelijke map af te schermen voordat u bijwerkt. En omdat automatische updates veel sites al hebben bijgewerkt, loont het om terug te kijken in de logbestanden.
Welke versie heeft u nodig?
| Tak | Veilig vanaf |
|---|---|
| 7.1 | 7.1.4 |
| 7.0 | 7.0.8 |
| 6.9 | 6.9.11 |
| 6.8 | 6.8.12 |
| 4.7 tot en met 6.7 | De nieuwste beveiligingsrelease van uw tak |
WordPress ondersteunt alleen de nieuwste versie actief, dus het advies blijft 7.1.4.
Wat u nu kunt doen
- Controleer elke WordPress-site, ook vergeten campagnesites en testomgevingen (zo kan het misgaan). Kijk of de automatische update echt is uitgevoerd.
- Scherm
wp-content/upgradeaf van het web. Daar zet WordPress updates standaard klaar, en er is geen reden om die map bereikbaar te maken. Doe dit vóór de update, en laat het daarna zo. - Werk bij naar 7.1.4, of naar de veilige versie van uw tak.
- Kijk terug in de logbestanden naar verzoeken onder
wp-content/upgrade, vooral naarsetup-config.php, rond de momenten dat uw site bijwerkte. - Controleer op sporen: onbekende beheerders, nieuwe of gewijzigde PHP-bestanden, en wijzigingen in
wp-config.php. - Laat u de site beheren, vraag dan uw hostingpartij of webbureau welke versie er draait en of de updatemap is afgeschermd.
Vindt u sporen van misbruik, stel dan eerst bewijs veilig voordat u de site herstelt. Onder de Cyberbeveiligingswet loopt de meldtermijn vanaf het moment van constateren.
Bronnen
- NCSC – Kwetsbaarheid in WordPress Core met actief misbruik: update nu (4 november 2026)
- NCSC – NCSC-2026-0466
- WordPress – WordPress 7.1.4 Security Release (28 oktober 2026)
- BleepingComputer – CISA flags WordPress RCE flaw as actively exploited in attacks
- Qualys – CISA warns of WordPress vulnerability exploited in the wild (4 november 2026)