WordPress-lek in de kern: waarom automatische updates nu tellen

Een actief misbruikt lek in WordPress Core treft het updatemoment zelf. Wat CEO's en CISO's nu moeten weten, en deze week concreet doen.

Een update is het moment waarop je je veilig waant. Het slotje gaat erop, de nieuwe versie staat klaar, de klus is geklaard. Precies in die paar seconden stond bij WordPress de deur op een kier. Sinds 3 november staat CVE-2026-119977 op de lijst van actief misbruikte kwetsbaarheden van het Amerikaanse CISA. En dit keer gaat het niet over een obscure plug-in, maar over de kern van WordPress zelf.

Dat verschil is belangrijker dan het lijkt. Jarenlang was het verhaal over WordPress-beveiliging eenvoudig: de kern is degelijk, de plug-ins zijn het probleem. Wie zijn plug-ins bijhield, sliep gerust. Die geruststelling is deze week vervallen.

Wat er aan de hand is

De kwetsbaarheid zit in het updateproces van WordPress Core, in versies 4.7 tot en met 7.1.3. Tijdens een volledige update pakt WordPress een complete kopie van zichzelf uit in een tijdelijke map die via het web bereikbaar is. Een aanvaller die die map op het juiste moment vindt, kan zonder account code uitvoeren op je server. In vakjargon: remote code execution, de zwaarste categorie die er bestaat. De CVSS-score, een internationale schaal voor ernst, is 8.1 op 10.

Het venster is kort. Volgens Wordfence duurt het in testomgevingen amper enkele seconden. Geen probleem, zou je denken. Maar aanvallers zitten niet te wachten tot het juiste moment komt; ze kloppen gewoon voortdurend aan. Wordfence telde in de eerste 21 uur na de bekendmaking ruim 18.500 verzoeken op de betrokken installatiebestanden en blokkeerde op één dag ruim 12.600 aanvalspogingen. CISA geeft Amerikaanse overheidsdiensten tot 6 november om te patchen. Ook het Centrum voor Cybersecurity België (CCB) roept op om met de hoogste prioriteit te updaten.

De oplossing bestaat al sinds 28 oktober: WordPress 7.1.4, met correcties voor oudere versies tot 4.7.39.

Waarom dit een bestuursonderwerp is

Je website is geen brochure meer. Ze draait op een server, praat met je CRM, verzamelt formulieren en draagt je merknaam. Wie die server overneemt, heeft meer dan een gehackte homepage: hij heeft een betrouwbaar adres op het internet dat jouw klanten vertrouwen. Onder NIS2 moet je bestuur aantonen dat het zulke risico's beheerst, en een bekende, actief misbruikte kwetsbaarheid laten liggen is daarbij moeilijk te verdedigen. Goede vulnerability management en patch management zijn hier geen IT-detail, maar aansprakelijkheid.

Door de ogen van de aanvaller

Bij XPOSE denken we zoals de tegenpartij. Wat volgt zijn scenario's, geen reconstructie van concrete aanvallen en zeker geen handleiding.

Het updatemoment is een afspraak. De meeste WordPress-sites updaten automatisch, op tijdstippen die grotendeels voorspelbaar zijn. Een aanvaller hoeft het venster dus niet te raden. Hij kan duizenden sites tegelijk in de gaten houden en wachten tot er één opengaat. Ironisch genoeg opent de update naar 7.1.4 het oude venster nog één laatste keer.

Je beveiligingsplug-in kijkt de andere kant op. Het lek zit in een tijdelijke kopie van WordPress, niet in de site die draait. De plug-in die je geruststelt, ziet er weinig of niets van. Bescherming moet dus van de webserver of firewall komen.

De vergeten site is het echte doelwit. Elke organisatie heeft ze: de campagnesite van 2021, de eventpagina op een marketingsubdomein, de testomgeving van het webbureau. Niemand voelt zich eigenaar, niemand kijkt naar de versie. Voor een aanvaller is dat geen bijzaak, maar de makkelijkste ingang met jouw naam erop.

De website is een springplank. Een webserver bewaart vaak wachtwoorden voor databases, mailservers of koppelingen met interne systemen. Vanuit één overgenomen site naar je interne netwerk is in de praktijk geregeld een kortere weg dan je zou willen.

Je eigen site als lokaas. Een aanvaller met geduld breekt niet in om te vernielen. Hij plaatst ongemerkt kwaadaardige code op de pagina die jouw klanten, partners of medewerkers bezoeken: een zogenaamde watering hole. Of hij gebruikt je domein om phishingmails geloofwaardig te maken. Je merk wordt het wapen.

En de plug-ins blijven ook bestaan. Sinds begin oktober wordt de plug-in Bricksforge actief misbruikt via CVE-2026-85097, met een ernstscore van 9.8 tot 10. Kern en plug-ins: wie op één van beide inzet, verliest op de andere.

Wat je deze week concreet doet

1. Controleer elke WordPress-installatie op versie 7.1.4 of de gepatchte versie van haar tak. Vertrouw niet blind op automatische updates; die kunnen stilletjes mislukken.
2. Maak eerst een inventaris. Laat in kaart brengen welke WordPress-sites er onder je domeinen draaien, ook op subdomeinen van marketing en externe bureaus.
3. Blokkeer de map wp-content/upgrade/ voor bezoekers op webserver- of firewallniveau, en zet directory listing uit. Doe dat vóór je update.
4. Zet automatische updates aan en monitor ze. Een melding bij een mislukte update is net zo belangrijk als de update zelf.
5. Check je logs op verdachte activiteit rond de updatemap. Een patch sluit de deur, maar zegt niets over wie er al binnen is.
6. Scheid je webserver van je interne netwerk en bewaar geen gedeelde wachtwoorden op de server.
7. Leg je webbureau contractueel vast: wie patcht, binnen welke termijn, en wie meldt incidenten.

Tot slot

Deze kwetsbaarheid maakt iets duidelijk wat veel bestuurders nog niet scherp hadden: websitebeveiliging begint niet bij de plug-ins, maar bij het besef dat zelfs het updatemoment een aanvalsmoment is. De vraag is niet of je website interessant is, maar welke van je sites je vergeten bent.

XPOSE Security test je omgeving zoals echte APT-aanvallers het zouden doen: van de vergeten marketingsite tot de sprong naar je interne netwerk. Liever dat wij het vinden dan zij. Neem contact op en laat je cybersecurity structureel versterken met onze CISO-as-a-service.