WordPress Core heeft twee kwetsbaarheden
In het veelgebruikte websitemanagementsysteem WordPress Core zijn twee ernstige kwetsbaarheden ontdekt die momenteel actief worden misbruikt door kwaadwillenden. Het Nationaal Cyber Security Centrum (NCSC) roept beheerders en organisaties op om de beschikbare beveiligingsupdates zo snel mogelijk te installeren om overname van websites te voorkomen.
De gevaarlijkste kwetsbaarheid (CVE-2026-63030) heeft de maximale risico-inschatting van een 9,8 CVSS-score gekregen. Hierdoor kan een aanvaller zonder in te loggen en vanaf een afstand schadelijke code uitvoeren via een specifiek HTTP-verzoek. Het tweede lek (CVE-2026-60137, CVSS-score 5,9) vergroot het risico op misbruik verder. Bij een succesvolle aanval kan een kwaadwillende de volledige controle over een website overnemen, gevoelige gegevens stelen of de site onbereikbaar maken.
Kwetsbare versies en beschikbare updates
De beveiligingslekken treffen meerdere versies van de software:
WordPress 6.9: Kwetsbaar voor beide lekken. Opgelost in versie 6.9.5.
WordPress 6.8: Alleen kwetsbaar voor het eerste lek. Opgelost in versie 6.8.6.
WordPress 7 (voor 7.0.2) en 7.1 beta: Kwetsbaar voor beide lekken. Opgelost in versie 7.0.2 en 7.1 beta2.
Versies ouder dan 6.8 zijn niet kwetsbaar voor deze specifieke problemen.
WordPress heeft inmiddels gedichte versies uitgebracht. Het NCSC adviseert sitebeheerders met klem om hun installaties direct bij te werken of contact op te nemen met hun IT-dienstverlener of hostingpartij voor het doorvoeren van de updates of tijdelijke mitigerende maatregelen.
Meer over Security
Over Witold Kepinski
