Het NCSC schat de kans op misbruik in als laag, maar de mogelijke schade als hoog. Dat de kwetsbaarheid in de praktijk al wordt uitgebuit, is bevestigd. Beheerders van WordPress-websites krijgen daarom het advies de update zo snel mogelijk te installeren.

Aanvaller hoeft niet in te loggen

Via de kwetsbaarheid kan een aanvaller op afstand schadelijke code uitvoeren op de server waarop de website draait. Inloggen op de website is daarvoor niet nodig. De aanval vindt plaats op het moment dat WordPress zichzelf bijwerkt. Daarbij maakt de aanvaller misbruik van een zogeheten racecondition: de aanval slaagt alleen als de dader binnen een klein tijdsvenster snel genoeg handelt.

Wie de kwetsbaarheid niet verhelpt, riskeert dat een aanvaller de controle over de website overneemt. Dat kan leiden tot diefstal van gegevens, het aanpassen of verwijderen van informatie, of het gebruik van de site voor schadelijke activiteiten.

Update en hulp van IT-dienstverlener

WordPress heeft versie 7.1.4 uitgebracht, die de kwetsbaarheid oplost. WordPress is de basissoftware waarmee veel websites worden gemaakt en beheerd. Organisaties die niet zeker weten of zij WordPress gebruiken, of welke versie dat is, kunnen volgens het NCSC contact opnemen met hun IT-dienstverlener. Ook voor het uitvoeren van de update kan die partij worden ingeschakeld.