Aanvallers misbruiken race condition bij WordPress-upgrade om zonder inloggen code uit te voeren op servers

Wat is er gebeurd

Aanvallers misbruiken een kwetsbaarheid in de manier waarop WordPress volledige core-upgrades afhandelt. Tijdens zo'n upgrade plaatst WordPress bestanden tijdelijk op locaties die gemakkelijk te raden en via het web bereikbaar zijn. Een aanvaller die niet hoeft in te loggen, kan dit korte tijdsvenster gebruiken om eigen code uit te voeren op de server.

Het probleem is een race condition. De aanval werkt alleen terwijl er een upgrade bezig is, dus de aanvaller moet het juiste moment treffen. CISA heeft het lek, met kenmerk CVE-2026-119977, op 3 november 2026 toegevoegd aan de catalogus Known Exploited Vulnerabilities. Het Nederlandse Nationaal Cyber Security Centrum (NCSC) heeft ook een advisory gepubliceerd, NCSC-2026-0466.

Wie is getroffen

Sites die WordPress core draaien van versie 4.7 tot en met 7.1.3 zijn getroffen. WordPress heeft het lek verholpen in een nieuwe release voor elke onderhouden branch: 4.7.39, 4.8.34, 4.9.35, 5.0.31, 5.1.28, 5.2.30, 5.3.27, 5.4.25, 5.5.24, 5.6.23, 5.7.21, 5.8.19, 5.9.20, 6.0.18, 6.1.16, 6.2.15, 6.3.14, 6.4.14, 6.5.14, 6.6.11, 6.7.11, 6.8.12, 6.9.11, 7.0.8 en 7.1.4. Elke site met een oudere release binnen een van deze branches is kwetsbaar.

Hoe ernstig is het

Het lek heeft een CVSS-score van 8.1, wat als hoog wordt beoordeeld. Een geslaagde aanval geeft een buitenstaander code-uitvoering op de webserver, waardoor de gegevens van de site en de server zelf in gevaar komen. De score blijft alleen onder kritiek omdat de aanvaller de aanval moet laten samenvallen met een upgrade. Die drempel heeft echte aanvallen niet tegengehouden: CISA bevestigt dat het lek wordt misbruikt en heeft Amerikaanse federale instanties opgedragen uiterlijk 6 november 2026 maatregelen te nemen.

Wat moet u doen

1. 1Werk WordPress bij naar de gepatchte release voor uw branch, of naar 7.1.4 op de huidige branch.
2. 2Controleer of sites die op automatische updates vertrouwen daadwerkelijk zijn overgegaan naar een gepatchte release.
3. 3Volg de instructies van de leverancier waarnaar wordt verwezen in de vereiste actie van CISA en in de NCSC-advisory NCSC-2026-0466.

Kerngegevens