Kerngegevens
- Leverancier
- WordPress
- Product
- WordPress
- Soort software
- CMS
- Getroffen versies
- WordPress 4.7.0 t/m 7.1.3; per tak: 7.1 t/m 7.1.3, 7.0 t/m 7.0.7, 6.9 t/m 6.9.10, 6.8 t/m 6.8.11, 6.7 t/m 6.7.10, 6.6 t/m 6.6.10, 6.5 t/m 6.5.13 en oudere takken tot en met 4.7
- Oplossing
- Update beschikbaar
- Opgeloste versie
- WordPress 7.1.4
- WordPress 7.0.8
- WordPress 6.9.11
- WordPress 6.8.12
- WordPress 6.7.11
- WordPress 6.6.11
- CVE gepubliceerd
- 31 oktober 2026
- Op de KEV-lijst sinds
- 3 november 2026
- Gepubliceerd op LekkenRadar
- 31 oktober 2026
- Laatst gewijzigd bij NVD
- 4 november 2026
Simpel uitgelegd
Wat is er aan de hand?
In WordPress Core 4.7.0 tot en met 7.1.3 zit een lek waarmee een aanvaller zonder inloggen code op de server kan laten draaien; WordPress loste dit op in 7.1.4 en in de oudere takken (onder meer 7.0.8, 6.9.11 en 6.8.12). Tijdens een volledige core-upgrade gebruikt WordPress tijdelijke mappen (staging-paden) die voorspelbaar zijn en via het web bereikbaar. Alleen in dat korte upgrade-moment kan dit worden misbruikt.
Wie loopt risico?
Je loopt risico als je een WordPress-site beheert met een versie van 4.7 tot en met 7.1.3 en nog niet hebt bijgewerkt naar de beveiligingsrelease van 28 oktober 2026. Het lek is alleen te misbruiken tijdens een volledige core-upgrade. De aanval gaat via het netwerk, zonder inloggen, maar is volgens de beoordeling niet eenvoudig uit te voeren. Het lek staat niet op de lijst van actief misbruikte lekken.
Wat moet je doen?
Controleer je WordPress-versie
Kijk in het dashboard onder Dashboard > Updates welke versie je gebruikt. Versies van 4.7 tot en met 7.1.3 zijn getroffen.
Werk bij naar de opgeloste versie van je tak
Installeer WordPress 7.1.4, of binnen je eigen tak 7.0.8, 6.9.11, 6.8.12, 6.7.11 of 6.6.11. Sites met automatische kleine updates hebben deze update mogelijk al; controleer het versienummer. Maak vooraf een back-up van site en database.
Zit je op 6.5 of ouder?
Controleer of er voor jouw tak al een update is. Is die er niet, plan dan een upgrade naar een ondersteunde versie en test die eerst op een stagingkopie.
Vergeet staging- en testomgevingen niet
Werk ook kopieën van je site bij die op een staging- of testserver draaien, zeker als die vanaf internet bereikbaar zijn.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
WordPress Core is kwetsbaar voor het uitvoeren van code op afstand in versies 4.7 tot en met 7.1.3. De oorzaak is het gebruik van voorspelbare, via het web bereikbare staging-paden tijdens volledige core-upgrades. Een niet-geauthenticeerde aanvaller kan zo tijdens het upgradevenster code op de server uitvoeren. De fout is ingedeeld als CWE-367, een race condition tussen controle en gebruik. De CVSS-vector (AV:N/AC:H/PR:N/UI:N) wijst op een aanval via het netwerk zonder rechten of gebruikersinteractie, met hoge complexiteit en grote gevolgen voor vertrouwelijkheid, integriteit en beschikbaarheid.
CVSS-vector (versie 3.1, basisscore 8,1, bron: CNA)
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-367 · Race condition tussen controle en gebruik (TOCTOU)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,6%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 3 november 2026
- Deadline van CISA
- 6 november 2026
- Gebruikt door ransomwaregroepen
- Niet bekend
Advies van de overheid
- NCSC (Nederland)Kans: Laag · Schade: HoogBekijk advies