Kerngegevens
- Leverancier
- WordPress
- Product
- WordPress
- Soort software
- CMS
- Getroffen versies
- WordPress vanaf 6.9 tot 6.9.5, vanaf 7.0 tot 7.0.2
- Oplossing
- Update beschikbaar
- Opgeloste versie
- WordPress 6.9.5
- WordPress 7.0.2
- CVE gepubliceerd
- 17 juli 2026
- Op de KEV-lijst sinds
- 21 juli 2026
- Gepubliceerd op LekkenRadar
- 8 oktober 2026
- Laatst gewijzigd bij NVD
- 7 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In WordPress zit een fout in het batch-endpoint van de REST API, waardoor een verzoek naar de verkeerde route kan worden doorgestuurd. In combinatie met een tweede lek (CVE-2026-60137, een SQL-injectie in de author__not_in-parameter van WP_Query) kan een aanvaller zo eigen databasecommando's laten uitvoeren. Daarmee is ook uitvoering van code op afstand mogelijk. Het lek wordt actief misbruikt.
Wie loopt risico?
Je loopt risico als je website draait op WordPress 6.9.x lager dan 6.9.5 of 7.0.x lager dan 7.0.2. De aanval verloopt via het netwerk en vraagt geen inlog en geen handeling van een gebruiker. Websites die bereikbaar zijn via internet zijn dus het meest kwetsbaar.
Wat moet je doen?
Controleer je WordPress-versie
Kijk in het beheerscherm welke versie van WordPress je gebruikt. Zit je op 6.9.x lager dan 6.9.5 of op 7.0.x lager dan 7.0.2, dan ben je kwetsbaar.
Werk WordPress bij
Update naar 6.9.5 als je op de 6.9-reeks zit, of naar 7.0.2 als je op de 7.0-reeks zit. Doe dit zo snel mogelijk, omdat het lek al wordt misbruikt.
Maak een back-up
Maak voor de update een back-up van je website en database, zodat je kunt terugzetten als er iets misgaat.
Controleer op sporen van misbruik
Kijk na of er onbekende gebruikers, gewijzigde bestanden of vreemde verzoeken in je logbestanden staan. Is je site al aangevallen, laat het dan onderzoeken door een beheerder of specialist.
Kun je niet direct updaten?
Volg dan het advies van de leverancier en beperk de blootstelling van je website, bijvoorbeeld door de toegang tot de site tijdelijk af te schermen.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om een interpretatieconflict (CWE-436) in het batch-endpoint van de WordPress REST API, een zogeheten route confusion. Hierdoor kan een verzoek anders worden geïnterpreteerd dan bedoeld. Gecombineerd met de SQL-injectie in de author__not_in-parameter van WP_Query (CVE-2026-60137) kan een aanvaller SQL-code injecteren zonder authenticatie. Dit kan leiden tot uitvoering van code op afstand. De kwetsbaarheid is op te lossen met WordPress 6.9.5 en 7.0.2 en staat in de CISA KEV-catalogus van actief misbruikte lekken.
CVSS-vector (versie 3.1, basisscore 9,8, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-436 · Interpretatieconflict
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 10,1%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 21 juli 2026
- Deadline van CISA
- 24 juli 2026
- Gebruikt door ransomwaregroepen
- Niet bekend