Ing. Calogero Bono
WordPress 7.1.4 is een beveiligingsrelease die op 28 oktober is uitgekomen, en bevat de oplossing voor een kwetsbaarheid waarmee code op de server kan worden uitgevoerd tijdens een core-update. De Amerikaanse CISA heeft bevestigd dat de kwetsbaarheid, CVE-2026-119977, wordt misbruikt en is opgenomen in de KEV-catalogus. Dat is belangrijk omdat de aanval geen account op de site vereist. Als je WordPress-sites beheert, kun je deze update niet uitstellen.
Enkele begrippen voordat we de feiten behandelen. CVE is de code die een bekende kwetsbaarheid identificeert. TOCTOU (time-of-check time-of-use) is een race condition, dus een fout waarbij iets verandert tussen de controle en het gebruik van een bron. RCE betekent remote code execution, het uitvoeren van code op afstand. KEV is de catalogus van CISA met kwetsbaarheden waarvan misbruik is aangetoond. XSS stored is een kwaadaardig script dat in de site wordt opgeslagen en aan bezoekers wordt getoond.
Wat is de kwetsbaarheid CVE-2026-119977?
Volgens de officiële mededeling van WordPress gaat het om een zwakke plek in het updateproces die tot remote code execution kan leiden tijdens het upgradevenster. De melding is van Umut Bayram, onderzoeker bij Picus Security.
Zoals BleepingComputer meldt, ontstaat het probleem door het gebruik van voorspelbare stagingpaden die via het web bereikbaar zijn tijdens volledige core-updates. De ernst is hoog, met een CVSS-score van 8.1 volgens The Hacker News, en de aanval is complex.
Hoe zwaar wordt het echt misbruikt?
CISA heeft de kwetsbaarheid aan de KEV-catalogus toegevoegd en burgerlijke federale instanties opgedragen om uiterlijk 6 november 2026 te patchen. Het agentschap heeft ook private bedrijven gevraagd de patch prioriteit te geven.
De cijfers komen van Wordfence, dus het zijn verklaringen van een beveiligingsbedrijf. BleepingComputer meldt 13.095 geblokkeerde aanvallen in 24 uur. The Hacker News noemt meer dan 18.500 verzoeken naar «setup-config.php»-paden in de eerste 21 uur en 12.632 geblokkeerde aanvallen in een ander venster van 24 uur. Previdian registreerde op 30 oktober drie pogingen tegen zijn honeypot.
Wat repareert WordPress 7.1.4 nog meer?
De release gaat niet alleen over de upgrade. De officiële lijst bevat verschillende XSS stored-kwetsbaarheden in blokken en kernfuncties.
- blok Categories, blokken Playlist en afbeelding, blokken voor paginering van reacties
- Interactivity API, met meerdere XSS-problemen en een denial of service-geval
- Customizer, met een XSS en de ontdekking van niet-gepubliceerde changesets door anonieme gebruikers
- verzoeken om verwijdering van persoonsgegevens en kunstmatig opgebouwde gebruikersnamen
Ook gerepareerd zijn het lezen van notities door bevoorrechte gebruikers zonder bewerkrechten en de root-certificaten, bijgewerkt voor de intrekking van eMudhra.
Waarom is 2026 een moeilijk jaar voor de WordPress-core?
Volgens BleepingComputer heeft het beveiligingsteam in juli de wp2shell-keten gerepareerd, bestaande uit een verwarring in de batchroutes van de REST API (CVE-2026-63030) en een SQL-injectie (CVE-2026-60137). De openbare exploits verschenen een dag na de patches.
In september gebruikte een Chinestalige actor de keten om gegevens te stelen uit meer dan 18.500 databasegegevens van kleine bedrijven en publieke organisaties. Het voorbeeld laat zien hoe kort de tijd is tussen patch en aanval. Voor meer informatie legt onze gids over WordPress-beveiliging de basisverdediging uit.
Beperkingen om te kennen
We weten niet wie achter de aanvallen zit en hoeveel sites zijn gecompromitteerd. CISA heeft geen details over het misbruik gegeven, en de cijfers over geblokkeerde aanvallen komen van Wordfence, met verschillende tijdsvensters tussen de bronnen. De oplossingen voor oudere takken, tot en met 4.7, zijn nog onderweg en worden uitgebracht zodra ze klaar zijn.
Wat verandert er voor wie met digitale tools werkt
Update meteen naar 7.1.4, via het menu Updates in het Dashboard, als de automatische updates nog niet zijn gestart. Heb je nog geen procedure, dan is onze strategie om te updaten zonder de site kapot te maken een goed startpunt. Wie veel sites voor klanten beheert, moet ook de vergeten sites controleren. Een firewall zoals die in de gids over beveiligingsplugins helpt, maar vervangt de patch niet.
Ons oordeel
Het vervelendste is dat de kwetsbaarheid precies het mechanisme raakt waarmee je jezelf zou moeten beschermen. Updaten is de verdediging, maar tijdens de update ontstaat een risicovenster. Het positieve is de snelle reactie van het beveiligingsteam. Het negatieve is het tempo van 2026, met een exploitketen in juli en nog een kwetsbaarheid die in oktober werd misbruikt. Wie updates behandelt als iets wat je doet als er tijd over is, speelt tegen de cijfers.
Veelgestelde vragen
Wat repareert WordPress 7.1.4?
Het repareert een kwetsbaarheid voor codeuitvoering in het updateproces en verschillende XSS stored-problemen. Ook is er een oplossing voor een denial of service-geval en een update van de root-certificaten.
Heeft de kwetsbaarheid CVE-2026-119977 een account nodig?
Nee. Volgens Wordfence, zoals de bronnen melden, is geen account nodig. De aanvaller moet wel een kort venster benutten tijdens een volledige core-update.
Wanneer komt WordPress 7.2 uit?
Die is gepland voor 8 december. Beta 3 is al beschikbaar en bevat de toepasbare oplossingen.
Krijgen oudere versies ook de patch?
Gedeeltelijk. De oplossingen worden teruggezet naar alle geschikte takken tot en met 4.7 en worden uitgebracht zodra ze klaar zijn. WordPress herinnert eraan dat alleen de nieuwste versie actief wordt ondersteund.
Geldt de CISA-deadline ook voor Nederlandse bedrijven?
Nee, de deadline van 6 november geldt alleen voor Amerikaanse federale instanties. CISA vraagt de privésector wel om de patch prioriteit te geven.
Waar je de komende weken op moet letten bij WordPress
De patch is beschikbaar, maar de aandacht verschuift nu naar de oudere takken en naar beta 7.2. De meest risicovolle periode is wanneer de exploit circuleert en sites nog niet zijn bijgewerkt.
- Controleer of de teruggezette oplossingen voor de oudere versies die je nog gebruikt zijn uitgebracht, en plan de migratie.
- Lees de serverlogs en zoek naar verzoeken aan installatiepaden zoals setup-config.php.
- Volg de releasenotes van Beta 3 en 7.2, gepland voor 8 december, voordat je in productie update.
