De Amerikaanse cyberbeveiligingsdienst CISA waarschuwt dat aanvallers misbruik maken van een onlangs verholpen kwetsbaarheid in WordPress Core. Het gaat om CVE-2026-119977, een lek met hoge ernst dat onder voorwaarden kan leiden tot remote code execution op een server. De kwetsbaarheid is gepatcht in WordPress 7.1.4, dat op 28 oktober is uitgebracht.
Volgens CISA is het lek actief uitgebuit en daarom toegevoegd aan de Known Exploited Vulnerabilities-catalogus. Amerikaanse federale civiele overheidsorganisaties moeten hun systemen uiterlijk vrijdag beveiligen, op basis van de bindende richtlijn BOD 26-04. Hoewel die verplichting formeel alleen voor deze overheidsinstanties geldt, roept CISA ook andere netwerkbeheerders op om de kwetsbaarheid met prioriteit te verhelpen.
Wat is er kwetsbaar in WordPress?
CVE-2026-119977 zit in WordPress Core en is door onderzoeker Umut Bayram van Picus Security gemeld. De kwetsbaarheid wordt omschreven als een Time-of-check Time-of-use-racecondition, vaak afgekort als TOCTOU. Bij dit type fout ontstaat er een beveiligingsprobleem doordat de toestand van een bestand, proces of pad verandert tussen het moment waarop software iets controleert en het moment waarop dezelfde software die uitkomst gebruikt.
In dit geval heeft het probleem betrekking op het upgradeproces van WordPress. Tijdens volledige core-upgrades gebruikt WordPress voorspelbare en via het web toegankelijke stagingpaden. Onder specifieke omstandigheden kan een aanvaller die geen rechten op de site heeft, deze situatie misbruiken om code op de server uit te voeren. De aanval wordt wel als complex aangemerkt, omdat het misbruik samenhangt met het korte venster waarin het upgradeproces plaatsvindt.
Het WordPress-beveiligingsteam bracht op 28 oktober versie 7.1.4 uit om het probleem te verhelpen. Daarbij werd beheerders aangeraden hun sites direct bij te werken, omdat het om een beveiligingsrelease gaat.
CISA bevestigt actief misbruik, details blijven beperkt
Het belangrijkste nieuwe element is dat CISA inmiddels misbruik in de praktijk bevestigt. De dienst heeft geen technische details gedeeld over de aanvallers, gebruikte exploitmethoden, doelwitten of eventuele schade. Daardoor is niet duidelijk of het gaat om grootschalige geautomatiseerde scans, gerichte aanvallen of een combinatie daarvan.
Wel wijst een update van WordPress-beveiligingsbedrijf Wordfence op substantiële activiteit rond het lek. Volgens Wordfence zijn in een periode van 24 uur 13.095 aanvallen geblokkeerd die op deze kwetsbaarheid waren gericht. Dat cijfer zegt niet hoeveel aanvallen succesvol waren, maar het laat wel zien dat het lek snel in aanvalspogingen is opgenomen.
Waarom dit relevant is voor organisaties
WordPress is breed in gebruik, niet alleen voor blogs en campagnesites, maar ook voor bedrijfswebsites, webshops, portals en websites van overheden en non-profitorganisaties. Een kwetsbaarheid in WordPress Core heeft daardoor een groot potentieel aan doelwitten, zeker wanneer organisaties updates uitstellen of afhankelijk zijn van onderhoudsvensters.
Remote code execution is een van de ernstigere categorieën kwetsbaarheden, omdat een aanvaller daarmee code op de onderliggende server kan uitvoeren. Afhankelijk van de configuratie kan dit leiden tot het plaatsen van webshells, het aanpassen van websitebestanden, het installeren van kwaadaardige plug-ins of verdere stappen binnen een hostingomgeving. In de broninformatie is voor CVE-2026-119977 niet bevestigd welke vervolgstappen aanvallers precies uitvoeren; die scenario’s zijn algemene risico’s die bij dit type kwetsbaarheid horen.
De timing van het lek maakt het extra relevant. De kwetsbaarheid zit in het upgradeproces zelf, waardoor het aanvalsmoment samenvalt met een periode waarin beheerders juist proberen hun installatie bij te werken. Dat onderstreept het belang van gecontroleerde updates, beperkte blootstelling van tijdelijke upgradebestanden en snelle installatie van beveiligingsreleases zodra die beschikbaar zijn.
Context: eerdere WordPress-aanvallen dit jaar
De waarschuwing volgt op eerdere incidenten rond WordPress Core in 2026. In juli werd een kritieke kwetsbaarheidsketen gepatcht die bekendstaat als wp2shell. Die keten combineerde een REST API batch-route confusion-kwetsbaarheid, CVE-2026-63030, met een SQL-injectielek, CVE-2026-60137. Volgens de beschikbare informatie konden aanvallers daarmee webshells plaatsen en niet-gepatchte servers overnemen.
Voor wp2shell verschenen publieke exploits een dag nadat de patches beschikbaar kwamen. Enkele dagen later begonnen aanvallers ongepatchte servers binnen te dringen, waar zij persistente webshells plaatsten en kwaadaardige plug-ins installeerden. In september werd de exploitketen bovendien gebruikt door een Chineestalige dreigingsactor om gevoelige gegevens te stelen uit meer dan 18.500 records in backenddatabases van kleine bedrijven en overheidsorganisaties.
Analyse: patchsnelheid blijft doorslaggevend
Bevestigd is dat CVE-2026-119977 is gepatcht in WordPress 7.1.4, dat CISA actief misbruik ziet en dat federale Amerikaanse civiele instanties onder een verplichte deadline vallen. Niet bevestigd is wie achter het huidige misbruik zit of welke organisaties daadwerkelijk zijn getroffen.
De bredere les is wel duidelijk: bij populaire platforms zoals WordPress wordt de tijd tussen patchpublicatie en misbruik steeds krapper. Voor organisaties betekent dit dat updateprocessen, monitoring en incidentrespons niet als losse beheeractiviteiten kunnen worden gezien, maar als onderdeel van de beveiligingsbasis. Wie WordPress beheert, moet kunnen vaststellen welke versies draaien, waar die installaties staan en of beveiligingsupdates daadwerkelijk zijn toegepast.
Bron: bleepingcomputer.com
