CVE-2026-119977: kwetsbaarheid in WordPress Core
Voor CVE-2026-119977 is een beveiligingsupdate beschikbaar. De kwetsbaarheid bevindt zich in WordPress Core en kan aanvallers zonder inloggen code laten uitvoeren tijdens een WordPress-update. Gebruik je WordPress? Controleer je installatie en installeer de beveiligingsupdate zo snel mogelijk.
Aanleiding
Het NCSC waarschuwt dat deze kwetsbaarheid actief wordt misbruikt. WordPress heeft beveiligingsupdates uitgebracht om het probleem te verhelpen. De installatie is alleen kwetsbaar tijdens een kort moment waarop WordPress wordt bijgewerkt. Op dat moment kan een aanvaller misbruik maken van een racecondition. Het tijdsvenster om de aanval te laten slagen is dus kort, maar de mogelijke impact juist groot.
Wat is het risico?
Een aanvaller kan de kwetsbaarheid rechtstreeks via internet misbruiken, zonder eerst in te loggen. Daarvoor moet de aanvaller precies het korte tijdvenster benutten waarin een kwetsbare installatie een volledige WordPress-update uitvoert.
Bij succesvol misbruik kan de aanvaller code uitvoeren met de rechten van de website. Dit kan leiden tot het overnemen van de website, het uitlekken van gegevens of het aanpassen en verwijderen van bestanden.
Welke installaties zijn kwetsbaar?
De kwetsbaarheid raakt WordPress-versiereeksen vanaf 4.7 tot en met 7.1, zolang de bijbehorende beveiligingsfix niet is geïnstalleerd. Voor de recentere reeksen gelden deze versies:
| WordPress-reeks | Kwetsbare versies | Verholpen vanaf |
|---|---|---|
| 7.1 | 7.1.0 t/m 7.1.3 | 7.1.4 |
| 7.0 | 7.0.0 t/m 7.0.7 | 7.0.8 |
| 6.9 | 6.9.0 t/m 6.9.10 | 6.9.11 |
| 6.8 | 6.8.0 t/m 6.8.11 | 6.8.12 |
| 6.7 | 6.7.0 t/m 6.7.10 | 6.7.11 |
| 6.6 | 6.6.0 t/m 6.6.10 | 6.6.11 |
Voor oudere reeksen zijn eveneens beveiligingsupdates uitgebracht. Kijk voor een volledige lijst met kwetsbare en bijgewerkte versies bij Wordfence. De bovenstaande correcties verhelpen deze specifieke CVE; alleen de nieuwste WordPress-versie wordt actief ondersteund.
Wat doen wij?
Op ons platform wordt gecontroleerd op kwetsbare WordPress-installaties. Gebruikers bij wie we een kwetsbare installatie aantreffen informeren we hierover.
Het bijwerken van WordPress moet je zelf uitvoeren of door je ontwikkelaar laten doen. Onze controle en berichtgeving ondersteunen je daarbij.
Moet je iets doen?
Ja. Controleer je WordPress-installaties en werk kwetsbare versies zo snel mogelijk bij.
- Log als beheerder in op je WordPress-dashboard en ga naar Dashboard → Updates. Hier zie je welke versie is geïnstalleerd.
- Controleer of jouw versie de beveiligingsfix bevat. Ook als automatische updates zijn ingeschakeld, is het verstandig om de geïnstalleerde versie te controleren.
- Zorg voor een recente back-up van bestanden en database. Installeer vervolgens de aangeboden WordPress-beveiligingsupdate via Nu bijwerken. Bij voorkeur gebruik je de nieuwste stabiele WordPress-versie.
- Controleer na afloop opnieuw het versienummer en test of je website goed werkt.
WordPress 7.1.4 bevat de oplossing. Je kunt de controle en update direct uitvoeren, ook voordat je van ons een melding ontvangt.
Technische details
CVE-2026-119977 betreft een racecondition in het updateproces. Tijdens volledige Core-updates worden tijdelijke bestanden op voorspelbare, via het web bereikbare locaties geplaatst. Een aanvaller kan dit korte tijdvenster misbruiken voor code-uitvoering. Meer informatie staat in de NCSC-advisory.