Een kritieke beveiligingskwetsbaarheid in WordPress kan aanvallers in staat stellen om zonder in te loggen de controle over websites over te nemen, volgens een rapport van Hokanews. De kwetsbaarheid treft versies 4.7 tot en met 7.1.3 en maakt gebruik van een kort tijdvenster tijdens het updateproces van het platform, wanneer de installer tijdelijk toegankelijk wordt via een openbare map.

WordPress aandrijft 39,5% van alle websites op internet, volgens informatie gedeeld door Coin Bureau, wat betekent dat ruwweg vier op de tien sites op dezelfde onderliggende software draaien. Die schaal geeft de gemelde zwakte een mogelijk brede reikwijdte, omdat het gaat om het eigen updateproces van het platform in plaats van om een enkele plug-in of thema. De zorg richt zich op de mogelijkheid dat aanvallers tijdens een volledige update hun eigen code direct op de server van een website kunnen uitvoeren — een uitkomst die kan leiden tot ongeautoriseerde controle over de site zelf.

Hoe de kwetsbaarheid werkt

Tijdens een volledige WordPress-update plaatst het platform zijn installer kortstondig in een openbaar toegankelijke map. Volgens Coin Bureau kan een aanvaller die die locatie bereikt tijdens het korte tijdvenster zijn eigen code op de server uitvoeren. Omdat de blootstelling alleen bestaat terwijl de update loopt, is het risico verbonden aan die tijdelijke periode in plaats van aan een permanent open toegangspunt.

De kwetsbaarheid vereist niet dat een aanvaller inlogt op de getroffen WordPress-site. In plaats daarvan maakt de aanval gebruik van de tijdelijke blootstelling die tijdens het updateproces ontstaat, wat mogelijk ongeautoriseerde controle over de website mogelijk maakt.

De kwetsbaarheid treft elke WordPress-versie van 4.7 tot 7.1.3. Dat bereik omvat bijna 10 jaar aan releases, terug tot december 2016, volgens de informatie gemeld door Coin Bureau. Een zo breed bereik plaatst installaties van zeer verschillende leeftijden binnen het gemelde getroffen bereik, en niet alleen de meest recente versies.

Wordfence signaleert kwetsbaarheid CVE-2026-119977

Beveiligingsbedrijf Wordfence signaleerde het probleem, dat nu wordt bijgehouden onder de identificatie CVE-2026-119977. De CVE-aanduiding is het standaard identificatiesysteem dat wordt gebruikt om publiek bekendgemaakte softwarekwetsbaarheden te catalogiseren, waardoor onderzoekers en site-eigenaren een gedeeld referentiepunt hebben voor dezelfde zwakte. De kwetsbaarheid heeft ook geleid tot firewallbeschermingsactiviteit, waarbij Wordfence zijn eerste blokkade registreerde slechts negen minuten nadat de bescherming actief werd.

De gerapporteerde timing geeft aan dat de firewall kort na activering van de bescherming begon met het blokkeren van activiteit die verband hield met de kwetsbaarheid. Het rapport vermeldt echter niet het aantal geprobeerde aanvallen of hoeveel websites mogelijk zijn getroffen. Deze twee cijfers blijven de belangrijkste open vragen rond de kwetsbaarheid, omdat ze zouden laten zien hoeveel activiteit deze in de praktijk heeft aangetrokken.

Nu versies 4.7 tot en met 7.1.3 binnen het gemelde getroffen bereik vallen, betreft de kwetsbaarheid een breed scala aan WordPress-releases. De tijdelijke blootstelling van de installer tijdens volledige updates is de specifieke zwakte die in het rapport wordt beschreven.

Het oorspronkelijke rapport is geschreven door Victoria Hale, schrijver over technologie en blockchain bij Hokanews.