Er wordt actief door aanvallers gericht op een beveiligingsfout in WordPress tijdens het updateproces van websites. Het cybersecuritybedrijf Wordfence heeft per 6 november meer dan 240.000 exploitatiepogingen geblokkeerd, en Amerikaanse toezichthouders hebben federale agentschappen een deadline gegeven om te patchen. De kwetsbaarheid, geregistreerd als CVE-2026-119977, is niet afhankelijk van zwakke wachtwoorden of verouderde plugins. In plaats daarvan ligt het probleem in de manier waarop WordPress bepaalde volledige software-upgrades verwerkt.

Tijdens deze upgrades pakt WordPress kortstondig installatiebestanden uit in een map die publiekelijk bereikbaar is. Het venster duurt slechts enkele seconden, maar precies dat korte moment proberen aanvallers te grijpen.

⚠️ALERT: Hackers are now targeting WordPress, the software behind 39.5% of all websites online. A critical flaw lets attackers take over a WordPress site in the seconds it spends updating, without needing to log in. During a full update, WordPress briefly stages its installer… pic.twitter.com/vYPYviWSw7

— Coin Bureau (@coinbureau) November 6, 2026

Hoe de aanval werkt

Een aanvaller die op het juiste moment die bestanden bereikt, kan mogelijk schadelijke PHP-code uitvoeren. Er is geen login nodig, en zwakke wachtwoorden of verouderde plugins spelen geen rol bij de exploitatie. Een geslaagde aanval zou kunnen leiden tot het installeren van backdoors, het wijzigen van website-inhoud, het aanmaken van ongeautoriseerde beheerdersaccounts of het stelen van gevoelige informatie. Fouten die geen inloggegevens vereisen, worden gerekend tot de ernstigste klassen van webkwetsbaarheden, omdat de gebruikelijke inlogverdediging — sterke wachtwoorden, tweefactorauthenticatie, pluginhygiëne — helemaal niet aan bod komt.

De fout heeft een CVSS-ernstscore van 8,1 op 10, waarmee deze in de hoogrisicocategorie van de standaard schaal van 0 tot 10 valt. Volgens Wordfence heeft de fout betrekking op WordPress-versies 4.7 tot en met 7.1.3, een bereik dat bijna een decennium aan releases bestrijkt. Omdat WordPress volgens W3Techs wereldwijd ongeveer 39,5% van alle websites draait, is de populatie van potentieel blootgestelde sites aanzienlijk — één enkele fout in de kern van de software kan blogs, media en bedrijven in dezelfde risicocategorie plaatsen totdat ze zijn gepatcht.

Wordfence meldt dat aanvallers op 28 oktober begonnen met het gericht aanvallen van de fout, dezelfde dag dat WordPress zijn beveiligingsupdate uitbracht. In de softwareindustrie wordt het uitbrengen van een openbare fix beschouwd als een mogelijk startsein voor aanvallers, omdat patches de zwakke plekken die ze herstellen kunnen onthullen — een reden waarom beveiligingsteams beheerders aansporen onmiddellijk te updaten in plaats van op een vast rooster. Vroege monitoring vond meer dan 18.500 verdachte verzoeken in ongeveer 21 uur, en daarna groeiden de aantallen gestaag. Per 6 november had de Wordfence-firewall meer dan 240.000 exploitatiepogingen geblokkeerd. De grootste dag was 30 oktober, met meer dan 74.000 geblokkeerde kwaadwillende verzoeken.

Onderzoekers zagen aanvallers ook sites herhaaldelijk gedurende lange perioden aftasten, blijkbaar wachtend tot kwetsbare sites het korte updatevenster betreden waarin installatiebestanden publiekelijk bereikbaar worden. De geblokkeerde verzoeken komen niet overeen met bevestigde hacks. Exploitatie vereist nauwkeurige timing, wat het overnemen van een site aanzienlijk moeilijker maakt dan het versturen van een verzoek. Toch toont het volume een sterke interesse van aanvallers.

Fix, deadline en advies voor site-eigenaren

WordPress bracht versie 7.1.4 uit op 28 oktober. De release herstelt de fout samen met enkele andere beveiligingsproblemen, en er zijn ook patches beschikbaar voor oudere ondersteunde takken, zodat beheerders op oudere versies eveneens fixes kunnen toepassen.

Op 3 november voegde het Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) de fout toe aan zijn Known Exploited Vulnerabilities-catalogus — een lijst voor fouten waarvan is bevestigd dat ze actief worden misbruikt — en gaf het federale civiele agentschappen tot 6 november de tijd om deze te verhelpen. Catalogusvermeldingen zijn verplicht en niet adviserend: onder CISA's Binding Operational Directive 22-01 zijn federale civiele agentschappen verplicht vermelde kwetsbaarheden vóór de toegewezen deadline te verhelpen. CISA heeft bevestigd dat de fout actief wordt misbruikt.

Onderzoekers wezen ook op een probleem voor sites die nog kwetsbaar zijn. Omdat de oude, ongepatchte software de eerste stap van de upgrade verzorgt, kan een site blootgesteld blijven, zelfs tijdens het installeren van precies die update die de fout verhelpt. Wordfence adviseert om vóór het starten van de update webtoegang tot PHP-bestanden in de map /wp-content/upgrade/ te blokkeren.

Het bedrijf heeft al firewallbescherming toegevoegd voor zijn Premium-, Care- en Response-klanten, en gebruikers van de gratis plugin krijgen dezelfde bescherming op 27 november. Beheerders wordt geadviseerd te bevestigen dat de update is voltooid, serverlogs te controleren en beheerdersaccounts te controleren op ongeautoriseerde wijzigingen.

Crypto-bedrijven die op WordPress draaien lopen een extra risico, volgens de rapporten. Exchanges, blockchainprojecten en cryptonieuwssites kunnen te maken krijgen met website-manipulatie of phishinglinks die in hun pagina's worden geïnjecteerd. De fout heeft geen directe invloed op blockchainnetwerken of wallets, maar een gehackte site kan bezoekers nog steeds misleiden om wallets te verbinden of valse transacties goed te keuren — een herinnering dat voor cryptobedrijven de website vóór de chain deel uitmaakt van hun operationele beveiliging.

Per 6 november had Wordfence meer dan 240.000 pogingen om de kwetsbaarheid te misbruiken geblokkeerd, en beheerders worden aangespoord WordPress 7.1.4 te installeren, de aanbevolen mapbeveiligingen toe te passen en hun sites daarna te controleren. De data die nu op de kalender staan — de federale patchdeadline van 6 november en de uitrol van firewallbescherming voor gratis-plugin-gebruikers op 27 november — zijn de zichtbare ijkpunten om te volgen nu de respons zich ontvouwt, naast Wordfence's doorlopende teller van geblokkeerde pogingen.