WordPress dicht kritiek lek in de core: update nu naar 7.1.2

De ontwikkelaars van WordPress hebben een ernstig beveiligingslek in WordPress Core verholpen. Het gaat om CVE-2026-87902, een fout waardoor een aanvaller zonder in te loggen een lokaal PHP‑bestand kan laten inladen buiten de actieve themamappen. In specifieke combinaties van thema en serverinstellingen kan dat uitmonden in het uitvoeren van willekeurige code op de server. De fix is uitgebracht op 22 september 2026 in WordPress 7.1.2. (wordpress.org)

Wat er misging
De kern van het probleem zit in de manier waarop WordPress bepaalt welk paginatemplate wordt gebruikt. Een onjuist gevalideerde invoer in de page‑template‑resolutie (via de functie get_page_template) maakte padtraversal mogelijk en kon WordPress zo laten uitkomen bij een leesbaar PHP‑bestand buiten het actieve thema. Die lokale file inclusion kan, als de omstandigheden kloppen, leiden tot remote code execution. (github.com)

Wie is getroffen
Volgens het officiële beveiligingsadvies zijn alle versies vanaf 4.7.0 tot en met 7.1.1 kwetsbaar. De patch zit in 7.1.2 en is daarnaast teruggeport naar alle nog ondersteunde takken (onder meer 7.0.6, 6.9.9, 6.8.10 en verder). Updaten is dringend aanbevolen. (github.com)

Is er al misbruik?
Ja. Meerdere overheidsinstanties en CERT’s melden dat het lek actief wordt misbruikt en dat er publieke proof‑of‑conceptcode beschikbaar is. Wacht dus niet af met updaten. (csa.gov.sg)

Waarom kan dit tot RCE leiden?
De kwetsbaarheid is “unauthenticated” (geen login nodig) en “low complexity”, maar daadwerkelijke code‑execution vraagt om twee voorwaarden:

• Het actieve (ouder‑ of kind‑)thema heeft bovenin een map die begint met “page-” (zoals “page-templates”). Dit komt voor in oudere standaardthema’s zoals Twenty Twelve en Twenty Fourteen en in populaire derden‑thema’s als Neve, Hestia en Sydney.
• Er staat een doelbestand op de server dat door de webserver gelezen kan worden. In sommige omgevingen kan het bekende pearcmd.php‑pad de stap van LFI naar RCE mogelijk maken, met name wanneer register_argc_argv is ingeschakeld. (github.com)

Wat moet je nu doen

• Update WordPress Core direct naar 7.1.2 of, als je op een oudere onderhoudstak zit, naar de bijbehorende beveiligingsrelease. Controleer daarna expliciet of de update geland is. (wordpress.org)
• Draai een snelle gezondheidscheck: bekijk webserver- en securitylogs op verdachte requests met bijvoorbeeld pagename, page_id of dubbel‑gecodeerde padtraversalpatronen. (itsc.cuhk.edu.hk)
• Gebruik je een thema met een “page-” map of een ouder standaardthema? Plan versneld een update of thema‑wissel in en verwijder ongebruikte thema’s en plugins. (github.com)
• Zie je tekenen van misbruik (onbekende adminaccounts, gewijzigde bestanden, webshells)? Isoleer de site, vervang kernbestanden door schone kopieën, roteer alle wachtwoorden en sessies, en voer een herstelprocedure uit. (itsc.cuhk.edu.hk)

Nog even de context

• De release van 7.1.2 is expliciet een security‑update. Het WordPress‑project markeert CVE‑2026‑87902 als “kritiek” en geeft een hoge CVSS‑score mee. Daarnaast bevestigt het advies dat de fix als service ook naar alle ondersteunde 4.x‑ en 5.x‑versies is teruggeport. (wordpress.org)
• De onderliggende template‑logica rond paginanamen bestaat al sinds 4.7, toen de gedecodeerde variant van page‑{slug}.php aan de hiërarchie werd toegevoegd. Dat verklaart waarom zo veel versies geraakt zijn. (developer.wordpress.org)

Kortom: installeer 7.1.2 (of de relevante backport) vandaag nog en check je logs. De combinatie van een publieke PoC en actief misbruik maakt dit een “patch‑nu” scenario. (csa.gov.sg)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.