WordPress dicht een ernstig lek in WordPress Core (versies 4.7 t/m 7.1.3). Het gaat om een racecondition van het type TOCTOU: tijdens een volledige core‑upgrade worden nieuwe bestanden heel kort in een voorspelbare, via het web bereikbare stagingmap geplaatst. Wie precies in dat venster toeslaat, kan op afstand code uitvoeren zónder inlog. Het venster is klein, de impact groot. Update daarom meteen. (wordpress.org)

Wat speelt er precies?

• Bij een core‑update met een “complete package” pakt WordPress bestanden uit in een map onder wp‑content/upgrade. Omdat die map voorspelbaar en webtoegankelijk is, kan een aanvaller die de timing wint, eigen code laten draaien. Dat maakt de bug complex om te misbruiken, maar wél geschikt voor RCE. (github.com)
• WordPress heeft het lek verholpen in 7.1.4 en patches teruggeport tot en met de 4.7‑tak. Wie op een oudere onderhoudsbranch zit, kan dus óók een beveiligingsrelease installeren. (wordpress.org)
• Het NCSC meldt dat het om CVE‑2026‑119977 gaat en dat er al actief misbruik plaatsvindt (CVSS 8,1 – hoog). (ncsc.nl)

Waarom nu meteen patchen?
De Amerikaanse CISA heeft CVE‑2026‑119977 op 3 november 2026 aan de Known Exploited Vulnerabilities‑catalogus toegevoegd. Dat is een duidelijke aanwijzing dat aanvallers het lek in het wild gebruiken en dat patchen prioriteit moet krijgen. (bleepingcomputer.com)

Ben ik kwetsbaar?

• Draait je site op WordPress 4.7 t/m 7.1.3? Dan ben je kwetsbaar totdat je de bijbehorende beveiligingsrelease installeert. (ncsc.nl)
• De aanval slaagt alleen tijdens het korte upgradevenster. Maar omdat updates vaak automatisch of op vaste momenten draaien, kunnen aanvallers daarop anticiperen. (github.com)

Wat moet je nu doen?

• Update direct naar WordPress 7.1.4, of naar de nieuwste beveiligingsrelease binnen jouw branch (backports zijn beschikbaar vanaf 4.7). Zet automatische updates aan waar mogelijk. (wordpress.org)
• Controleer server‑ en accesslogs rond recente update‑momenten op verdachte verzoeken richting wp‑content/upgrade/ (vooral hits op .php‑bestanden). Als je iets vindt: neem aan dat er code is uitgevoerd en start forensisch onderzoek. (github.com)
• Verklein het risico op herhaling:
  • Blokkeer uitvoer van PHP in wp‑content/upgrade (bijv. via webserver‑regels) en verwijder stagingmappen na updates.
  • Gebruik waar mogelijk alleen HTTPS, strakke bestandsrechten en een WAF/WP‑securityplugin.
  • Verifieer core‑bestanden na de update (bijv. met wp cli checksums) en scan op malware.
• Beheer je veel sites? Plan een versnelde patchronde en communiceer de noodzaak. Het NCSC benadrukt dat de kans op misbruik laag oogt maar de mogelijke schade hoog is; wacht dus niet. (ncsc.nl)

Feiten op een rij

• Kwetsbare versies: 4.7 t/m 7.1.3. (ncsc.nl)
• Oorzaak: TOCTOU‑racecondition tijdens volledige core‑upgrades, met stagingpaden die kortstondig webtoegankelijk zijn. (github.com)
• Fix: 7.1.4 en backports tot 4.7 uitgebracht op 28 oktober 2026. (wordpress.org)
• Status: actief misbruikt; sinds 3 november 2026 opgenomen in CISA’s KEV. (bleepingcomputer.com)

Kortom: update vandaag nog. Het aanvalsmoment is klein, maar de gevolgen kunnen groot zijn — en aanvallers letten op precies dit soort upgradevensters. (wordpress.org)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.