NCSC meldt actief misbruik van kritiek WordPress-lek: 'Update nu'

In dit artikel:

Aanvallers maken actief misbruik van een kritieke path-traversal-kwetsbaarheid in WordPress, meldt het Nationaal Cyber Security Centrum (NCSC). Het lek, CVE-2026-87902, stelt ongeauthenticeerde aanvallers onder bepaalde voorwaarden in staat om een lokaal PHP-bestand buiten de actieve themamappen te laten laden. Daardoor kunnen zij willekeurige code uitvoeren op de webserver en mogelijk gevoelige gegevens bemachtigen, wijzigingen aanbrengen of de volledige WordPress-installatie overnemen. Ook kunnen besmette websites worden gebruikt voor verdere kwaadwillige activiteiten.

Het NCSC waarschuwt dat er al aanvallen plaatsvinden en roept beheerders op de beschikbare beveiligingsupdate direct te installeren. Het probleem is verholpen in WordPress-versie 7.1.2. De impact kan groot zijn, omdat volgens W3Techs meer dan 40 procent van alle websites op WordPress draait.