'WordPress WP2Shell-lek uren na verschijnen patch al misbruikt bij aanvallen'

In dit artikel:

Cybersecuritybedrijf Wordfence meldt dat het nieuwe WP2Shell-lek in WordPress al binnen uren na het verschijnen van de beveiligingspatch is misbruikt. Aanvallers combineren daarbij twee kwetsbaarheden, CVE-2026-63030 en CVE-2026-60137, om volledige controle over websites te krijgen. Het probleem trof volgens Wordfence een breed aanvalsoppervlak, omdat WordPress op meer dan 41 procent van de websites draait en de kwetsbaarheid geen authenticatie, plug-in of thema vereist. WordPress bracht op 17 juli noodupdates uit in versies 6.8.6, 6.9.5 en 7.0.2 en rolde die door de ernst zelfs geforceerd uit naar kwetsbare sites. Wordfence zag dezelfde dag al aanvallen en later ook openbare exploitcode. Beheerders worden aangeraden hun sites direct te updaten, te controleren op onbekende admin-accounts en verdachte bestanden of plug-ins te inspecteren.