WordPress-updatelek CVE-2026-119977 nu massaal misbruikt: 240.000 aanvallen, NCSC waarschuwt

by

Het lek in het updateproces van WordPress, waar wij op 30 oktober over schreven, wordt nu op grote schaal misbruikt. Volgens Security.NL zag beveiligingsbedrijf Wordfence in een paar dagen tijd al meer dan 240.000 aanvalspogingen. Het lek heeft inmiddels ook een officieel nummer: CVE-2026-119977. Het Nationaal Cyber Security Centrum (NCSC) waarschuwt dat het lek actief wordt misbruikt, en de Amerikaanse overheidsdienst CISA heeft het op de lijst van actief misbruikte kwetsbaarheden gezet.

In dit artikel leest u wat er sinds onze eerste waarschuwing is veranderd, wat wij zelf op onze servers hebben gezien en hoe u controleert of uw site veilig is.

In het kort

  • Lek: CVE-2026-119977, in het updateproces van WordPress Core
  • Geraakt: WordPress 4.7 tot en met 7.1.3
  • Oplossing: WordPress 7.1.4 (sinds 28 oktober), of de beveiligingsupdate voor uw oudere versie
  • Aanvallen: ruim 240.000 pogingen in een paar dagen, volgens Wordfence
  • Waarschuwingen: NCSC (misbruik bevestigd) en CISA (sinds 3 november op de lijst van actief misbruikte lekken)
  • Extra bescherming: blokkeer de map /wp-content/upgrade/ op uw webserver

Wat is er veranderd sinds 30 oktober?

Toen WordPress 7.1.4 uitkwam, had het lek nog geen CVE-nummer en ging het om tienduizenden aanvalspogingen. Sindsdien is het snel gegaan:

  • 31 oktober: Wordfence geeft het lek het nummer CVE-2026-119977, met een CVSS-score van 8.1 (hoog).
  • 3 november: CISA zet het lek op de lijst van Known Exploited Vulnerabilities. Amerikaanse overheidsinstanties moesten het uiterlijk 6 november hebben opgelost.
  • 6 november: Security.NL meldt dat Wordfence al meer dan 240.000 aanvalspogingen heeft gezien. Het NCSC waarschuwt dat een aanvaller de controle over een website kan overnemen.

Opvallend: WordPress zelf schat het risico in als laag, omdat een aanval alleen slaagt in de paar seconden waarin een update wordt uitgepakt. Aanvallers laten zich daar niet door tegenhouden. Ze proberen het met scripts eindeloos opnieuw, bij duizenden sites tegelijk, en wachten tot er ergens een update draait.

Hoe wordt een aanvaller beheerder?

Bij een volledige update pakt WordPress de nieuwe versie uit in een map onder wp-content/upgrade/. Tot en met versie 7.1.3 had die map een voorspelbare naam, en hij is vaak gewoon via internet bereikbaar. In die uitgepakte kopie zit ook de installatiewizard van WordPress, dezelfde die u ziet bij een nieuwe website.

Een aanvaller die op het juiste moment die wizard opent, kan de installatie zelf afronden en daarbij een eigen beheerdersaccount aanmaken. Met dat account kan hij PHP-code naar uw server uploaden, bijvoorbeeld via een “plugin”. Vanaf dat moment heeft hij de site in handen: hij kan gegevens stelen, pagina’s aanpassen of uw site gebruiken om malware of spam te verspreiden.

Wat wij zelf zagen op onze servers

Wij hebben de logbestanden van de WordPress-sites die wij hosten zelf nagekeken. Dit is wat we vonden:

  • Sinds 28 oktober kwamen er 183 verzoeken binnen op de map /wp-content/upgrade/, van 46 verschillende IP-adressen. Daarvoor waren het er hooguit een paar per dag.
  • Een deel daarvan was verkennend: bestaat de map, en is hij te bekijken?
  • Vanaf 30 oktober zagen we gerichte pogingen op precies dit lek. De aanvallers probeerden de installatiewizard te openen via paden als /wp-content/upgrade/wordpress-7.1.3/wordpress/wp-admin/setup-config.php. Ze probeerden meerdere versienummers achter elkaar, in de hoop dat er net een update liep.
  • Al die pogingen kregen een 403 (geen toegang) terug, omdat wij de map die dag op al onze sites hadden afgeschermd.

Daarna hebben we elke site gecontroleerd. Er zijn geen nieuwe beheerders sinds 28 oktober, er staan geen PHP-bestanden in de updatemap en de kernbestanden komen overeen met de officiële versie van WordPress. Het laat goed zien hoe dit soort aanvallen werkt: ook kleine, lokale websites worden gewoon geprobeerd. Een aanvaller kiest niet uw site uit, een script probeert ze allemaal.

Wat moet u nu doen?

1. Controleer uw WordPress-versie

Ga naar Dashboard → Updates. U bent veilig op 7.1.4 of nieuwer. Draait u bewust een oudere hoofdversie? Dan zijn er ook beveiligingsupdates voor oudere reeksen, onder meer 7.0.8, 6.9.11, 6.8.12, 6.7.11 en 6.6.11, en zelfs 4.7.39 voor de oudste reeks. Ga er niet blind van uit dat de automatische update gelukt is, want die mislukt regelmatig door bestandsrechten of te weinig schijfruimte.

2. Scherm de updatemap af

Wordfence adviseert om PHP-bestanden in /wp-content/upgrade/ op de webserver te blokkeren. Bezoekers hoeven daar nooit bij te kunnen, en WordPress werkt rechtstreeks met de bestanden op de server, niet via internet. Bij een Apache-server zet u deze regel bovenaan het .htaccess-bestand in de hoofdmap van uw website:

RedirectMatch 403 ^/wp-content/upgrade/

Bij nginx voegt u dit toe aan de serverconfiguratie:

location ^~ /wp-content/upgrade/ { deny all; }

Test daarna of het werkt. Open in uw browser https://uwdomein.nl/wp-content/upgrade/. U hoort de melding “403 Forbidden” of “Geen toegang” te zien. Een beveiligingsplugin die alleen binnen WordPress draait, ziet deze aanval soms niet, omdat de aanvaller het bestand in de updatemap rechtstreeks aanroept. Een blokkade op serverniveau werkt altijd.

3. Controleer of u al getroffen bent

  • Beheerders: ga naar Gebruikers → Alle gebruikers en filter op Beheerder. Staat er iemand die u niet kent? Neem dat serieus.
  • Logbestanden: vraag uw hoster of in de logs verzoeken op setup-config.php of install.php onder /wp-content/upgrade/ staan met statuscode 200, rond het moment van uw laatste update. Een 403 of 404 betekent dat de poging is mislukt.
  • wp-config.php: kijk of de databasegegevens (DB_HOST, DB_NAME, DB_USER) nog kloppen, en of het bestand onverwacht is gewijzigd.
  • Bestanden: in wp-content/upgrade/ hoort na een update niets anders te staan dan hooguit een leeg index.php.
  • Kernbestanden: laat Wordfence een scan doen, of gebruik WP-CLI: wp core verify-checksums.

Ziet u iets verdachts? Verander dan direct alle wachtwoorden (WordPress, database, hosting en FTP), zet een schone back-up terug van vóór de aanval en werk alles bij. Twijfelt u? Neem contact met ons op, dan kijken wij met u mee.

Snel een eerste indruk? Onze gratis WordPress Security Scanner laat onder meer zien welke WordPress-versie uw site naar buiten toe toont.

Hoe zit het bij onze klanten?

Alle WordPress-sites die wij in onderhoud hebben, draaien op WordPress 7.1.4. De updatemap is sinds 30 oktober op serverniveau afgeschermd, en zoals hierboven beschreven zijn alle aanvalspogingen op onze servers tegengehouden. U hoeft als klant niets te doen.

Geen klant, maar wilt u dit soort zorgen niet meer zelf dragen? Neem contact met ons op. Wij nemen het onderhoud en de beveiliging van uw WordPress-site graag van u over.

Bronnen

📬
Meer WordPress-tips in uw inbox? Wekelijkse nieuwsbrief — geen spam, altijd afmeldbaar.
Deel dit artikel: Facebook LinkedIn X / Twitter

Leave a Comment