10Web Booster-lek: ongeauthenticeerd bestanden uploaden, update naar 2.34.11
In de WordPress-plugin 10Web Booster zit een kritiek lek (CVE-2026-108587, CVSS 9,8). Zo werkt het, wanneer je risico loopt en wat je nu moet doen.
Gebruik je de WordPress-plugin 10Web Booster om je website sneller te maken? Dan is er een reden om vandaag je pluginoverzicht te openen. In alle versies tot en met 2.34.10 zit een kritiek beveiligingslek met kenmerk CVE-2026-108587. De fix staat in versie 2.34.11.
Wat is er aan de hand?
Volgens de kwetsbaarheidsvermelding van Patchstack gaat het om een ongeauthenticeerde upload van willekeurige bestanden. Iemand zonder account kan dus bestanden op je server zetten. De score is 9,8 op 10 (CVSS), de zwakte valt onder CWE-434. Het gaat om de functie compressCustom, waar controle op bestandstype en extensie ontbreekt bij de parameter page_id. De beschrijving staat ook in de CVE-registratie bij OpenCVE.
Dat kan gevolgen hebben: sommige geüploade bestanden kunnen uitvoerbare code zijn, en dan kan een aanvaller de controle over de site overnemen.
Wanneer ben je kwetsbaar?
Voor misbruik heeft een aanvaller een nonce nodig, een controlewaarde van de plugin. Die wordt volgens de beschrijving in een publiek leesbaar bestand onder wp-content/uploads/ gezet wanneer een bulkoptimalisatie van afbeeldingen pauzeert. Zonder zo'n pauze ontbreekt dus een voorwaarde. Het Duitse Dr. Web schrijft dat versie 2.34.11 van 13 oktober 2026 is en dat er op 15 oktober nog geen aanvallen bekend waren. Het raadt toch aan te updaten, omdat instellingen later kunnen veranderen.
Over de data lopen de bronnen licht uiteen: Patchstack noemt 14 oktober, de CVE-gegevens 15 oktober. Wij weten niet of het lek inmiddels actief wordt misbruikt. Controleer dat bij Patchstack of Wordfence.
Wat moet je doen?
- Open je WordPress-beheer en kijk welke versie van 10Web Booster draait.
- Zit je op 2.34.10 of lager, update dan naar 2.34.11 of nieuwer.
- Kijk in de map wp-content/uploads/ op onverwachte bestanden, vooral .php-bestanden.
- Heb je de plugin niet nodig? Verwijder hem dan.
Wat betekent dit voor jou?
Snelheidsplugins hebben veel rechten op je site, dus een lek erin heeft direct impact. Regelmatig updates doorvoeren voorkomt veel ellende. Eerder schreven we over een vergelijkbaar geval bij Bricksforge en over gestolen UpdraftCentral-sleutels. Wil je dit niet zelf bijhouden, dan nemen wij het updaten en controleren over met website-onderhoud en beheer. Meer nieuws vind je op de nieuwspagina.
Bronnen: Patchstack, OpenCVE, Dr. Web.
