AutomatorWP Webhooks-lek CVE-2026-126173: wachtwoord van elke beheerder resetten zonder login

In de Webhooks-add-on van AutomatorWP Pro zit een kritiek beveiligingslek. Via het lek, bekend als CVE-2026-126173, kan een aanvaller zonder in te loggen het wachtwoord van elk WordPress-account resetten, ook dat van een beheerder. Daarmee kan iemand je website volledig overnemen. Het lek is op 14 november 2026 openbaar gemaakt en krijgt een CVSS-score van 9.8 uit 10. Alle versies van de add-on tot en met 1.4.4 zijn kwetsbaar.

Wat is AutomatorWP?

AutomatorWP is een WordPress-plug-in waarmee je zonder te programmeren automatiseringen bouwt. Je koppelt plug-ins, websites en externe apps aan elkaar: als er iets gebeurt (een trigger), voert de plug-in een actie uit. De basisversie is gratis, daarnaast verkoopt de maker betaalde add-ons. De Webhooks-add-on is er een van. Daarmee stuur je gegevens naar externe diensten en kun je binnenkomende berichten van buitenaf gebruiken om acties op je site te starten. Juist dat laatste deel is hier het probleem.

Wat is er mis?

Volgens de beschrijving in de NVD-registratie van CVE-2026-126173 controleert de add-on niet goed of degene die een actie uitvoert daar ook toestemming voor heeft. Het gaat om een zogeheten missing authorization-fout (CWE-862). Een aanvaller heeft geen account nodig en er is geen handeling van een gebruiker nodig om het lek te misbruiken.

Het lek werkt niet op elke site met de add-on. Er moet een specifieke automatisering zijn ingesteld. Volgens OffSeq Radar is het alleen te misbruiken als een beheerder een automatisering heeft gemaakt die:

• de trigger Receive Webhook gebruikt, met een veld "Is the user ID";
• koppelt aan een actie die een gebruiker bijwerkt (Update User);
• het veld User ID bij die actie leeg laat;
• het wachtwoordveld vult met de wachtwoord-tag uit de webhook.

Heb je zo'n combinatie, dan kan iemand van buitenaf via de webhook een nieuw wachtwoord instellen voor een willekeurig account. Met een gekaapt beheerdersaccount kan een aanvaller daarna alles: plug-ins installeren, malware plaatsen, klantgegevens inzien of je site offline halen.

Het lek werd op 10 november gereserveerd en op 14 november gepubliceerd, met Wordfence als uitgevende partij (CNA). Dat blijkt uit de gegevens bij ThreatInt en Strix.

Wordt het lek al misbruikt?

Op het moment van schrijven is er geen melding van actief misbruik. Het lek staat ook niet op de lijst van actief misbruikte kwetsbaarheden van de Amerikaanse cyberdienst CISA. Wel staat er op Sploitus een vermelding van een proof-of-concept. Wij hebben die niet zelf bekeken. Ervaring leert dat aanvallers snel na publicatie gaan zoeken naar kwetsbare sites, dus wacht niet te lang.

Welke versie is veilig?

Alle bronnen noemen versie 1.4.4 als laatste kwetsbare versie. Het advies is om de Webhooks-add-on bij te werken naar een versie hoger dan 1.4.4. Welke versie precies de oplossing bevat, verschilt tussen de bronnen en konden we niet bevestigen. Kijk daarom in het wijzigingslogboek van de maker of in je WordPress-dashboard welke update beschikbaar is.

Wat moet je nu doen?

1. Controleer of je de add-on gebruikt. Ga in WordPress naar Plug-ins en zoek naar AutomatorWP en de Webhooks-add-on. Let op het versienummer.
2. Update direct. Staat er 1.4.4 of lager, werk de add-on dan zo snel mogelijk bij.
3. Bekijk je automatiseringen. Zoek naar automatiseringen met de trigger Receive Webhook en de actie Update User. Kun je niet meteen updaten, zet zo'n automatisering dan tijdelijk uit.
4. Check je accounts. Kijk of er beheerders zijn bijgekomen die je niet kent en of iemand een wachtwoordreset heeft gehad die je zelf niet hebt gedaan. Twijfel je, wijzig dan de wachtwoorden van alle beheerders.
5. Zet tweestapsverificatie aan voor beheerdersaccounts. Dat beperkt de schade als een wachtwoord toch in verkeerde handen valt.

Meer algemene tips lees je in ons artikel over hoe je jouw WordPress-site beveiligt tegen hackers. Eerder deze week schreven we ook over een vergelijkbaar lek waarbij aanvallers een beheerder konden aanmaken via Registration Form for WooCommerce.

Geen tijd om plug-ins en beveiligingsmeldingen zelf bij te houden? Met ons website-onderhoud en beheer houden wij je WordPress-site up-to-date en grijpen we in bij kritieke lekken. Meer actueel nieuws vind je op onze nieuwspagina.

Bronnen: NVD via Vulners, OffSeq Radar, Strix, ThreatInt, Wordfence. Wij konden de bronpagina's niet rechtstreeks openen; de details zijn gebaseerd op samenvattingen uit zoekresultaten.