Optimole-lek CVE-2026-124969: aanvaller kan via een comment bestanden op je server laten verwijderen

In de WordPress-plug-in Optimole, die veel websites gebruiken om afbeeldingen kleiner en sneller te maken, zit een beveiligingslek. Via het lek, bekend als CVE-2026-124969, kan een aanvaller zonder account willekeurige bestanden op je server laten verwijderen. Gaat het om het verkeerde bestand, zoals wp-config.php, dan kan dat uitlopen op het volledig overnemen van je website. Alle versies tot en met 4.2.19 zijn kwetsbaar. Het lek is rond 13 en 14 november 2026 openbaar gemaakt en krijgt een CVSS-score van 7.1 uit 10 (hoog).

Wat doet Optimole?

Optimole is een plug-in voor beeldoptimalisatie. Hij zet afbeeldingen om naar lichtere formaten zoals WebP en AVIF, levert ze via een CDN en laadt ze pas in als een bezoeker ernaartoe scrolt (lazy load). Dat maakt een site sneller, wat goed is voor bezoekers en voor je positie in Google. Wil je weten waarom dat zo belangrijk is, lees dan ons artikel over afbeeldingen optimaliseren voor betere zoekresultaten. Juist omdat zo'n plug-in diep in je mediabibliotheek ingrijpt, heeft een fout erin flinke gevolgen.

Wat is er mis?

Volgens het officiële CVE-record, dat door Wordfence is aangemaakt, gaat het om PHP object injection (CWE-502, deserialisatie van onbetrouwbare gegevens). Een aanvaller verstopt kwaadaardige data in een reactie (comment) op je site, via de velden voor de inhoud van de reactie en de browserinformatie van de afzender. Wordt daarna een bijlage hernoemd, dan verwerkt Optimole die data op een onveilige manier. Het resultaat: de aanvaller kan elk bestand op de server laten verwijderen.

Andere databanken beschrijven hetzelfde lek iets anders. VulDB noemt het een path traversal-fout in de functie replace_urls_in_value, waarbij de plug-in bestandspaden niet goed controleert. Over het gevolg zijn de bronnen het eens: bestanden kunnen ongewenst worden verwijderd.

Waarom is het verwijderen van een bestand zo gevaarlijk? Als wp-config.php verdwijnt, denkt WordPress dat de site nog niet is geïnstalleerd en toont het de installatiewizard. Een aanvaller kan die wizard dan doorlopen, de site aan een eigen database koppelen en zo code op je server uitvoeren.

Niet elke site is direct te misbruiken

Er zijn wel voorwaarden. Volgens de beschrijving bij OffSeq Radar en het CVE-record werkt de aanval alleen als:

• de PHP-bibliotheek Archive_Tar van PEAR op de server aanwezig is;
• een beheerder daarna een bijlage hernoemt, nadat de aanvaller zijn data via een comment heeft klaargezet.

Dat er een handeling van een beheerder nodig is, blijkt ook uit de CVSS-score (de onderdelen UI:R, gebruikersinteractie vereist). Dat maakt het lek minder ernstig dan een lek dat volledig op afstand werkt, maar het blijft een reëel risico. Een beheerder die gewoon zijn werk doet in de mediabibliotheek kan de aanval onbewust in gang zetten.

Wordt het lek al misbruikt?

Op het moment van schrijven is er geen melding van actief misbruik. Ook is er volgens VulDB geen openbare exploit bekend. Toch is het verstandig niet te wachten: na publicatie van een lek gaan aanvallers vaak snel op zoek naar sites die nog niet zijn bijgewerkt.

Welke versie is veilig?

De verwijzingen in de databanken wijzen naar versie 4.2.20 als de versie met de oplossing. Dat staat niet in elke bron expliciet bevestigd, dus controleer in je WordPress-dashboard of in het wijzigingslogboek van Optimole dat je minimaal 4.2.20 draait.

Wat moet je nu doen?

1. Controleer of je Optimole gebruikt. Ga in WordPress naar Plug-ins en kijk naar het versienummer.
2. Update direct naar 4.2.20 of hoger als je 4.2.19 of lager hebt.
3. Hernoem geen bijlagen zolang je nog niet hebt bijgewerkt.
4. Bekijk je reacties. Staan er vreemde comments in de wachtrij of op je site, verwijder ze dan.
5. Maak een back-up, zodat je bij problemen snel kunt terugzetten. Vraag je hostingpartij eventueel of Archive_Tar op je server staat.

Meer algemene tips vind je in ons artikel hoe beveilig je jouw WordPress-site tegen hackers. Eerder vandaag schreven we ook over het AutomatorWP Webhooks-lek, waarbij aanvallers het wachtwoord van een beheerder konden resetten.

Wil je je niet elke week druk maken over plug-in-updates? Met ons website-onderhoud en beheer houden wij je WordPress-site bij en grijpen we in als er een kritiek lek opduikt. Meer actueel nieuws lees je op onze nieuwspagina.

Bronnen: CVE.org, VulDB, OffSeq Radar, Strix, ThreatInt, NVD via Vulners. Wij konden de bronpagina's niet rechtstreeks openen; de details zijn gebaseerd op samenvattingen uit zoekresultaten.