WordPress 7.1.4 dicht 22 lekken, waaronder een kritiek RCE-lek: update nu

WordPress heeft op 28 oktober 2026 versie 7.1.4 uitgebracht. Deze beveiligingsupdate verhelpt 22 kwetsbaarheden. De ernstigste is een zogenoemde race condition in het updateproces van WordPress zelf, waardoor een aanvaller in theorie code op je server kan laten draaien (remote code execution, kortweg RCE). Heb je een WordPress-website of webshop, dan is dit een update om vandaag nog te controleren. Dat melden onder meer Search Engine Journal, Brandefense en GBHackers.

Wat is er mis met het updateproces?

Volgens de berichtgeving gaat het om een lek dat is gemeld door onderzoeker Umut Bayram. Het treft WordPress-versies 4.7 tot en met 7.1.3. Wordfence noemt in zijn advisory een CVSS-score van 8.1.

Tijdens een core-update pakt WordPress de nieuwe bestanden eerst uit in een tijdelijke map, wp-content/upgrade. Volgens de analyses konden de mapnamen daar voorspelbaar zijn, en kon de opruiming een beschermend index.php-bestand verwijderen. In dat korte tijdvenster zou een uitgepakt installatiebestand via internet bereikbaar kunnen zijn. Als de server dat toelaat en PHP in die map mag draaien, kan een aanvaller dat bestand aanroepen en zo code laten uitvoeren. Een account op de site is daarvoor niet nodig.

WordPress 7.1.4 pakt dit aan door de tijdelijke mappen willekeurig te benoemen, een index-bestand als bescherming toe te voegen en te voorkomen dat configuratiegegevens uit de tijdelijke map onveilig worden overgenomen.

Hoe groot is het risico echt?

Hier verschillen de bronnen, en dat is belangrijk om te weten. GBHackers spreekt van een actief aangevallen lek. Patchstack beoordeelt misbruik in de praktijk juist als lastig, omdat de aanvaller precies het juiste moment moet treffen en de map van buitenaf bereikbaar moet zijn. Volgens Brandefense meldt Wordfence sinds 28 oktober pogingen om het lek te misbruiken. Dat zijn geblokkeerde pogingen en geen bevestigde inbraken: Wordfence had per 31 oktober nog geen bevestigde gevallen gemeld.

De aantallen blokkades die genoemd worden lopen uiteen, van ruim 60.000 tot ongeveer 70.000 pogingen per dag. Neem die cijfers als indicatie, want ze komen uit secundaire berichtgeving. Het CVE-nummer dat Wordfence noemt was op 31 oktober nog niet gepubliceerd bij CVE.org. Ook zou het lek op die datum niet in de lijst met bekende misbruikte kwetsbaarheden van de Amerikaanse overheidsdienst CISA staan.

De boodschap is toch duidelijk. Dat misbruik lastig is, betekent niet dat het onmogelijk is, en aanvallers zoeken na een bekendmaking juist naar sites die achterlopen.

Wat zit er nog meer in WordPress 7.1.4?

De overige lekken zijn volgens de berichtgeving vooral stored cross-site scripting (XSS) in onder meer blokken, de Customizer en de Interactivity API. Daarnaast gaat het om problemen met informatielekken en toegangsrechten in de editor. Dat zijn andere problemen dan de race condition en ze moeten niet door elkaar worden gehaald.

Voor oudere sites is er ook goed nieuws. De beveiligingsfix is teruggezet naar alle takken vanaf WordPress 4.7. Volgens een overzicht in de berichtgeving staat 7.0 op 7.0.8 en 6.9 op 6.9.11, en gaat 4.7 naar 4.7.39. Gebruik je WordPress 4.6 of ouder, dan krijg je geen fix meer. Dan is overstappen op een ondersteunde versie de enige route.

Wat kun je als ondernemer nu doen?

1. Controleer je versie. Ga in het dashboard naar Dashboard, Updates. Zie je 7.1.4 (of de gepatchte versie van jouw tak), dan zit je goed. Ga er niet vanuit dat de automatische update gelukt is, want dat is niet altijd zo.
2. Update handmatig als dat nodig is. Maak eerst een back-up, werk daarna bij en controleer je site.
3. Kijk of je hoster of beheerder het al deed. Veel hostingpartijen en onderhoudsabonnementen regelen dit zelf. Vraag het na als je het niet zeker weet.
4. Werk je met Git of Composer en staan dashboard-updates uit (DISALLOW_FILE_MODS)? Volgens één bron raakt de race condition jou dan niet, maar de overige 21 lekken zijn nog wel relevant. Zet de nieuwe versie dus gewoon uit via je eigen proces.
5. Controleer de map wp-content/upgrade. Hoort die niet publiek bereikbaar te zijn of PHP te draaien, dan beperk je het risico verder. Laat dit bij twijfel over aan je webbouwer of hoster. We hebben hier geen officiële stappen voor gevonden, dus volg de release-notes op WordPress.org.

Wat betekent dit voor jouw website?

Een kritiek lek in de kern van WordPress laat zien waarom updates geen bijzaak zijn. Eerder schreven we al over WordPress 7.1.3 met zeven beveiligingslekken en over een kritiek RCE-lek in WordPress 7.0.4. Dat er in korte tijd weer een beveiligingsrelease nodig is, bevestigt dat je updates structureel moet regelen.

Wil je dat iemand dit voor je bijhoudt, inclusief back-ups en controle na elke update? Dat hoort bij goed website-onderhoud en beheer. Meer beveiligingsnieuws vind je op onze nieuwspagina.

Bronnen: Search Engine Journal, Brandefense, GBHackers, Cybersecuritynews. Wij konden de bronpagina's niet rechtstreeks openen, de details zijn gebaseerd op samenvattingen van deze berichtgeving.