WordPress-lek CVE-2026-119977: 240.000 aanvallen, blokkeer de upgrade-map vóór je bijwerkt

De aanvallen op het WordPress-lek CVE-2026-119977 nemen flink toe. Beveiligingsbedrijf Wordfence heeft inmiddels meer dan 240.000 pogingen geblokkeerd om het lek te misbruiken. Dat melden onder meer RS Web Solutions en CoinCentral, die zich daarbij op Wordfence baseren. Het lastige aan dit lek: het zit in het updateproces van WordPress zelf. Wie nu nog naar 7.1.4 moet bijwerken, doet dat met de oude, kwetsbare updater. Daarom raden verschillende beveiligingsbedrijven aan om eerst de map wp-content/upgrade/ af te schermen en pas daarna te updaten.

Wat is er veranderd sinds ons vorige bericht?

Op 4 november schreven we dat de Amerikaanse cyberdienst CISA het lek op de lijst met actief misbruikte kwetsbaarheden had gezet. Dat artikel lees je terug bij CISA bevestigt actief misbruik van CVE-2026-119977. Toen noemde Wordfence 13.095 geblokkeerde aanvallen in 24 uur. Sindsdien is het aantal pogingen sterk opgelopen, en is er meer bekend over hoe je je site veilig bijwerkt.

De cijfers lopen wel uiteen, afhankelijk van de periode die een bron telt. Wordfence meldde in de eerste 21 uur na bekendmaking ruim 18.500 verzoeken. The Hacker News noemde later 62.969 geblokkeerde pogingen in 24 uur. Het totaal van meer dan 240.000 gaat volgens de berichtgeving over de periode tot en met 6 november. Belangrijk om te weten: het gaat om pogingen die de firewall van Wordfence heeft tegengehouden, niet om bevestigde inbraken.

Waarom de update zelf het risico is

Tijdens een volledige core-update pakt WordPress een nieuwe kopie van zichzelf uit in de map wp-content/upgrade/. Volgens onder meer Rescana en ThreatDefence gebeurt dat op een voorspelbare plek. In die tijdelijke kopie staat ook het installatiebestand setup-config.php. Aanvallers proberen dat bestand op te vragen in de korte tijd dat het daar staat. Lukt dat, dan kunnen ze zonder in te loggen code uitvoeren op de server.

Versie 7.1.4 lost dit op, maar de update naar 7.1.4 wordt nog uitgevoerd door de updater van je huidige versie. Juist tijdens die laatste update ben je dus nog kwetsbaar. Getroffen zijn volgens Wordfence de versies 4.7 tot en met 7.1.3. Wordfence geeft het lek een score van 8,1 (hoog). WordPress zelf beoordeelt het risico als laag, een verschil waar meerdere bronnen op wijzen.

Waarom een beveiligingsplugin niet altijd genoeg is

Veel ondernemers vertrouwen op een gratis beveiligingsplugin. Bij dit lek is dat volgens de bronnen geen garantie. De aanvaller vraagt het tijdelijke bestand rechtstreeks op, zonder dat WordPress daarbij wordt geladen. Een firewall die als plugin binnen WordPress draait, komt dan niet in actie. Bovendien krijgen gebruikers van de gratis versie van Wordfence nieuwe firewallregels pas na 30 dagen. Voor dit lek betekent dat bescherming vanaf 27 november 2026.

Zo werk je veilig bij

De beveiligingsbedrijven adviseren in grote lijnen dezelfde stappen:

1. Blokkeer eerst de upgrade-map. Zorg dat PHP-bestanden in wp-content/upgrade/ niet via het internet bereikbaar zijn. Doe dat in de configuratie van de webserver (nginx of Apache) of bij je CDN. Een .htaccess-bestand in die map zelf is niet betrouwbaar, omdat de map tijdens de update kan worden leeggemaakt.
2. Update daarna naar 7.1.4 of naar de beveiligingsupdate voor jouw oudere versie. Maak vooraf een back-up.
3. Controleer je versie. Kijk in het dashboard onder Updates of de update echt is gelukt.
4. Kijk in je logbestanden. Zoek naar verzoeken naar PHP-bestanden onder wp-content/upgrade/, vooral rond het moment van de update.
5. Zoek naar sporen. Controleer of er beheerdersaccounts, plugins of PHP-bestanden zijn die je niet kent.

Heb je geen toegang tot de serverconfiguratie, zoals bij de meeste gedeelde hostingpakketten? Vraag je hoster dan of de map al wordt afgeschermd en of de update al automatisch is uitgevoerd. Veel hosters hebben dat inmiddels gedaan.

Wat betekent dit voor jou als ondernemer?

Normaal is het advies bij een lek simpel: update zo snel mogelijk. Dit lek laat zien dat het soms net iets meer vraagt. Wie zonder voorbereiding bijwerkt, opent precies tijdens die update een klein venster voor aanvallers. Dat venster is kort, maar met honderdduizenden geautomatiseerde pogingen is de kans dat iemand het raakt niet nul.

Dit gaat over je hele bedrijf, niet alleen over je website. Een gehackte site kan klantgegevens lekken, bezoekers naar malware sturen of uit Google verdwijnen. Draait je site nog niet op 7.1.4? Pak het dan deze week op, of laat het doen door iemand die toegang heeft tot de server.

Wil je dit soort updates niet zelf bijhouden? Met ons website-onderhoud en beheer zorgen wij voor veilige updates, back-ups en controles achteraf. Meer beveiligingsnieuws vind je op onze nieuwspagina.

Bronnen: RS Web Solutions, CoinCentral, Rescana, ThreatDefence, The Hacker News, Cloud Security Alliance. Wij konden de bronpagina's niet rechtstreeks openen; de details zijn gebaseerd op samenvattingen uit zoekresultaten.