WordPress-lek CVE-2026-119977: CISA bevestigt actief misbruik, update naar 7.1.4

Het lek in het updateproces van WordPress dat we eerder beschreven, heeft nu een officieel nummer en een zwaardere status. De Amerikaanse cyberdienst CISA bevestigt dat aanvallers kwetsbaarheid CVE-2026-119977 in de kern van WordPress misbruiken. Het Nederlandse Nationaal Cyber Security Centrum (NCSC) meldt op 4 november 2026 ook dat er actief misbruik is. Draait jouw website op WordPress, dan is het advies helder: controleer vandaag nog of je op versie 7.1.4 of nieuwer zit.

Wat is er nieuw ten opzichte van de vorige melding?

Op 28 oktober bracht WordPress versie 7.1.4 uit, met een fix voor 22 lekken. Over de ernst van de race condition in het updateproces liepen de berichten toen nog uiteen, en er was nog geen CVE-nummer. Dat is nu veranderd. Volgens The Hacker News en BleepingComputer heeft CISA het lek toegevoegd aan de lijst met bekende, actief misbruikte kwetsbaarheden (KEV). Lees je het eerdere bericht, dan zie je dat dit precies de stap is die toen nog ontbrak. Ons eerste artikel vind je terug bij WordPress 7.1.4 dicht 22 lekken.

Hoe werkt het lek?

Het gaat om een zogenoemde TOCTOU-race condition (CWE-367). Dat is een fout waarbij een controle en het gebruik van een bestand niet netjes na elkaar gebeuren, waardoor er een kort gaatje ontstaat. Het lek scoort 8,1 op de CVSS-schaal en kan volgens de bronnen zonder inlogaccount leiden tot het uitvoeren van code op de server (remote code execution).

Het misbruik vindt plaats tijdens een volledige core-update. Aanvallers richten zich volgens de analyses op voorspelbare tijdelijke mappen die vanaf het internet bereikbaar zijn. Ze moeten dus een kort tijdvenster treffen terwijl WordPress zichzelf bijwerkt. Dat maakt de aanval lastiger, maar volgens Wordfence gebeurt het wel: het bedrijf meldt 13.095 geblokkeerde aanvallen in 24 uur.

Welke versies zijn getroffen?

Ook hier verschillen de bronnen, dus geven we beide. De Amerikaanse kwetsbaarhedendatabase NVD noemt voor de 7.1-tak de versies 7.1.0 tot en met 7.1.3. Andere bronnen spreken van alle versies vanaf 4.7 tot en met 7.1.3. Volgens deze berichtgeving is het probleem opgelost in 7.1.4. Gebruik je een oudere tak, dan kreeg die een eigen beveiligingsupdate. Kijk in je dashboard onder Updates of er voor jouw versie iets wordt aangeboden.

Wat is de deadline van CISA?

Voor Amerikaanse overheidsinstanties geldt een uiterste datum om te patchen, en die ligt op vrijdag 6 november 2026. Jij hoeft je niet aan die termijn te houden. Wel laat de korte deadline zien hoe serieus CISA dit neemt.

Wat moet je nu doen?

1. Controleer je versie. Ga in WordPress naar Dashboard en dan Updates. Staat er 7.1.4 of de nieuwste versie van jouw tak, dan is het gat gedicht.
2. Update als dat nog niet is gebeurd. Maak eerst een back-up en test daarna of je site nog werkt.
3. Zoek naar onbekende bestanden. Volgens de bronnen is het verstandig om de server te controleren op PHP-bestanden die je niet kent, zeker in de WordPress-mappen. Sommige bronnen adviseren ook te kijken of er bij eerdere updates iets mis is gegaan.
4. Vraag je hoster of beheerder. Veel partijen werken updates automatisch bij. Vraag na of dat ook bij jou is gebeurd, en wanneer.

Let op: de bronnen zijn het eens over de kern, maar niet over elk detail. Zo is niet bevestigd dat er breed beschikbare aanvalscode circuleert. Controleer bij twijfel de primaire bronnen, zoals de NVD, de CISA-lijst en WordPress.org.

Wat betekent dit voor jouw bedrijf?

Een lek in de kern van WordPress raakt elke site, ook als je alle plugins netjes bijhoudt. Dat de aanval juist tijdens het updaten plaatsvindt, maakt het extra wrang. Wie updates laat liggen, blijft kwetsbaar, en wie ze uitvoert zonder controle erna, weet niet zeker of alles goed is gegaan.

Wil je niet zelf elke week naar updates kijken? Met website-onderhoud en beheer regelen wij updates, back-ups en controles voor je. Meer beveiligingsnieuws lees je op onze nieuwspagina.

Bronnen: The Hacker News, BleepingComputer, SOC Prime, Cloud Expo. Wij konden de bronpagina's niet rechtstreeks openen; de details zijn gebaseerd op samenvattingen uit zoekresultaten.