Beveiliging · 10 november 2026
Twee kritische WordPress-schwachstellen ontdekt
Er zijn momenteel twee zwakke plekken in WordPress die beheerders zouden moeten kennen. Ten eerste kan WordPress tijdens het kernupdateproces in bepaalde situaties kwetsbaar zijn (CVE-2026-119977). Daarnaast is er de kritieke kwetsbaarheid CVE-2026-100109 in Security For WooCommerce.
Het WordPress-plugin "Security For WooCommerce" in de versies 1.0.10 tot 1.0.16 voert geen toegangscontroles uit bij het aanmaken van gebruikers via een actie die ook niet-geauthenticeerde bezoekers kunnen gebruiken. Hierdoor kunnen niet-geauthenticeerde aanvallers administratorkonten aanmaken en controle over de website overnemen.
De kwetsbaarheid CVE-2026-119977 in de WordPress-kern is aanwezig in de versies 4.7 tot 7.1.3 en stelt aanvallers in staat om op afstand code uit te voeren tijdens het upgraden van de WordPress-kern. Deze kwetsbaarheid is te wijten aan voorspelbare, via het internet toegankelijke staging-paden die worden gebruikt bij volledige upgrades van de WordPress-kern. De kwetsbaarheid is opgelost met WordPress versie 7.1.4, die op 28 oktober 2026 beschikbaar kwam.