Er is een nieuwe, serieuze kwetsbaarheid opgedoken in WordPress core: Comment2Shell WordPress (CVE-2026-93485). De kern van het probleem is dat een anonieme bezoeker een reactie kan plaatsen die later, wanneer een ingelogde beheerder de betreffende pagina opent, kan uitgroeien tot het uitvoeren van code. WordPress heeft de fout inmiddels gerepareerd en adviseert site-eigenaren om snel te updaten.
Het opvallende aan deze bug is de keten: van een ogenschijnlijk onschuldige comment naar anonieme comment XSS, en vervolgens naar een situatie waarin de serverlast uiteindelijk in de context van een beheerder kan worden aangetast.
Wat is Comment2Shell WordPress precies?
WordPress meldt dat een aanvaller in staat was om een comment te plaatsen met HTML die niet goed bleef tijdens het verwerken van content voor weergave. In de fase waarin WordPress commentinhoud controleert op gevaarlijke HTML, lijkt alles “veilig” te worden ingepast. Maar in de stap daarna, bij het tonen van de comment op de pagina, liep het mis.
Het resultaat: een script kon automatisch draaien in de browser van degene die de pagina opent. Daarbij maakt het niet uit of die persoon is ingelogd: het script kan altijd in de webcontext worden uitgevoerd. Toch is er nog een extra voorwaarde nodig voor de stap richting servercompromis.
Waarom is een admin-sessie zo belangrijk?
Voor het doorbreken naar echte servercontrole is meer nodig dan alleen browseruitvoering. Volgens de beschrijving draait de aanval pas door wanneer een ingelogde beheerder de pagina opent met de geplaatste comment.
Op dat moment kan het script gebruikmaken van de lopende beheerder-sessie om acties uit te voeren die normaal gesproken alleen met administratieve rechten mogelijk zijn. Concreet gaat het om het uploaden van een plugin die als opstap kan dienen, zoals een bestand dat commando’s kan uitvoeren die een aanvaller stuurt (een zogenoemde webshell-route).
De kwetsbare keten: van opmaakfout naar event handler
De onderzoeker die de bug rapporteerde, legde uit hoe de fout werd uitgebuit. Het trucje zat in het plaatsen van een regeleinde binnen een attribuut van een toegestane HTML-tag in de comment.
Wanneer WordPress de comment vervolgens herformatteert voor weergave, raakt de logica rondom die tag uit balans. Daardoor belandt de aangeleverde tekst in een positie waarbij de browser het interpreteert als een live event handler die automatisch kan worden gestart zodra de pagina laadt.
Omdat het script draait als de bezoeker die de pagina opent, krijgt de aanvaller effectief een afhankelijkheidsketen: eerst browseruitvoering, daarna—via adminrechten—de mogelijkheid om verder te bewegen.
Wanneer werkt Comment2Shell WordPress wel of niet?
Niet elke WordPress-site gedraagt zich identiek. In de beschrijving wordt aangegeven dat het exploiteren afhing van hoe de site de reacties presenteert. Het werkt bijvoorbeeld op websites met een block theme of op klassiek ingestelde thema’s die comment-content op vergelijkbare wijze formatteren. Andere thema- of weergavevarianten kunnen het lastiger maken of verhinderen dat de precieze interpretatie ontstaat.
Bovendien moet de comment eerst daadwerkelijk op de pagina verschijnen. WordPress gaf aan dat misbruik “afhankelijk” kan zijn van comment-approval. Maar de praktijk is weerbarstig: commentmoderatielogica is niet per definitie een veiligheidsmaatregel, zeker niet als instellingen op een manier kunnen worden omzeild waardoor een eerste reactie toch op de pagina komt.
Is er bewijs van actief misbruik?
Op dit moment is er volgens de beschikbare informatie geen aanwijzing dat de kwetsbaarheid al actief is ingezet in aanvallen. Ook staat Comment2Shell WordPress (CVE-2026-93485) niet op een lijst van softwarefouten die door de Amerikaanse overheid als “actief misbruikt” zijn aangemerkt.
Dat neemt de urgentie niet weg: ook zonder bevestigde campagnes is het verstandig om het lek te dichten voordat misbruik alsnog op gang komt.
Patchadvies: update naar 7.1.1 en hoger
WordPress heeft de kwetsbaarheid verholpen. De meest concrete stap is: update naar WordPress 7.1.1. Ook voor andere ondersteunde takken gelden reparaties in latere versies.
Volgens WordPress zijn de relevante updates:
- WordPress 7.1: update naar 7.1.1
- WordPress 7.0: update naar 7.0.5
- WordPress 6.9: update naar 6.9.8
- Oudere branches (vanaf 4.7): installeer de gefixeerde release voor jouw branch, teruggaand tot en met 4.7.36
Let op: een update herstelt de kwetsbaarheid, maar “undo’t” geen wijzigingen die een aanvaller mogelijk al heeft doorgevoerd. Denk daarom ook aan detectie en opschoning als er reden is om gerichte pogingen te vermoeden.
Tijdelijk afschermen als updaten niet meteen kan
Kun je niet direct alles doorvoeren, dan wordt aangeraden om de aanvalsvector te beperken. In de beschrijving worden twee praktische maatregelen genoemd:
- Reacties uitschakelen op berichten, of
- Reacties uitzetten over de hele site
Daarnaast kan een web application firewall of een beveiligingsplugin helpen om een specifiek gemanipuleerde comment te blokkeren. Wel blijft gelden: deze maatregelen zijn een noodrem, geen definitieve fix.
Controleer op verdachte plugins of bestanden
Omdat de aanval via een admin-sessie kan proberen richting servercontrole te gaan, is het verstandig om na te gaan of er onverwachte wijzigingen zijn geweest. Concreet: check op plugins of bestanden die niet herkend worden als legitiem onderdeel van jouw installatie.
Als je verdachte componenten vindt, is het doel om die te verwijderen en tegelijkertijd te achterhalen wanneer ze zijn geïntroduceerd—dat helpt bij het bepalen of er mogelijk meer is gebeurd dan alleen een tijdelijke scriptuitvoering in de browser.
Extra context: Click2Shell en andere WordPress-kwetsbaarheden
Dezelfde WordPress-release bevat ook een tweede kwetsbaarheid, Click2Shell. Daarbij gaat het om een bewerkte link die WordPress kan laten installeren, waarna—met een tweede zwakte—code kan worden uitgevoerd op de server. Ook deze route vereist dat een ingelogde beheerder de link opent.
WordPress kende dit jaar al vaker ernstige problemen in de core. In de bron wordt bijvoorbeeld verwezen naar een eerdere bug die aanvallers in staat stelde om zonder login code uit te voeren (wp2shell), en naar misbruik van een fout in de loginpagina om code uit te voeren met admincontext. Dit zijn aparte kwesties naast de comment-gerelateerde bug.
Gerelateerde beveiligingsaanpak: focus op ketenrisico
Wat Comment2Shell WordPress zo gevaarlijk maakt, is niet alleen de aanwezigheid van XSS. Het gaat om de keten: de browseruitvoering vormt een opstap naar serverimpact zodra de juiste rechten (admin-sessie) beschikbaar zijn. Dat patroon zie je vaker terug bij moderne webaanvallen.
Wil je breder kijken naar hoe dergelijke ketenfouten worden gedetecteerd of gemitigeerd, dan is het interessant om ook deze onderwerpen mee te nemen:
- Supply chain aanval: malware op 100.000 websites — hoe aanvallers via indirecte routes schaalbaar schade proberen te doen.
- CSP P-detectie: bewijs van scripts van derden — een blik op hoe je schadelijke scripting-indicatoren kunt benaderen.
Conclusie
Comment2Shell WordPress (CVE-2026-93485) laat zien hoe één comment-gat kan uitgroeien tot een serieuze impact, zeker wanneer een beheerder de betreffende pagina opent. De praktische boodschap is helder: update naar WordPress 7.1.1 (of de gefixeerde versie voor jouw branch) en controleer daarnaast op onverwachte plugins of bestanden.
Zodra je dit hebt gedaan, verklein je de kans dat een tijdelijke opmaak- of weergavefout verandert in blijvende servercontrole.
Bron: https://thehackernews.com/2026/09/wordpress-comment2shell-flaw-can-turn.html
