Een Elementor CSRF-kwetsbaarheid kan leiden tot het maken van rogue beheerderaccounts wanneer een ingelogde beheerder een speciaal samengestelde link opent. De kwetsbaarheid is verholpen in Elementor 4.3.2.
ClickFix techniek zet legitieme websites om in malware-trappen zonder exploit of download. Een CTM360-rapport toont hoe 17.000 geïnfecteerde URLs misbruik maken van copy-paste en server-side sturing.
WordPress heeft een kritieke kwetsbaarheid gepatcht (CVE-2026-87902) die een aanvaller zonder account een extern PHP-bestand kan laten laden. Afhankelijk van serverconfiguratie kan dat verdergaan tot het uitvoeren van eigen code.
WordPress heeft meerdere beveiligingsproblemen gepatcht, waaronder Click2Shell. Deze bug kan leiden tot het installeren van een door de aanvaller gekozen thema en in bepaalde situaties zelfs RCE.
Comment2Shell WordPress is een kwetsbaarheid in WordPress core waarbij een anonieme bezoeker een kwaadaardig script kan achterlaten. Zodra een beheerder de pagina opent, kan dit leiden tot code-uitvoering via de admin-sessie.
WordPress waarschuwt voor Click2Shell WordPress: met een speciaal gemaakte link kan een ingelogde beheerder zonder klik een thema installeren. In combinatie met een tweede thema-zwakte kan dit leiden tot servercode-uitvoering.
Meer dan 200.000 WordPress-sites lopen mogelijk risico door The Events Calendar RCE-kwetsbaarheden. Zonder authenticatie kan een aanvaller code injecteren en zo het volledige systeem overnemen.
Aanvallers misbruiken een kritieke kwetsbaarheid in WooCommerce Wholesale Lead Capture om zonder authenticatie PHP-webshells te uploaden. Wordfence zag sinds juni 2026 massale exploitpogingen.
WordPress gaat automatische pluginreviews inzetten vóór plugins via de update-API worden verspreid. Hoge-risico releases worden geblokkeerd en moeten eerst worden hersteld.
Wordfence meldt honderdduizenden exploitpogingen tegen Super Forms en Elementor Pro. Beide plugins hebben kritieke RCE-kwetsbaarheden via onbeveiligde bestandsuploads.
