CISA heeft een WordPress core kwetsbaarheid toegevoegd aan de Known Exploited Vulnerabilities (KEV)-catalogus. Dat betekent dat er voldoende bewijs is dat aanvallers de fout actief misbruiken. Het gaat om een ernstige beveiligingskwestie die specifiek kan worden uitgebuit tijdens het upgradetraject van WordPress Core.
Voor beheerders is de kern van het probleem simpel: wie nog wacht met patchen, vergroot de kans dat een aanvaller precies in het “upgrade-window” code op de server kan laten draaien.
Wat is er aan de hand met de WordPress core kwetsbaarheid?
De kwetsbaarheid is geregistreerd als CVE-2026-119977 met een CVSS-score van 8,1. CISA beschrijft het als een Time-of-check Time-of-use (TOCTOU) race condition.
Bij dit type fout draait misbruik om een verschil tussen “controleren” en “gebruiken” in korte tijd. In dit geval ontstaat het risico doordat tijdens een volledige WordPress Core update bepaalde staging-/installatiepaden webtoegankelijk en voorspelbaar zijn.
Volgens CISA kunnen onbevoegde aanvallers daardoor code uitvoeren op een getroffen server zonder dat ze toegang tot een account nodig hebben—mits ze de timing juist hebben.
Waarom is de upgrade-window zo belangrijk?
Het aanvallen van de upgrade-window is lastig, maar niet onmogelijk. De kwetsbaarheid kan worden uitgebuit gedurende een zeer korte periode tijdens een volledige core-update, waarin de staginglocaties worden gebruikt.
Wordfence meldde dat misbruik niet afhankelijk is van een account op de site. Wel moet de aanvaller het moment timen waarop WordPress de installbestanddelen verwerkt. In de eerste 21 uur na de publieke bekendmaking rapporteerde Wordfence meer dan 18.500 aanvragen gericht op staged paden zoals setup-config.php.
Ook zijn er in de daaropvolgende periode aanvallen gedetecteerd en geblokkeerd. Dit onderstreept dat het om echte pogingen gaat, niet om theoretische risico’s.
Bewijs van actieve aanvallen (KEV-plaatsing)
Doordat CISA de kwetsbaarheid heeft opgenomen in de KEV-catalogus, is de status van “actief misbruik” formeel bevestigd. Het artikel meldt daarnaast dat telemetry van Previdian aanvallen heeft gezien tegen een honeypot met detectie-onderdrukkers.
Deze gebeurtenissen zijn waargenomen op 30 oktober 2026 en kwamen van een IP-adres dat in het VK is geolokaliseerd. Los van de exacte herkomst laat dit vooral zien dat kwaadwillenden de fout al in praktijk proberen uit te buiten.
Welke impact kun je verwachten?
De mogelijke uitkomst is in het ergste scenario arbitrary code execution—oftewel het uitvoeren van willekeurige code op de server. Dat kan leiden tot extra compromittering, zoals het overnemen van controle, manipulatie van content of het misbruiken van de server als springplank voor verdere aanvallen.
Omdat het probleem samenhangt met de updateprocedure, is het risico niet alleen “altijd aanwezig”, maar vooral relevant zodra je een core-update doet—zeker bij volledige upgrades.
Wat moeten beheerders nu doen?
De patches zijn eind van de vorige maand beschikbaar gekomen. CISA geeft federale overheidsinstanties (FCEB) tot 6 november 2026 om de fixes toe te passen. Voor organisaties buiten die context geldt hetzelfde uitgangspunt: zodra je update beschikbaar is, is uitstel onnodig risicovol.
Concreet raad CISA impliciet aan om de volgende stappen te prioriteren:
- Installeer de beschikbare patch voor WordPress Core zo snel mogelijk.
- Voer updates gecontroleerd uit, zodat je niet onnodig lang in het upgrade-window blijft hangen.
- Controleer of je updatepad volledig is (de fout wordt gekoppeld aan volledige core-upgrades).
- Let op logging en detectie rond update-momenten, omdat daar de meeste pogingen plaatsvinden.
Heb je meerdere omgevingen (productie, staging, test)? Zorg dat je de beveiligingsupdate eerst reproduceerbaar toepast in een gecontroleerde setting—maar vergeet daarna niet om ook productie meteen te updaten.
Praktische tip: combineer patching met “upgrade-veiligheid”
In de praktijk zien we dat aanvallen vaak pieken rond operationele momenten: deploys, configuratiewijzigingen en updates. Als je organisatie vaker systemen bijwerkt, helpt een vaste routine: plan onderhoudsvensters, monitor tijdens de update en schaal niet onnodig uit naar lange downtime of langdurige install-stappen.
Wil je aanvullende context over het herkennen en prioriteren van kwetsbaarheden in je omgeving? Lees dan ook Exposure prioritization: 4 elementen met bewijs om gerichter te beslissen wat je als eerste aanpakt.
Gerelateerd: waarom het blijft terugkomen in het web-ecosysteem
WordPress is een populair platform en daardoor een terugkerend doelwit. We zien vaker dat aanvallen niet alleen bestaan uit “probeer altijd”, maar uit gerichte acties rond processen (zoals installatie- of upgradepaden). Ook bij andere WordPress-gerelateerde incidenten draait het geregeld om het snel dichten van kwetsbaarheden en het beperken van het venster waarin een aanval kan slagen.
Een voorbeeld van hoe snel WordPress-kwetsbaarheden tot concrete schade kunnen leiden, staat in CryptoPayment Gateway WordPress: CVE-2026-81648. Hoewel het om een ander CVE en component gaat, laat het zien dat tijdige updates essentieel blijven.
Conclusie
De WordPress core kwetsbaarheid (CVE-2026-119977) is officieel bevestigd als actief misbruikt. Door een TOCTOU-race condition kunnen aanvallers, mits ze de timing raken tijdens een volledige core-update, ongeautoriseerd code uitvoeren.
De boodschap voor beheerders is daarom direct: patch WordPress Core nu en zorg dat je updateproces niet onnodig lang doorloopt. Zo verklein je het risico op misbruik tijdens het kritieke upgrade-window.
Bron: https://thehackernews.com/2026/11/cisa-confirms-hackers-exploiting.html
