Je WordPress-site loopt mogelijk gevaar: waarom je nu actie moet ondernemen

In dit artikel:

De makers van PHP waarschuwen voor twee ernstige kwetsbaarheden, CVE-2026-109618 en CVE-2026-109619, waarmee aanvallers mogelijk de inlogbeveiliging van websites kunnen omzeilen. Vooral WordPress-sites lopen risico, maar ook Joomla en andere systemen die PHP gebruiken zijn kwetsbaar. De bug, die ook PHP2Shell wordt genoemd, zou voorkomen in alle PHP-versies vanaf PHP 5 en kan volgens de berichtgeving met een Python-script worden misbruikt.

Vanwege de ernst — de kwetsbaarheid heeft een score van 9,2 op 10 — halen beheerders steeds meer websites volledig offline. Aanvankelijk werd gedacht dat het uitschakelen van formulieren en uploads voldoende zou zijn, maar dat blijkt mogelijk niet genoeg. De PHP-ontwikkelaars zouden om 16.00 uur meer informatie en mogelijk een patch publiceren. Hoe snel die update beschikbaar komt, hangt mede af van hostingbedrijven.

De bekendmaking stond oorspronkelijk voor donderdag gepland, maar werd door een informatielek vervroegd. Beheerders wordt aangeraden direct actie te ondernemen, ook als hun site weinig aantrekkelijk lijkt voor hackers: geautomatiseerde bots kunnen grote aantallen websites tegelijk aanvallen. Werkgevers met een WordPress-site wordt geadviseerd hun IT-verantwoordelijke te waarschuwen.