kort antwoord
WordPress heeft in drie weken drie beveiligingsreleases uitgebracht (7.1.1, 7.1.2 en 7.1.3). Update naar 7.1.3 als je dat nog niet hebt gedaan, want 7.1.2 dicht een kritiek lek waar al misbruik van wordt gemeld.
Op 17 september, 22 september en 6 oktober 2026 bracht WordPress drie beveiligingsreleases uit: 7.1.1, 7.1.2 en 7.1.3. Dat is veel in korte tijd. De belangrijkste is 7.1.2, want die verhelpt een kwetsbaarheid met ernst “critical”. Draait je site nog op een oudere versie, dan is updaten vandaag de juiste actie.
Wat is er aan de hand?
WordPress heeft de laatste weken drie keer achter elkaar beveiligingsfixes uitgebracht. Dit zijn de drie releases:
| Versie | Datum | Wat zit erin |
|---|---|---|
| 7.1.1 | 17 september 2026 | 11 beveiligingsfixes, 17 bugfixes voor Core en 19 voor de blokeditor |
| 7.1.2 | 22 september 2026 | Fix voor een kritieke kwetsbaarheid |
| 7.1.3 | 6 oktober 2026 | 7 beveiligingsfixes en 4 bugfixes |
De releases bouwen op elkaar voort. Wie 7.1.3 draait, heeft alle fixes uit de eerdere twee ook. Je hoeft dus niet drie keer te updaten, alleen één keer naar de nieuwste versie.
Hoe ernstig is het lek in 7.1.2?
Volgens de aankondiging van WordPress kan een niet-ingelogde aanvaller er onder bepaalde omstandigheden voor zorgen dat WordPress een willekeurig leesbaar PHP-bestand van de server laadt, buiten de map van je actieve thema. Als de serveromgeving en het actieve thema aan bepaalde voorwaarden voldoen, kan dat leiden tot remote code execution. Dat betekent dat een aanvaller zijn eigen code op jouw server kan laten draaien. Het lek is verantwoord gemeld door Robert Ressl en heeft nummer CVE-2026-87902.
De Cyber Security Agency van Singapore waarschuwde op 24 september dat het lek naar verluidt actief wordt misbruikt en dat er een openbare proof-of-concept bestaat. Zij geven het een CVSS-score van 8,1 op 10. Haar advies is even kort als dat van WordPress: direct patchen.
Let op de nuance: de aanval werkt niet op elke site. Er moeten specifieke voorwaarden aan server en thema zijn voldaan. Dat is geen reden om te wachten. Je weet zelf niet zeker of jouw combinatie erbij hoort, en een openbare exploit maakt geautomatiseerd uitproberen eenvoudig.
Wat is er opgelost in 7.1.3?
De release van 6 oktober bevat zeven beveiligingsfixes. Een aantal daarvan raakt sites van gewone mkb-bedrijven:
- een stored XSS op de beheerpagina voor reacties via wachtende reacties (XSS is een lek waarbij kwaadaardige scripts in een pagina worden uitgevoerd);
- een second-order SQL-injectie in de WXR-export, het exportbestand van WordPress;
- een zwakte waardoor gebruikers met de rol Author berichten als sticky kunnen instellen;
- het onthullen van reacties op privé- en niet-gepubliceerde berichten aan niet-ingelogde bezoekers;
- een XSS-kwetsbaarheid in Imgur-embeds;
- een DoS-probleem in WP_Http::make_absolute_url(), dat een server kan overbelasten;
- vervalsbare parameters bij de hook {status}_{type}, die kunnen leiden tot botsende actienamen.
Niet elk van deze lekken zal jouw site raken. Samen laten ze wel zien hoe het werkt: beveiligingsreleases komen in clusters, en wie een week wacht, loopt een week met bekende gaten.
Welke versies zijn getroffen?
De Singaporese waarschuwing noemt alle WordPress-versies voor 7.1.2 als getroffen. WordPress zelf noemt geen lijst met kwetsbare versies, maar meldt wel dat de fix voor dit kritieke lek is teruggezet naar alle oudere branches die nog beveiligingsfixes krijgen, tot en met 4.7. Voor de fixes uit 7.1.3 zijn die backports nog bezig. Ook meldt WordPress dat alleen de nieuwste versie actief wordt ondersteund.
De conclusie voor jou: update naar 7.1.3. Kun je niet meteen naar de nieuwste hoofdversie, installeer dan in elk geval de laatste beveiligingsrelease van jouw versie.
Wat moet je nu doen?
- Check je versie. Log in op WordPress, ga naar Dashboard en dan Updates. Daar zie je welke versie je draait.
- Maak eerst een back-up van bestanden en database, zeker als je site een webshop is.
- Update naar 7.1.3. Klik op “Update Now”, of download de release via WordPress.org.
- Controleer je site daarna. Loop de belangrijkste pagina’s na, en bij een webshop ook het afrekenen.
- Update thema en plug-ins als daar ook updates klaarstaan.
- Kijk in de gebruikerslijst of er accounts staan die je niet kent. Zie je er een, verwijder die dan en wijzig de wachtwoorden van beheerders.
WordPress meldt dat sites met automatische achtergrondupdates de release uit zichzelf starten. Dat helpt, maar controleer toch of het gelukt is. Automatische updates kunnen zijn uitgeschakeld door je hosting of door een plug-in.
Hoe voorkom je dat dit een crisis wordt?
Drie beveiligingsreleases in drie weken laten zien dat een jaarlijkse update niet meer volstaat. Zet vaste momenten in je agenda, of laat het uit handen nemen. In ons artikel Website onderhoud: wat houdt het in? lees je wat er bij onderhoud hoort en hoe vaak je moet bijwerken. Wil je het niet zelf doen, kijk dan naar onderhoud en hosting, waar updates, back-ups en monitoring vanzelf draaien.
Veelgestelde vragen
Nee. Elke nieuwe versie bevat de fixes van de vorige. Update direct naar de nieuwste versie, dat is 7.1.3.
Niet per se. De aanval werkt alleen onder bepaalde voorwaarden voor server en thema. Controleer wel op onbekende gebruikers, onbekende bestanden en vreemd gedrag, en update meteen.
Alleen als achtergrondupdates op jouw site aanstaan. Kijk in het Dashboard onder Updates of je op de nieuwste versie zit. Zo niet, update dan handmatig.
Het kan, vooral door plug-ins die niet met de nieuwe versie overweg kunnen. Daarom maak je eerst een back-up en test je daarna de belangrijkste functies. Bij een beveiligingsrelease weegt het risico van niet updaten zwaarder.