Vlak voor het weekend heeft WordPress een kritiek lek, bestaande uit twee losse lekken (CVE-2026-60137 en CVE-2026-63030), bekendgemaakt en hiervoor een update uitgebracht. Dit lek staat nu bekend onder de naam wp2shell. Via wp2shell kunnen niet-geautoriseerde personen bij WordPress-sites van versie 6.8 tot en met 7.0.1 een SQL-injectie uitvoeren. In de praktijk kan dit leiden tot volledige controle over de website en de mogelijkheid om code uit te voeren op de webserver.
Helaas zitten er in de versies vóór 6.8 ook genoeg kwetsbaarheden, waardoor eigenlijk geen enkele WordPress-site die niet op de laatste versie zit veilig is. Deze sites blijven vatbaar voor zeer gevaarlijke kwetsbaarheden. Er zijn ook al veel grote partijen geweest die rapporteren dat deze kwetsbaarheid actief op grote schaal wordt aangevallen en uitgebuit.
Wij raden iedereen dringend aan om ervoor te zorgen dat hun WordPress-site up-to-date is.
Voor onze WordPress SLA-klanten hebben wij de afgelopen dagen de WordPress Core geüpdatet naar versie 7.0.2 en daarmee deze kwetsbaarheid opgelost.
Heb je geen SLA-contract op je website, maar wil je wel dat wij de update voor je uitvoeren? Neem dan contact met ons op via help@megabite.nl.
Wil je hier helemaal geen omkijken meer naar hebben? Kijk dan even naar onze WP SLA-opties.