image

WordPress-sites aangevallen via kritiek beveiligingslek in plug-in Post SMTP

dinsdag 4 november 2025, 09:37 door Redactie, 7 reacties

WordPress-sites worden actief aangevallen via een kritieke kwetsbaarheid in de plug-in Post SMTP. Een beveiligingsupdate is sinds een aantal dagen beschikbaar, maar zo'n tweehonderdduizend websites hebben die niet geïnstalleerd. Post SMTP is een plug-in waarmee het mogelijk is om een SMTP-mailer in WordPress in te stellen voor het versturen van e-mail. Meer dan 400.000 websites op internet maken er gebruik van.

De kwetsbaarheid in de plug-in (CVE-2025-11833) zorgt ervoor dat een ongeauthenticeerde aanvaller op afstand elke gelogde e-mail kan lezen, waaronder e-mails met een link voor het resetten van wachtwoorden. Een aanvaller kan zo eerst een wachtwoordreset voor de administrator van de website aanvragen en vervolgens de verstuurde e-mail in de logbestanden lezen. Met de resetlink kan de aanvaller vervolgens een ander wachtwoord voor het admin-account instellen en zo de website overnemen.

De impact van de kwetsbaarheid is op een schaal van 1 tot en met 10 beoordeeld met een 9.8. De ontwikkelaars van de plug-in kwamen op 29 oktober met een beveiligingsupdate. Volgens cybersecuritybedrijf Wordfence maken aanvallers sinds 1 november misbruik van het beveiligingslek. Cijfers van WordPress.org laten zien dat zo'n tweehonderdduizend websites de update nog niet hebben geïnstalleerd.

Reacties (7)
Vandaag, 10:50 door Anoniem
Je kan bijna beter een artikel schrijven als er geen lek is in wordpress
Vandaag, 11:29 door Anoniem
Je laat een gelikte site maken. Na aanmaak en betaald te zijn, verdwijnt de developer uit beeld.
Het onderhoud vindt vervolgens niet plaats, want die er geen verstand van hebben, nemen de beslissingen
en die er verstand van hebben, doen er niet toe. Gevolg wat je boven leest.
Vandaag, 11:36 door Anoniem
Door Anoniem: Je kan bijna beter een artikel schrijven als er geen lek is in wordpress
Je kan beter goed lezen, en niet proberen stemming te maken, er is GEEN lek in Wordpress.
Er is een plug-in waarin een lek was, dit is door de ontwikkelaar van de plug-in opgelost, maar veel beheerders hebben de plug-in niet geudate.
Vandaag, 11:49 door Anoniem
Door Anoniem: Je kan bijna beter een artikel schrijven als er geen lek is in wordpress
Correctie, in een plug-in.
Als mensen research doen naar hun Wordpress werk en niet 1281 onnodige plug-ins op hun site zouden gooien dan voorkomen we dit soort geneuzel.

Echter is het in dit geval helaas anders, Post SMTP is een zeer veel gebruikte en redelijk hoog aangeschreven plug-in dus dit bericht is best jammer...

~FF
Vandaag, 12:02 door Anoniem
Door Anoniem: Je kan bijna beter een artikel schrijven als er geen lek is in wordpress

Het is geen lek in Wordpress, het is zoals gewoonlijk weer in een plugin.
Vandaag, 13:41 door Anoniem
Door Anoniem: Je laat een gelikte site maken. Na aanmaak en betaald te zijn, verdwijnt de developer uit beeld.
Het onderhoud vindt vervolgens niet plaats, want die er geen verstand van hebben, nemen de beslissingen
en die er verstand van hebben, doen er niet toe. Gevolg wat je boven leest.
Een site developer maakt mischien de site maar is niet waar je de beheer en monitoring onderplaatst na oplevering en daar gaat het meestal mis. *bij de klant*

Klanten denken lekker goedkoop uit te zijn omdat ze zo budget hosting bedrijf zien adverteren met 1 euro voor domein en 10 euro per jaar voor hosting die vervolgens auto-update aanzet en nooit meer naar omkijken als je al dat geluk hebt. Je kan als je beetje business sense hebt ook wel uitvogelen dat je daar niks voor terug krijgt met zulke bedragen maar helaas hoef je geen verplicht ondernemers examen af te ronden om een bedrijf te mogen leiden. Managed (site) hosting is er met een reden en ja dat kost geld als je niet zelf de verantwoordelijkheid wilt dragen voor het beheer of iemand in bedrijf in dienst al hebt (met verstand ervan)

Hoe vaak wij wel niet klanten krijgen die het na poos te duur vinden om een abonnement aan te houden en vervolgens maanden later met staart tussen benen terugkomen van een budget hoster of bij het neefje van omdat de site of compleet stuk is of gehijacked staat en ze geen ondersteuning krijgen. Vervolgens zijn ze driedubbel zo duur uit bij ons dan als ze gewoon normaal hadden betaald want tja nu moet je naast site maatwerk ook nog eens werk maken van domeinnaam en IP reputatie schade en SEO herstel verrichten.

Je kan Wordpress vervangen met elk willekeurig CMS dit is primair een klant als oorzaak en geen software probleem.
Vandaag, 13:54 door Briolet
Door Anoniem: Het is geen lek in Wordpress, het is zoals gewoonlijk weer in een plugin.

Daar kun je over discussiëren. Eigenlijk geeft Wordpress teveel privileges aan plugins. Men had veel strengere eisen kunnen opstellen, zoals ook voor browser plugins gebeurd.
Reageren
Ondersteunde bbcodes
Bold: [b]bold text[/b]
Italic: [i]italic text[/i]
Underline: [u]underlined text[/u]
Quote: [quote]quoted text[/quote]
URL: [url]https://www.security.nl[/url]
Config: [config]config text[/config]
Code: [code]code text[/code]

Je bent niet en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.