Een kritieke kwetsbaarheid in de populaire WordPress-plug-in Elementor Pro maakt het mogelijk voor ongeauthenticeerde aanvallers om WordPress-sites volledig over te nemen. Via het beveiligingslek kan een aanvaller PHP-bestanden naar de webserver uploaden en uitvoeren. Vervolgens is het mogelijk om backdoors te installeren of malafide admin-accounts aan te maken. Cybersecuritybedrijf Patchstack verwacht dat aanvallers actief misbruik van het lek zullen gaan maken. Elementor Pro zou naar schatting op zo'n zes miljoen websites draaien.
Elementor is een zogeheten "page builder" plug-in die de standaard WordPress-editor vervangt. Het biedt gebruikers meer vrijheid en mogelijkheden voor het vormgeven van hun WordPress-site en introduceert allerlei extra functionaliteit. Naast de gratis Elementor-plug-in, die op meer dan tien miljoen websites draait, is er ook de betaalde plug-in Elementor Pro die nog meer opties en mogelijkheden toevoegt. Een kritieke kwetsbaarheid in de pro-versie van de plug-in zorgt ervoor dat een aanvaller uitvoerbare bestanden naar de webserver kan uploaden.
Bij het verwerken van geuploade bestanden voert de plug-in twee stappen uit. Tijdens de eerste stap wordt de extensie van het bestand gecontroleerd. Bij de tweede stap wordt het bestand naar een publiek toegankelijke directory verplaatst. De kwetsbaarheid doet zich voor wanneer een bestand wordt geupload met een lege bestandsnaam. Dit zorgt ervoor dat de resterende bestanden in hetzelfde uploadveld niet meer worden gecontroleerd, aldus cybersecuritybedrijf Wordfence. Vereiste voor misbruik is wel dat de WordPress-site een gepubliceerde Elementor-pagina met een Form widget en uploadveld heeft.
De makers van Elementor Pro werden op 16 juli over de kwetsbaarheid (CVE-2026-32475) ingelicht. Op 19 augustus verscheen versie 4.2.2 waarin het probleem is verholpen. In tegenstelling tot plug-ins die via WordPress.org worden aangeboden zijn van betaalde WordPress-plug-ins geen downloadcijfers bekend. Het is daardoor onbekend hoeveel sites nog een kwetsbare versie draaien. Andere beveiligingslekken in Elementor Pro zijn in het verleden misbruikt bij aanvallen.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Information Security en Data Privacy Officer
Toe aan een baan waar je een positieve impact maakt op de wereld om je heen? Waar je samen met collega’s een bijdrage levert aan minder afval en echt waarde toevoegt met jouw werk. Pak dan nu je kans en word onze nieuwe Information Security en Data Privacy Officer!
Senior IT Security Officer
Utrecht heeft jou nodig! Wil jij de gemeente Utrecht helpen beschermen tegen cyberdreigingen en datalekken? Als Senior IT Security Officer vertaal je beveiligingsbeleid naar technische oplossingen, voer je risicoanalyses uit en werk je aan innovatieve projecten om onze digitale veiligheid te versterken. Solliciteer nu!
