Nieuws
image

WordPress.org forceert update op 100.000 websites wegens kritiek Pods-lek

maandag 24 augustus 2026, 12:12 door Redactie, 8 reacties

WordPress.org heeft wegens een kritieke kwetsbaarheid op meer dan 100.000 websites een beveiligingsupdate geforceerd geïnstalleerd. Het beveiligingslek in kwestie bevindt zich in de plug-in Pods. Via Pods kunnen WordPress-beheerders nieuwe soorten content-onderdelen creëren en aanpassen. Het voegt op deze manier extra functionaliteit toe aan WordPress. Meer dan 100.000 WordPress-sites maken gebruik van de plug-in.

Een kwetsbaarheid in een functie van Pods zorgt ervoor dat een ongeauthenticeerde aanvaller het wachtwoord van een willekeurige gebruiker kan overschrijven, zoals de admin-user. Op deze manier kan er volledige controle over de website worden verkregen. Via de kwetsbare functie is het ook mogelijk om willekeurige bestanden te verwijderen, PHP naar een bestand te schrijven of andere admin-acties uit te voeren.

De ontwikkelaar van de plug-in werd op 12 augustus ingelicht en kwam op 14 augustus met versie 3.3.9.1 waarin het probleem is verholpen, zo meldt cybersecuritybedrijf Wordfence. Dat heeft nu de details van het probleem openbaar gemaakt. WordPress-sites kunnen ervoor kiezen om updates voor plug-ins automatisch te laten installeren, maar er zijn ook websites waar dit niet staat ingeschakeld.

WordPress.org beschikt echter over de mogelijkheid om updates geforceerd te installeren, wat het doet bij zeer kritieke of actief misbruikte kwetsbaarheden. In het verleden is hier een aantal keren gebruik van gemaakt. Vanwege de impact van het Pods-lek is nu opnieuw besloten een 'forced update' uit te voeren op alle websites die van de plug-in gebruikmaken, ongeacht of ze het automatisch updaten van plug-ins hebben ingeschakeld.

Reacties (8)
Reageer met quote
24-08-2026, 12:45 door Drs Security en Privacy
Hmm, het lijkt natuurlijk een goede actie, maar ik vraag me af of je er zo blij van wordt dat een groepje vrijwilligers geforceerd updates kan installeren op websites waar ze feitelijk niet over gaan noch over zouden moeten gaan.
(okay er zit een flinke commerciële partij achter wordpress.org, maar dan nog).
Reageer met quote
24-08-2026, 14:30 door Anoniem
Door Drs Security en Privacy: Hmm, het lijkt natuurlijk een goede actie, maar ik vraag me af of je er zo blij van wordt dat een groepje vrijwilligers geforceerd updates kan installeren op websites waar ze feitelijk niet over gaan noch over zouden moeten gaan.
(okay er zit een flinke commerciële partij achter wordpress.org, maar dan nog).
Je kan dit gelukkig uitzetten en een beetje beheerder van Wordpress weet dat wel te vinden.
Je kan een mooi voorbeeld hier vinden om op voort te bouwen.
https://peymanfarahani.com/tutorials/disable-wordpress-updates/

Ik zou zelf nooit vertrouwen op geforceerde updates van derden wat het ook is maar wel aangegeven wij beschikken over management servers om alles zelf centraal te regelen over alle domeinen in beheer. Als je dat niet hebt en je controleert je updates ook niet per uur of per dag dan is zo een geforceerde update voor kritische beveiliging issues een acceptabele middelweg.

De realiteit is nu eenmaal dat er veel site beheer cowboys en bedrfijven zijn die opsec niet serieus genoeg nemen.
En helaas krijgt of PHP of Wordpress dan weer de schuld van buitenstaanders.
Reageer met quote
24-08-2026, 16:30 door Anoniem
Oef. Ongeauthenticeerde payload, daarmee de admin user overschrijven, dan ook nog PHP naar een bestand laten schrijven. Defacing van je WP instantie is dan wel je minste zorg, heel je doos kan overgenomen zijn. Met custom PHP in een bestand is een foothold naar een reverse shell al goed mogelijk.

Ik snap de geforceerde push wel, zelfs al zou ie WP instantie onbruikbaar maken, dan ben je nog steeds beter af dan de situatie ervoor.
Reageer met quote
24-08-2026, 17:17 door Anoniem
Gaap, weer WP en PHP...
Reageer met quote
24-08-2026, 18:12 door Anoniem
Door Anoniem: Gaap, weer WP en PHP...
Gaap daar is anoniem weer met zijn onliner.
Reageer met quote
25-08-2026, 10:08 door Drs Security en Privacy
Door Anoniem:
Door Drs Security en Privacy: Hmm, het lijkt natuurlijk een goede actie, maar ik vraag me af of je er zo blij van wordt dat een groepje vrijwilligers geforceerd updates kan installeren op websites waar ze feitelijk niet over gaan noch over zouden moeten gaan.
(okay er zit een flinke commerciële partij achter wordpress.org, maar dan nog).
Je kan dit gelukkig uitzetten en een beetje beheerder van Wordpress weet dat wel te vinden.
Je kan een mooi voorbeeld hier vinden om op voort te bouwen.
https://peymanfarahani.com/tutorials/disable-wordpress-updates/

Ik zou zelf nooit vertrouwen op geforceerde updates van derden wat het ook is maar wel aangegeven wij beschikken over management servers om alles zelf centraal te regelen over alle domeinen in beheer. Als je dat niet hebt en je controleert je updates ook niet per uur of per dag dan is zo een geforceerde update voor kritische beveiliging issues een acceptabele middelweg.

De realiteit is nu eenmaal dat er veel site beheer cowboys en bedrfijven zijn die opsec niet serieus genoeg nemen.
En helaas krijgt of PHP of Wordpress dan weer de schuld van buitenstaanders.
Dank, ga ik even naar kijken.
Auto updates staan zowiezo uit en check regelmatig wat de updates zijn inclusief de changelogs.

Opzich zou zo'n actie geen issue hoeven te zijn, het is echter wel zo dat de toko achter wordpress nogal eens ruzie zoekt met de vermeende competitie (WP-Engine bijvoorbeeld maar er zijn ook anderen geweest).
Dat maakt het potentieel een aardig extra security risico.
Reageer met quote
25-08-2026, 13:56 door Anoniem
Door Drs Security en Privacy: Hmm, het lijkt natuurlijk een goede actie, maar ik vraag me af of je er zo blij van wordt dat een groepje vrijwilligers geforceerd updates kan installeren op websites waar ze feitelijk niet over gaan noch over zouden moeten gaan.
(okay er zit een flinke commerciële partij achter wordpress.org, maar dan nog).

Off-topic, maar waarom zou je een commerciele partij hier wel mee vertrouwen? Zou je wordpress dan ook meer vertrouwen als je eerst geld naar hen hebt overgemaakt?
Reageer met quote
25-08-2026, 21:30 door Anoniem
Door Anoniem: Gaap, weer WP en PHP...
Je hebt gelijk, de wereld verandert er toch niet door. Iederen blijft maar spijkers in muren meppen met een schroevendraaier. Moeten ze eigenlijk ook maar zelf weten. Ik zal wel privé blijven gapen bij elk WP bericht, dan hebben jullie daar geen last meer van, kan je rustig verder met WP.
Reageren
Ondersteunde bbcodes
Bold: [b]bold text[/b]
Italic: [i]italic text[/i]
Underline: [u]underlined text[/u]
Quote: [quote]quoted text[/quote]
URL: [url]https://www.security.nl[/url]
Config: [config]config text[/config]
Code: [code]code text[/code]

Je bent niet en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.

Zoeken
search
Certified Secure GenAI Deep Dive Security Training
Security Awareness Ransomware Edition