Nieuws
image

Wordpress 7.1.1 verhelpt 11 kwetsbaarheden

dinsdag 22 september 2026, 12:03 door Redactie, 6 reacties

WordPress heeft versie 7.1.1 uitgebracht waarin totaal 11 kwetsbaarheden worden verholpen. De kwetsbaarheden omvatten onder andere Cross Site Scripting, Path Traversal, ontbrekende autorisatie en een kwetsbaarheid ("Click2Shell") die onder specifieke omstandigheden kan leiden tot het uitvoeren van code op de server.

Met behulp van de Click2Shell kwetsbaarheid kan een aanvaller een beheerder van een WordPress installatie via een speciaal geprepareerde link automatisch een theme laten installeren en "previewen". Een kwetsbaarheid in het automatisch geïnstalleerde theme kan vervolgens worden misbruikt om code op de server uit te voeren.

Pwn.ai rapporteerde de kwetsbaarheid op 22 augustus aan WordPress. Op 17 september verscheen de nieuwe versie van WordPress, inclusief patches voor de Click2Shell kwetsbaarheid. Op 18 september verscheen een technische write-up van de kwetsbaarheid op pwn.ai

Aanvullend op het verhelpen van de kwetsbaarheden zijn in de nieuwe versie tevens 17 bugs in WordPress Core en 19 bugs in de Block Editor verholpen. Gebruikers van WordPress worden opgeroepen om de nieuwe versie zo snel mogelijk te installeren. De update kan direct vanuit het WordPress Dashboard worden geïnstalleerd. Voor installaties die gebruikmaken van "automatic background updates" wordt de update automatisch geïnstalleerd.

Reacties (6)
Reageer met quote
22-09-2026, 16:40 door Drs Security en Privacy
7.1.2 is inmiddels ook al uit.
Gaat lekker zo.
Vibe coding?
Reageer met quote
23-09-2026, 09:37 door Anoniem
Valt nog mee dat de kwetsbaarheden überhaupt te verhelpen zijn.

Het grootste probleem is het gebrek aan controle via PHP, geen strikte types net als C, en dat je per functie op bijna 10 plekken kan configureren, waarvan de werking ook nog eens afhankelijk is van de build (NTS of niet). Hetzelfde voor MySQL, je kan er vanalles mee als ze het maar zelf bouwt. Het schiet niet heel erg op allemaal, ze hebben nog steeds meer oog voor nieuwe taalfeatures dan dat ze hebben om de interne inconsistentie te verbeteren.
En als ze dat verbeteren zoals met de overgang van PHP 7 naar 8, dan gaat dat gepaard met idiote zaken als het herzien van de werking van booleaanse logica in PHP. Vanuit ontwikkelingsperspectief en dus security blijft PHP en dus WordPress om te huilen.
Reageer met quote
23-09-2026, 14:22 door Anoniem
Door Drs Security en Privacy: 7.1.2 is inmiddels ook al uit.
Gaat lekker zo.
Vibe coding?
Dat is voor Wordpress niet nodig. Die code is werkelijk een brok spaghetti. Van MVC hebben ze daar nog nooit gehoord.

Realiseer je dat coding AI's gevoed worden met code om te leren. Dat is dus mogelijk ook Wordpress code en andere ellende. Happy vibe-coding... :|
Reageer met quote
24-09-2026, 19:15 door Anoniem
Door Anoniem: Valt nog mee dat de kwetsbaarheden überhaupt te verhelpen zijn.

Het grootste probleem is het gebrek aan controle via PHP, geen strikte types net als C, en dat je per functie op bijna 10 plekken kan configureren, waarvan de werking ook nog eens afhankelijk is van de build (NTS of niet). Hetzelfde voor MySQL, je kan er vanalles mee als ze het maar zelf bouwt. Het schiet niet heel erg op allemaal, ze hebben nog steeds meer oog voor nieuwe taalfeatures dan dat ze hebben om de interne inconsistentie te verbeteren.
En als ze dat verbeteren zoals met de overgang van PHP 7 naar 8, dan gaat dat gepaard met idiote zaken als het herzien van de werking van booleaanse logica in PHP. Vanuit ontwikkelingsperspectief en dus security blijft PHP en dus WordPress om te huilen.

Je hebt overduidelijk een hekel aan PHP en dat mag. Maar je conclusie dat de fouten in Wordpress door PHP komen is onjuist. Met PHP is prima een veilige website te maken. Vele websites bewijzen dat. Al mijn websites zijn gebouwd met PHP en draaien al vele jaren zonder enige security-probleem. Vele draaien zelf vele jaren zonder enige update. Een goed stuk software schrijven zit in de ontwikkelaar die de gebruikte taal goed beheerst. Of je nou PHP, Java, C# of Python gebruikt maakt daarin niks uit. Ook MySQL gebruiken is prima zolang je weet hoe die database werkt.
Reageer met quote
26-09-2026, 22:49 door Anoniem
Als er één categorie websites is die vaak worden gehackt, dan zijn het wel de PHP-websites. Juist omdat er zoveel mensen op af komen die het eigenlijk niet zo goed weten.
Het enige waar je mij van mag bekritiseren is hypocrisie: ik ben lang geleden begonnen in PHP (na een paar jaren van BASIC en i80286 ASM, Pascal, C en C++) om webdevelopment te leren. Maar in de decennia die volgden heb ik eindeloos veel domme struikelblokken meegemaakt die standaard in PHP zitten gebakken, te veel om op te noemen.
Ik zou zeggen: laat een PEN-test uitvoeren op je websites, en ontdek hoe 'veilig' PHP echt is.
Reageer met quote
28-09-2026, 11:44 door Anoniem
Door Anoniem:
Ik zou zeggen: laat een PEN-test uitvoeren op je websites, en ontdek hoe 'veilig' PHP echt is.
Vaak genoeg gedaan. Daar is nooit iets serieus uitgekomen. En uit de logs maak ik op dat mijn PHP websites continu 'getest' getest worden op beveiliging. Allemaal kansloos. Met PHP zijn prima veilige websites te maken. Of het resultaat veilig is, is puur afhankelijk van de ontwikkelaar en niet de ontwikkeltaal.
Reageren
Ondersteunde bbcodes
Bold: [b]bold text[/b]
Italic: [i]italic text[/i]
Underline: [u]underlined text[/u]
Quote: [quote]quoted text[/quote]
URL: [url]https://www.security.nl[/url]
Config: [config]config text[/config]
Code: [code]code text[/code]

Je bent niet en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.

Zoeken
search
Certified Secure GenAI Deep Dive Security Training
Security Awareness Ransomware Edition