Kritieke WordPress XSS‑patch – update nu om je site te beschermen

Hook – Je WordPress‑site kan vandaag nog gekaapt worden

Stel je voor: een bezoeker klikt op een kapotte link, ziet een onschuldig inlogscherm en – zonder wachtwoord in te voeren – wordt er een verborgen stukje code in de browser uitgevoerd. Klikt later een beheerder van je site op een willekeurige link, dan kan die code uitgroeien tot een volledige servercompromittering. Dat is precies wat de recent onthulde kwetsbaarheid in WordPress (CVE‑2026‑64638) kan doen, en hij treft alle nog gebruikte versies van het platform.

De oplossing is al beschikbaar. Veel sites updaten niet automatisch, waardoor de deur open blijft voor aanvallers. Als je een WordPress‑website draait, moet je nu handelen.

WordPress‑sites zijn momenteel blootgesteld aan een kritieke XSS‑fout. Door nu te updaten, voorkom je dat aanvallers je admin‑account kapen.

Wat is de WordPress‑XSS‑kwetsbaarheid?

Cross‑site scripting (XSS) is een techniek waarbij kwaadwillende JavaScript in een pagina wordt geïnjecteerd die anderen bekijken. In dit geval zit de fout op het inlogscherm – de pagina die je ziet wanneer jij of een klant probeert in te loggen.

1. Geen inlog nodig – De aanvaller hoeft alleen een speciaal samengestelde gebruikersnaam in het inlogformulier te plaatsen.
2. De script wordt direct uitgevoerd – De foutpagina van WordPress toont de kwaadaardige code zonder extra klikken.
3. Als een admin later ergens op klikt – Het verborgen script kan communiceren met de backend van WordPress en uiteindelijk PHP‑code uitvoeren (de programmeertaal waarop WordPress draait) op jouw server.

In gewone taal: een bezoeker kan worden misleid naar een schadelijke pagina, en zodra een beheerder van je site op een link klikt, krijgt de aanvaller dezelfde toegang als de admin. Dat betekent onder andere plugins installeren, data stelen of je hele site offline halen.

Waarom dit belangrijk is voor jouw bedrijf

• Je site ziet er normaal uit, maar het risico zit verborgen. De kwetsbaarheid zit in het inlogscherm, niet in de zichtbare content. Je merkt niets tot het te laat is.
• Alle versies zijn getroffen. Zelfs de nieuwste WordPress 7.0.3 is kwetsbaar als je de patch van 6 augustus 2026 nog niet hebt toegepast.
• Één klik van een admin kan alles compromitteren. Klikt een medewerker op een kwaadaardige link – bijvoorbeeld in een e‑mail of op social media – dan kan de aanvaller volledige controle over de server krijgen, met mogelijke blootstelling van klantgegevens, bestelinformatie of vertrouwelijke bestanden.
• Compliance en reputatie staan op het spel. Een datalek kan leiden tot GDPR‑boetes, verlies van vertrouwen en aanzienlijke herstelkosten.

Hoe los je de WordPress‑XSS‑kwetsbaarheid nu op?

1. Controleer je WordPress‑versie

   • Log in op je WordPress‑dashboard.
   • Kijk in het vak “In één oogopslag” op het startscherm of ga naar Dashboard → Updates.
   • Als je iets ouder ziet dan 7.0.3 (of de laatste 4.7‑branch release), moet je updaten.

2. Pas de officiële patch toe

   • Klik op de knop Update Now op de Updates‑pagina. WordPress downloadt en installeert de beveiligingsrelease automatisch.
   • Als je de site via een hosting‑controlpanel beheert, zoek dan naar een optie “WordPress Update” en voer die uit.

3. Schakel automatische achtergrond‑updates in

   • In Dashboard → Updates, vink het vakje “Automatische updates voor WordPress‑core inschakelen” aan.
   • Zo worden toekomstige beveiligingsreleases zonder jouw tussenkomst geïnstalleerd.

4. Maak een backup vóór je updatet (optioneel maar veilig)

   • De meeste managed hosts maken dagelijks automatische backups. Als je zelf back‑upt, maak dan een verse kopie van zowel de database als de bestanden voordat je op “Update Now” klikt.
   • Een backup laat je snel terugrollen als een plugin conflicteert met de nieuwe versie.

5. Test kritieke functionaliteit

   • Controleer na de update een paar belangrijke pagina’s (bijv. checkout van je webshop, contactformulier, boekingssysteem) om te bevestigen dat alles werkt.
   • De meeste plugins zijn compatibel met de nieuwste WordPress, maar een snelle test voorkomt later hoofdpijn.

6. Overweeg een managed security‑service

   • Als je liever niet zelf aan updates, backups of monitoring denkt, laat dan experts het voor je doen. (Zie de afsluitende paragraaf.)

WordPress XSS FAQ

Moet ik een backup maken vóór het updaten? Ja, vooral als je eigen plugins of thema’s gebruikt. Een backup beschermt je tegen zeldzame gevallen waarin een update een conflict veroorzaakt.

Zorgt de update voor problemen met mijn plugins of thema? WordPress streeft naar achterwaartse compatibiliteit en de beveiligingspatch is een kleine wijziging. De meeste goed onderhouden plugins blijven werken. Mocht er toch een plugin breken, dan brengt de ontwikkelaar meestal snel een fix uit.

Mijn host zegt “WordPress‑updates zijn automatisch” – is dat voldoende? Automatische updates zijn handig, maar ze hangen af van de configuratie van de host. Controleer of de nieuwste versie (7.0.3 of hoger) daadwerkelijk geïnstalleerd is en vraag je host om bevestiging dat de patch is toegepast.

Wat als ik zelf niet comfortabel ben met updaten? Je kunt de taak uitbesteden aan een betrouwbare partner. Een managed service voert updates uit, houdt nieuwe kwetsbaarheden in de gaten en reageert direct bij incidenten.

Afsluiting – waarom IT Move NL kan helpen

Een website veilig houden is een full‑time klus, en je hebt al genoeg aan je hoofd met het runnen van je bakkerij, tandartspraktijk of een kleine logistieke vloot. Onze Security & Protection‑service neemt de zorgen rondom WordPress‑onderhoud uit handen:

• Patch‑management – Wij voeren WordPress‑core‑updates direct uit zodra ze beschikbaar zijn, zonder dat jij iets hoeft te doen.
• Continue kwetsbaarhedenscans – Onze tools scannen dagelijks je site op nieuwe bedreigingen, zodat je altijd een stap voor blijft.
• 24/7 incident‑respons – Als er iets onverwachts gebeurt, springen onze experts meteen in om het probleem te beperken en op te lossen.

Laat ons de technische kant regelen zodat jij je kunt focussen op de groei van je bedrijf. Wil je dat experts je site veilig houden? Onze Security & Protection‑service regelt updates, monitoring en 24/7‑respons – neem vandaag nog contact op via Contact IT Move NL en zorg dat je WordPress‑site veilig, snel en betrouwbaar blijft.

---

Bronnen:

• New WordPress Pre-Auth XSS Could Lead to PHP Code Execution - Patch ASAP