WordPress is gestart met het uitrollen van een geforceerde beveiligingsupdate voor meer dan 100.000 websites. Deze drastische maatregel volgt op de ontdekking van een kritieke kwetsbaarheid in de populaire plugin Pods. Het lek stelde onbevoegden in staat om beheerdersrechten te verkrijgen. Daarmee konden zij vrijwel volledige controle over een website overnemen.
Beveiligingsonderzoeker Nhien Pham ontdekte het probleem. Hij meldde dit op 10 augustus 2026 bij beveiligingsbedrijf Wordfence. Pham deed zijn melding verantwoord via een bugbountyprogramma. Deze vondst leverde de onderzoeker een beloning van 3.900 dollar op.
Geforceerde update
Vanwege de enorme ernst van het lek besloot het Pods-team direct in te grijpen. Zij werken samen met WordPress.org aan een geforceerde update. Kwetsbare installaties worden hierdoor automatisch naar een veilige versie bijgewerkt. Dit proces moet voorkomen dat tienduizenden websites ten prooi vallen aan hackers.
Ondanks deze automatische uitrol adviseert Wordfence beheerders om alert te blijven. Het is belangrijk om zelf te controleren of de nieuwste versie actief is. Versie 3.3.9.1 dicht de kwetsbaarheid volledig. Beveiligingspatches zijn ook met terugwerkende kracht toegevoegd aan oudere versies. Veilige varianten zijn onder meer 3.2.8.3, 3.1.4.2 en 3.0.10.4.
Volledige overname
De kwetsbaarheid zat diep in Pods. Deze populaire WordPress-plugin telt meer dan 100.000 actieve installaties. Beheerders gebruiken de tool om aangepaste contenttypes en velden aan hun site toe te voegen.
Aanvallers konden het lek misbruiken zonder te hoeven inloggen. Zo konden zij hun rechten eenvoudig verhogen tot administratorniveau. Een hacker kon vervolgens wachtwoorden van bestaande gebruikers aanpassen. Zelfs het account van de website-eigenaar was niet veilig voor deze aanval.
Firewallregel
Het ontwikkelteam van Pods werd op 12 augustus op de hoogte gebracht. Twee dagen later verscheen de verlossende patch al online. Vooruitlopend op de update ontwikkelde Wordfence een extra firewallregel. Betalende gebruikers kregen hiermee op 12 augustus direct bescherming tegen bekende exploits. Gebruikers van de gratis versie ontvangen deze firewallregel dertig dagen later, op 11 september.
Gevolgen
De kwetsbaarheid laat zien waarom WordPress in dit soort gevallen hard ingrijpt. Eén fout in een veelgebruikte plugin kan in korte tijd enorme schade aanrichten. De geforceerde update voorkomt nu erger. Toch blijft het voor beheerders essentieel om hun plugins altijd actief te beheren en bij te werken.