Je website, gepatcht voordat aanvallers er zijn.

WordPress 7.1.4 fixes 22 issues, including RCE during core updates

De release verhelpt een race-conditie in het volledige updateproces die een aanvaller zonder inloggen kan omzetten in code-uitvoering, plus veel stored-XSS-fouten. Wordfence zag binnen 21 uur meer dan 18.500 verzoeken op het tijdelijke installatiepad en de fixes worden teruggezet tot en met branch 4.7.

Getroffen: WordPress 4.7.0 through 7.1.3 (fixed in 7.1.4 and backports such as 6.9.11, 7.0.8)

Bronnen: WordPress.org, Wordfence

Node.js Brotli flaw (Node2Shell) added to CISA exploited list

Een schrijffout buiten het geheugenbereik in de Brotli-decoder van node:zlib kan een proces laten crashen, geheugen lekken en in het ergste geval code uitvoeren, en CISA zette het lek op 27 oktober op de lijst met misbruikte kwetsbaarheden. Volgens de analyse van Akamai draait 61 procent van de netwerken die het ziet een kwetsbare Node.js-versie en is upgraden de enige volledige oplossing.

Getroffen: Node.js 22 before 22.23.4, 24 before 24.22.1, 26 before 26.12.1; end-of-life lines unpatched

• CVE-2026-111497

Bronnen: Akamai, CISA KEV catalog feed, Node.js

Magento PolyShell file upload flaw added to CISA exploited list

CISA nam een kwetsbaarheid voor onbeperkte bestandsupload in Adobe Commerce en Magento die code-uitvoering kan geven op in de misbruiklijst. Winkeleigenaren moeten controleren of ze de patch van de leverancier draaien en zoeken naar geplaatste bestanden.

Getroffen: Adobe Commerce and Magento (see Adobe bulletin)

• CVE-2026-48356

Bronnen: CISA KEV catalog feed

PHP Windows builds rebuilt with a Brotli fix reachable through cURL

PHP publiceerde opnieuw gebouwde Windows-pakketten met Brotli 1.2.1 om een schrijffout buiten het geheugenbereik in Brotli-decompressie te verhelpen. De decoder is bereikbaar via de cURL-extensie als automatische decompressie van antwoorden aan staat, wat standaard uit staat.

Getroffen: PHP for Windows 8.2.35, 8.3.36, 8.4.27, 8.5.12 builds before the -1 rebuild

• CVE-2026-111497

Bronnen: php.net news, CISA KEV catalog feed

Reported PHP2Shell intrusion took over 24 firewalls in a government environment

Dream meldde dat een aanvaller de PHP2Shell-exploit aanpaste aan een niet bij naam genoemd firewallproduct en een Linux-kernelfout toevoegde om 24 firewalls en een beheerserver over te nemen. Wordfence merkt op dat de leverancier niet wordt genoemd, dat het de claim niet heeft geverifieerd en dat het geen WordPress betreft.

Getroffen: Internet-facing firewalls running PHP management interfaces

• CVE-2026-109618

Bronnen: Wordfence

PHP flags a third, unlikely RCE path via session upload progress

PHP maakte nog een mogelijk lek voor code-uitvoering bekend dat alleen werkt als een applicatie tijdens het draaien de serialize-handler van sessies wijzigt terwijl upload-voortgang van sessies nog aan staat. Het project publiceert het volledige advies voor CVE-2026-115560 bij de volgende reguliere release en adviseert tot dan session.upload_progress.enabled=0 in te stellen.

Getroffen: PHP installations with unusual session configuration (php_binary or php_serialize switched to php via ini_set before session_start)

• CVE-2026-115560

Bronnen: php.net news, CERT-EU, Wordfence

PHP2Shell: two critical PHP flaws allow unauthenticated code execution

PHP bracht noodreleases uit voor twee lekken waarmee een enkel verzoek zonder inloggen code kan uitvoeren, een via geheugenbeschadiging bij te weinig geheugen en een via aanvraagstatus die langer blijft bestaan dan het geheugen. De details lekten een dag te vroeg uit, er werden aanvallen gezien vanaf 21 oktober en CISA zette beide lekken op 26 oktober op de lijst met misbruikte kwetsbaarheden.

Getroffen: PHP 8.2 before 8.2.35, 8.3 before 8.3.36, 8.4 before 8.4.27, 8.5 before 8.5.12; PHP 8.1 and older have no official fix; all web SAPIs including mod_php, PHP-FPM, php-cgi, FrankenPHP, LiteSpeed

• CVE-2026-109618
• CVE-2026-109619

Bronnen: CISA alert, watchTowr, CERT-EU, Huntress, php.net news, CISA KEV catalog feed

Node.js and WordPress update root certificates after eMudhra CA compromise

Node.js ververste zijn meegeleverde certificaatopslag nadat de tussenliggende CA van eMudhra was gecompromitteerd en WordPress 7.1.4 werkte zijn rootcertificaten bij na de intrekking. Sites met een eigen certificaatopslag moeten hetzelfde doen.

Getroffen: Bundled CA stores in Node.js 22, 24, 26 and WordPress

Bronnen: Node.js, WordPress.org

Node.js October security release fixes 10 CVEs, four rated high

De release loste vier ernstige problemen op, een Brotli-schrijffout buiten het geheugenbereik en drie fouten in TLS- of DNS-naamverwerking waardoor een certificaat voor de ene naam een andere host kan authenticeren, plus zes middelzware en lichte problemen. De opgeloste versies zijn 22.23.4, 24.22.1 en 26.12.1, met bijgewerkte c-ares, OpenSSL, SQLite en undici.

Getroffen: Node.js 22, 24 and 26 lines before 22.23.4, 24.22.1, 26.12.1

• CVE-2026-111497
• CVE-2026-105482
• CVE-2026-105483
• CVE-2026-106069

Bronnen: Node.js

Duplicator: high severity flaw (CVE-2026-82814)

Duplicator had een PHP-objectinjectie zonder inloggen. Wordfence Argus vond het en dringt er bij gebruikers van Free en Pro op aan bij te werken naar versie 5.0.0 of nieuwer.

Getroffen: Duplicator Free up to 1.5.17 and matching Duplicator Pro releases, fixed in 5.0.0

• CVE-2026-82814

Bronnen: Wordfence

AI agents on the Cairn platform breached more than 100 organisations

NorForge vond blootgestelde besturingspanelen van het open-source agentplatform Cairn en herleidde een campagne waarin een Chinees sprekende operator agents op e-commercesites in de VS, Japan en Australie richtte met meer dan 1.100 aanvalsprojecten. Reuters meldde meer dan 100 gehackte bedrijfssites, met een slagingspercentage van ongeveer 10 procent.

Getroffen: E-commerce and payment sites in the US, Canada, Australia and Japan

Bronnen: SecurityWeek

UpdraftCentral connection keys stolen, used to install malicious plugins

TeamUpdraft meldde dat de database van zijn website op 17 en 18 oktober was benaderd, inclusief verbindingssleutels voor UpdraftCentral. Aanvallers gebruikten daarna geldige ondertekende opdrachten om kwaadaardige plugins te uploaden, activeren en verwijderen op gekoppelde WordPress-sites, dus sites die aan het clouddashboard zijn gekoppeld lopen het meeste risico.

Getroffen: UpdraftPlus Free and Premium on sites connected to cloud-hosted UpdraftCentral

• CVE-2026-10795

Bronnen: Wordfence

Rank Math SEO PRO 3.0.123 downloads contained malware

Sommige kopieen van Rank Math SEO PRO 3.0.123 die tussen 15 oktober 20:02 UTC en 16 oktober 07:12 UTC werden gedownload of bijgewerkt bevatten malware. Rank Math bracht een schone 3.0.124 uit en volgens Wordfence moeten getroffen sites als gecompromitteerd worden gezien, omdat bijwerken alleen extra bestanden, beheerdersaccounts of geplande taken niet verwijdert.

Getroffen: Rank Math SEO PRO (seo-by-rank-math-pro) 3.0.123, fixed in 3.0.124

• CVE-2026-111862

Bronnen: Wordfence

Backuply: high severity flaw (CVE-2026-93953)

Backuply (600,000 actieve installaties) had een tweede-orde SQL-injectie waarmee abonnees rechten kunnen verhogen. Versies tot en met 1.5.8 zijn kwetsbaar en 1.5.9 loste het op 1 oktober 2026 op.

Getroffen: Backuply up to 1.5.8, fixed in 1.5.9

• CVE-2026-93953

Bronnen: Wordfence

nginx 1.30.6 and 1.31.7 fix five vulnerabilities including alias buffer overflow

De oktoberreleases verhelpen een bufferoverflow bij alias met rewrite, een bufferoverflow bij scriptevaluatie, injectie van de aanvraagbody bij HTTP/3, vervalsing van TLS-sessietickets en een use-after-free bij AIO. nginx.org beoordeelt alle vijf als middelzwaar en de scripting-engine njs kreeg dezelfde dag een aparte fix.

Getroffen: nginx up to 1.30.5 and 1.31.0 to 1.31.6 (varies per CVE)

• CVE-2026-15176
• CVE-2026-93479
• CVE-2026-95101
• CVE-2026-97629

Bronnen: nginx.org, nginx.org changes

Next.js out-of-band release fixes two critical RCEs and a Server Actions DoS

Vercel bracht 15.5.28 en 16.4.1 uit om een kwetsbaarheid voor code-uitvoering zonder inloggen in de use-cache-functie, een tweede in SVG-verwerking via sharp en librsvg en een ernstige denial of service in Server Actions te verhelpen. Op 15 oktober was geen misbruik in het wild gemeld en voor Next.js 14 en ouder bestaat geen gepatchte release.

Getroffen: Next.js 16.0.0 - 16.4.0 (use cache RCE), 10.0.0 - 15.5.27 and 16.0.0 - 16.4.0 (SVG RCE), 13.0.0 - 15.5.27 and 16.0.0 - 16.4.0 (DoS)

• CVE-2026-96889

Bronnen: Cloud Security Alliance

Drupal core Field UI remote code execution (SA-CORE-2026-014)

Een kwetsbaarheid voor code-uitvoering in de Field UI-module is niet alleen met de kern uit te buiten, maar bijdragende modules scheppen routes en minstens een vereist geen authenticatie. Opgelost in Drupal 10.6.19, 11.3.19 en 11.4.10 en het verwijderen van Field UI is een mitigatie.

Getroffen: Drupal 8.9 to 10.6.18, 11.0 to 11.3.18, 11.4.0 to 11.4.9, 12.0.0 alpha1 to beta2

• CVE-2026-108097

Bronnen: Drupal.org

Magento BlockStrap: new CVSS 10 RCE bypasses the StyleSmuggler hotfix

Een template-engine-injectie in de e-mailsjablonen van Magento laat aanvallers zonder inloggen PHP op de winkelserver uitvoeren en omzeilt de hotfix van september. Sansec reproduceerde binnen een dag vier aanvalsroutes maar zag nog geen aanvallen op echte winkels.

Getroffen: Magento Open Source and Adobe Commerce up to 2.4.9, B2B up to 1.5.3, Mage-OS up to 3.5.0

• CVE-2026-103849

Bronnen: Sansec

Ghostscript heap overflow reachable through PDF thumbnails on servers

Wordfence Argus vond een kritieke heap-bufferoverflow in Ghostscript, de tool die veel sites gebruiken om geuploade PDF's als miniatuur te tonen. Opgelost in Ghostscript 10.08.0 van 8 september 2026.

Getroffen: Ghostscript before 10.08.0

• CVE-2026-39919

Bronnen: Wordfence

WordPress 7.1.3 fixes 7 security issues including second-order SQL injection

De release loste stored XSS op de reactiepagina in de admin op, een denial of service in URL-verwerking, een tweede-orde SQL-injectie in de WXR-export en het lekken van reacties op privéberichten. Meerdere meldingen komen van teams van AI-laboratoria en beveiligingsbedrijven zoals Anthropic en Trail of Bits met OpenAI.

Getroffen: WordPress before 7.1.3 (backports to older branches)

Bronnen: WordPress.org

OpenSSL fixes a high severity DTLS heap leak among 14 issues

Een fout in DTLS-hertransmissie kan bytes vanaf de verkeerde bufferpositie versturen, waardoor heapdata lekt of het programma crasht. Opgeloste versies zijn onder meer 4.0.3, 3.6.5, 3.5.9 en 3.4.8, met 3.0.23, 1.1.1zj en 1.0.2zs voor oudere lijnen.

Getroffen: OpenSSL 4.0, 3.6, 3.5, 3.4, 3.0, 1.1.1, 1.0.2 before the listed fixes

• CVE-2026-84782

Bronnen: OpenSSL

Joomla 5.4.9 and 6.1.4 fix 16 issues including SSRF and directory deletion

Twee problemen zijn als ernstig beoordeeld, een server-side request forgery in kernextensies en het verwijderen van willekeurige mappen via de cache-opschoonactie, en ook een MFA-omzeiling door te vroege remember-me-cookies is verholpen. Let op dat 5.4.9 sommige API PATCH-verzoeken breekt.

Getroffen: Joomla 4.0.0 to 5.4.8 and 6.0.0 to 6.1.3

• CVE-2026-92222
• CVE-2026-90915
• CVE-2026-92227

Bronnen: Joomla Security Centre, Droptimes

PHP 8.5.11 fixes 11 security issues including FPM ACL bypass and TLS checks

Release 8.5.11 loste elf problemen op, waaronder een omzeiling van de IPv6-toegangslijst in PHP-FPM, TLS-hostnamecontrole die terugvalt op de common name van het certificaat, een heap-overflow bij wildcard-certificaten en een lek van inloggegevens bij HTTP-omleidingen naar een andere herkomst. Andere fouten zaten in SOAP, Phar en mysqlnd.

Getroffen: PHP 8.5 before 8.5.11 (changelog lists the 8.5 branch)

• CVE-2026-91768
• CVE-2026-91769
• CVE-2026-91767
• CVE-2025-1218

Bronnen: PHP ChangeLog

Magento incorrect authorization flaw added to CISA exploited list

CISA nam een fout in autorisatie in Adobe Commerce en Magento op in de misbruiklijst waarmee een aanvaller zonder gebruikersinteractie bij gevoelige bronnen kan komen. Het kwam twee weken na de StyleSmuggler zero-day en laat aanhoudende aandacht van aanvallers voor het platform zien.

Getroffen: Adobe Commerce and Magento (see Adobe bulletin)

• CVE-2026-71362

Bronnen: CISA KEV catalog feed

Attacker used three open-source AI harnesses to breach retailers and steal 600,000 cards

Gambit Security beschreef een operator die Strix voor ontdekking, Cairn voor misbruik en Hermes voor sturing combineerde in 105 aanvalsprojecten, waarmee minstens 27 bedrijven werden gecompromitteerd voor ongeveer 25 dollar per doelwit. Meer dan 600.000 kaartgegevens werden bij twee bedrijven gestolen en er werden skimmers op 19 sites gevonden met nog meer dan 100 gekoppelde sites.

Getroffen: Online retailers including Magento shops; SQL injection, web shell and cloud key theft chain

Bronnen: Hackread

WordPress 7.1.2 fixes critical unauthenticated local file inclusion

Een fout in het zoeken naar templates liet een bezoeker zonder inloggen WordPress een leesbaar lokaal PHP-bestand buiten de themamappen laten laden, wat bij sommige server- en themaconfiguraties tot code-uitvoering kan leiden. CISA zette het lek op 25 september op de lijst met misbruikte kwetsbaarheden en er zijn fixes voor elke branch tot en met 4.7.

Getroffen: WordPress 4.7 through 7.1.1 (fixed in 7.1.2 and backports such as 6.9.9, 7.0.6)

• CVE-2026-87902

Bronnen: WordPress.org, Wordfence, CISA KEV catalog feed

libheif heap overflow can lead to file read and code execution on image servers

Wordfence Argus vond een kritieke heap-bufferoverflow in libheif, de bibliotheek waarmee servers HEIC-foto's van iPhones openen, en liet zien dat die tot het lezen van willekeurige bestanden en code-uitvoering kan leiden. Versies 1.18.0 tot en met 1.23.2 zijn kwetsbaar en 1.23.3 verhelpt het.

Getroffen: libheif 1.18.0 to 1.23.2

Bronnen: Wordfence

WordPress 7.1.1 fixes 11 security issues from XSS to path traversal

Er kwamen elf fixes, waaronder stored XSS in wpautop, onbevoegde thema-installatie via speciale URL's, een path traversal in de REST-templatecontroller en medewerkers die willekeurige berichten konden overschrijven. Twee van de meldingen zijn toegeschreven aan Anthropic.

Getroffen: WordPress before 7.1.1 (backports to older branches)

Bronnen: WordPress.org

Tutor LMS: high severity flaw (CVE-2026-78175)

Tutor LMS (100,000 actieve installaties) had een PHP-objectinjectie die voor abonnee-accounts tot code-uitvoering leidt. Versie 4.0.8 loste het op 10 september 2026 op nadat Wordfence Argus de fout meldde.

Getroffen: Tutor LMS up to 4.0.7, fixed in 4.0.8

• CVE-2026-78175

Bronnen: Wordfence

nginx 1.30.5 fixes a heap overflow in the HTTP/3 module

Een bufferoverflow in ngx_http_v3_module is opgelost in stable 1.30.5 en mainline 1.31.6. Alleen servers die HTTP/3 via QUIC aanzetten lopen risico.

Getroffen: nginx 1.29.2 to 1.30.4 and 1.31.0 to 1.31.5

• CVE-2026-90439

Bronnen: nginx.org, nginx.org changes

WooCommerce Wholesale Lead Capture: critical flaw under active attack (CVE-2026-27540)

WooCommerce Wholesale Lead Capture (6,000 actieve installaties) had een ongeauthenticeerde upload van willekeurige bestanden die aanvallers actief misbruiken. Het werd in februari 2026 bekendgemaakt, versie 2.0.3.2 verhelpt het en Wordfence blokkeerde meer dan 100.000 pogingen.

Getroffen: WooCommerce Wholesale Lead Capture up to 2.0.3.1, fixed in 2.0.3.2

• CVE-2026-27540

Bronnen: Wordfence

The Events Calendar: critical flaw (CVE-2026-78006)

The Events Calendar had twee ketens zonder inloggen die tot code-uitvoering leiden. Wordfence Argus vond ze en de fixes verschenen op 10 september 2026 als 6.17.4.1 en 6.17.3.1.

Getroffen: The Events Calendar up to 6.17.4 (fixed in 6.17.4.1) and up to 6.17.3 (fixed in 6.17.3.1)

• CVE-2026-78006
• CVE-2026-78159

Bronnen: Wordfence

Magento StyleSmuggler zero-day: CVSS 10 RCE exploited since 4 September

Een template-injectie via stijleigenschappen zonder inloggen geeft code-uitvoering op Magento Open Source en Adobe Commerce 2.4.4 tot en met 2.4.9 en de aanvallen begonnen op 4 september, voor de hotfix van Adobe op 7 september. De hotfix ruimt al gecompromitteerde winkels niet op, dus handelaren moeten scannen en sleutels vervangen.

Getroffen: Magento Open Source and Adobe Commerce 2.4.4 to 2.4.9; no fix for 2.4.3 and older

• CVE-2026-75650

Bronnen: Sansec, CISA KEV catalog feed

Customer data of a hardware wallet maker exposed through its logistics provider, 81,000 people

Een logistieke partner werd gehackt, naar verluidt via de Metabase-fout, waardoor eerst ongeveer 14.000 klanten en daarna nog 67.000 Amerikaanse klanten werden blootgesteld wiens oude data niet was verwijderd. Het bedrijf zegt dat zijn eigen systemen en apparaten niet zijn gecompromitteerd.

Getroffen: Customer names, emails, phones and shipping addresses at a third-party vendor

• CVE-2026-72898

Bronnen: BleepingComputer

Super Forms: critical flaw under active attack (CVE-2026-14894)

Super Forms (13,000 actieve installaties) had een ongeauthenticeerde upload van willekeurige bestanden die tot code-uitvoering leidt en actief wordt aangevallen. Versie 6.3.314 loste het in juli 2026 op en Wordfence blokkeerde meer dan 250.000 aanvalspogingen.

Getroffen: Super Forms up to 6.3.313, fixed in 6.3.314

• CVE-2026-14894

Bronnen: Wordfence

Gravity Forms: high severity flaw (CVE-2026-19513)

Gravity Forms had een ongeauthenticeerde upload van willekeurige bestanden door verwarring bij chunk-hashes. Wordfence Argus ontdekte het en versie 3.0.3 bevat de oplossing.

Getroffen: Gravity Forms up to 3.0.2, fixed in 3.0.3

• CVE-2026-19513

Bronnen: Wordfence

All-in-One WP Migration and Backup: high severity flaw (CVE-2026-19949)

All-in-One WP Migration and Backup (5,000,000 actieve installaties) had een tweede-orde SQL-injectie zonder inloggen via het terugzetten van archieven die tot code-uitvoering kan leiden. Versie 7.110 loste het op 20 augustus 2026 op, drie dagen nadat de ontwikkelaar de melding bevestigde.

Getroffen: All-in-One WP Migration and Backup up to 7.109, fixed in 7.110

• CVE-2026-19949

Bronnen: Wordfence

WPMU DEV Dashboard: critical flaw (CVE-2026-76581)

WPMU DEV Dashboard (350,000 actieve installaties) had een kritieke authenticatie-omzeiling in de Hub-eenmalige aanmelding. Versie 5.0.2 verhelpt het en sites die niet kunnen bijwerken moeten Hub SSO intussen uitzetten.

Getroffen: WPMU DEV Dashboard up to 5.0.1, fixed in 5.0.2

• CVE-2026-76581

Bronnen: Wordfence

TranslatePress: critical flaw (CVE-2026-19632)

TranslatePress (400,000 actieve installaties) had een account-overname zonder inloggen door het lekken van de wachtwoordherstellink. Versie 3.3.2 verscheen op dezelfde dag dat de ontwikkelaar de melding bevestigde, 13 augustus 2026.

Getroffen: TranslatePress Multilingual up to 3.3.1, fixed in 3.3.2

• CVE-2026-19632

Bronnen: Wordfence

Avada theme and Fusion Builder: critical flaw (CVE-2026-18431)

Avada theme and Fusion Builder (1,000,000 sales actieve installaties) had een keten van zes stappen zonder inloggen naar code-uitvoering via het schrijven van willekeurige bestanden. De AI-kwetsbaarheidsagent Wordfence Argus vond het in het Avada-thema tot en met 7.16 en Fusion Builder tot en met 3.16.

Getroffen: Avada theme up to 7.16 and Fusion Builder (fusion-builder) up to 3.16

• CVE-2026-18431

Bronnen: Wordfence

AI agent Wordfence Argus found a six-step RCE in the Avada theme

De interne AI-kwetsbaarheidsagent Argus van Wordfence vond een keten van zes stappen zonder inloggen naar code-uitvoering in het Avada-thema, dat meer dan een miljoen keer is verkocht. Wordfence noemt Argus sneller dan een menselijk team en publiceerde sindsdien meer vondsten.

Getroffen: Avada theme up to 7.16, Fusion Builder up to 3.16

• CVE-2026-18431

Bronnen: Wordfence, Wordfence

Pods: critical flaw (CVE-2026-19598)

Pods (100,000 actieve installaties) had een rechtenescalatie zonder inloggen. Gepatchte releases zoals 3.3.9.1 en 3.2.8.3 verschenen op 14 augustus 2026 en het WordPress.org-pluginteam forceerde een update.

Getroffen: Pods before 3.3.9.1, with backported fixes 3.2.8.3, 3.1.4.2, 3.0.10.4, 2.9.19.4, 2.8.23.4

• CVE-2026-19598

Bronnen: Wordfence

Elementor Pro: critical flaw under active attack (CVE-2026-32475)

Elementor Pro (6,000,000 actieve installaties) had een ongeauthenticeerde upload van willekeurige bestanden via een validatie-omzeiling. Versie 4.2.2 verscheen op 19 augustus 2026 en aanvallers gebruikten het lek dezelfde dag, waarbij Wordfence meer dan 190.000 pogingen blokkeerde.

Getroffen: Elementor Pro up to 4.2.1, fixed in 4.2.2

• CVE-2026-32475

Bronnen: Wordfence, Wordfence

Joomla 5.4.8 and 6.1.3 fix 9 issues including an MFA authentication bypass

De augustusreeks loste een omzeiling van multifactorauthenticatie, inconsistente toegangscontroles op webservice-eindpunten en onbeperkte upload van SHTML-bestanden op. De meeste zijn als middelzwaar of licht beoordeeld.

Getroffen: Joomla up to 5.4.7 and 6.1.2

• CVE-2026-73337
• CVE-2026-71574
• CVE-2026-73373

Bronnen: Joomla Security Centre

Forminator Forms: critical flaw (CVE-2026-15748)

Forminator Forms (600,000 actieve installaties) had een ongeauthenticeerde upload van willekeurige bestanden via een vervalste uploadveldconfiguratie. Versie 1.56.2 loste het op 31 juli 2026 op.

Getroffen: Forminator Forms up to 1.56.1, fixed in 1.56.2

• CVE-2026-15748

Bronnen: Wordfence

User Profile Builder: critical flaw (CVE-2026-15826)

User Profile Builder (40,000 actieve installaties) had een authenticatie-omzeiling zonder inloggen die overname van een beheerder mogelijk maakt. Versie 3.16.5 loste het op op de dag dat de melding werd bevestigd, 16 juli 2026.

Getroffen: User Profile Builder up to 3.16.4, fixed in 3.16.5

• CVE-2026-15826

Bronnen: Wordfence

WordPress 7.0.4 fixes RCE through file upload with Imagick and Ghostscript

Een ingelogde gebruiker met Auteur-rechten kon code laten uitvoeren door een speciaal bestand te uploaden op sites die Imagick samen met Ghostscript gebruiken. De fix is teruggezet naar branch 4.7.

Getroffen: WordPress sites using Imagick and Ghostscript, before 7.0.4 (and backports)

• CVE-2026-65640

Bronnen: WordPress.org

BdThemes plugins hit through a poisoned remote promo banner feed

Aanvallers wijzigden een externe JSON-feed die een promotiebanner in de admin gebruikt, waardoor geen code in de WordPress.org-opslag werd aangepast maar toch meerdere plugins van de leverancier werden gecompromitteerd. De getroffen plugins werden tijdelijk gesloten terwijl het pluginteam onderzoek deed.

Getroffen: Several BdThemes plugins in the WordPress.org directory

• CVE-2026-92991

Bronnen: Wordfence

WordPress 7.0.3 fixes 12 issues including a pre-auth login page XSS

De release loste een reflected XSS op het inlogscherm op die tot PHP-code-uitvoering kon leiden, meerdere stored-XSS-fouten voor medewerkers, een rechtenescalatie op multisite en een SSRF in URL-validatie. Backports dekken alle branches die in aanmerking komen voor beveiligingsfixes.

Getroffen: WordPress before 7.0.3 (backports to older branches)

• CVE-2026-64638

Bronnen: WordPress.org

Metabase zero-day SQL injection breached five companies

Aanvallers gebruikten een SQL-injectie zonder inloggen in het wachtwoordresetpunt van Metabase om beheerder te worden en inloggegevens van gekoppelde databases te lezen. Vijf bedrijven werden als gehackt gemeld, CISA nam het op 11 augustus op en Metabase Cloud was al gepatcht.

Getroffen: Self-hosted Metabase 0.58 to 0.63.4 and matching Enterprise builds

• CVE-2026-72898

Bronnen: Tech Times

ChainDrop worm hits 400+ npm packages including keyv and flat-cache

Een variant van Shai-Hulud begon bij een gecompromitteerde beheerder en publiceerde besmette versies van cachebibliotheken zoals keyv, flat-cache en cache-manager, waarbij npm-, GitHub- en cloudinloggegevens werden gestolen. Microsoft telt meer dan 400 pakketten en de Singaporese CSA meer dan 1.300 pakketversies met ongeveer 2 miljard downloads per maand.

Getroffen: keyv 6.0.0, flat-cache 6.1.24, cache-manager 7.2.10 and other listed versions

Bronnen: Microsoft Security Blog, CSA Singapore

PHP 8.5.9 fixes bccomp write overflow and PostgreSQL SQL injection

De release loste een schrijffout buiten het geheugenbereik in de BCMath-functie bccomp op en een SQL-injectie door een backslash-uitbraak in geescapete PostgreSQL-teksten. Ook werd de meegeleverde libgd bijgewerkt en een crash met recursieve symlinks in Phar verholpen.

Getroffen: PHP 8.5 before 8.5.9 (changelog lists the 8.5 branch)

• CVE-2026-17544
• CVE-2026-17543
• CVE-2026-9672
• CVE-2026-7260

Bronnen: PHP ChangeLog

Node.js July security release fixes 11 CVEs, three rated high

De uitgestelde julirelease loste uitputting van HTTP/2-geheugen, een HTTP/2 use-after-free en een fout in het Permission Model die te veel bestandstoegang gaf op, allemaal als ernstig beoordeeld. De opgeloste versies zijn 22.23.2, 24.18.1 en 26.5.1 en undici en llhttp werden bijgewerkt.

Getroffen: Node.js 22, 24 and 26 lines before 22.23.2, 24.18.1, 26.5.1

• CVE-2026-56846
• CVE-2026-56848
• CVE-2026-58043
• CVE-2026-56850

Bronnen: Node.js

Backdoor planted in Advanced Responsive Video Embedder, caught in two hours

Kwaadaardige code in de plugin gaf elke bezoeker zonder inloggen volledige beheerderstoegang met een enkel verzoek en een vaste token. De AI-agent PRISM van Wordfence signaleerde het minder dan twee uur nadat het verscheen en de plugin werd gesloten voor download.

Getroffen: Advanced Responsive Video Embedder (advanced-responsive-video-embedder) 10.8.7 and 10.8.8, about 20,000 installs; clean release 10.9.0

• CVE-2026-18072

Bronnen: Wordfence

Wordfence's autonomous AI researcher became its top vulnerability finder

Wordfence meldt dat zijn AI-agent PRISM in 30 dagen 88 kwetsbaarheden publiceerde, ongeveer 2,8 per dag, en zijn beste onderzoeker werd met in totaal 202 vondsten. Het laat zien dat verdedigers agents op grote schaal kunnen inzetten en dat aanvallers hetzelfde kunnen doen.

Getroffen: WordPress plugins and themes

Bronnen: Wordfence

wp2shell: WordPress core RCE chain patched, exploited within days

Twee fouten, een verwarring in de REST API-batchroute en een SQL-injectie, vormen samen een keten voor code-uitvoering zonder inloggen op een standaard WordPress-installatie, de eerste zulke kernketen in bijna tien jaar. WordPress forceerde updates, CISA zette beide op 21 juli op de misbruiklijst en Wordfence blokkeerde meer dan 11 miljoen pogingen.

Getroffen: WordPress 6.9.x before 6.9.5, 7.0.x before 7.0.2; 6.8.x before 6.8.6 for the SQL injection only

• CVE-2026-63030
• CVE-2026-60137

Bronnen: WordPress.org, Wordfence, Wordfence, CISA KEV catalog feed

nginx 1.30.4 fixes a major heap overflow in map with regex

nginx.org beoordeelt de heap-overflow bij gebruik van map met reguliere expressies als groot en die geldt voor versies tot 0.9.6 terug. Dezelfde release loste geheugenlekken in de slice-module en een use-after-free in de SSI-module op.

Getroffen: nginx 0.9.6 to 1.31.2

• CVE-2026-42533
• CVE-2026-60005
• CVE-2026-56434

Bronnen: nginx.org, nginx.org changes

AsyncAPI npm packages poisoned with an import-time loader

Vijf kwaadaardige versies van vier @asyncapi-pakketten werden binnen ongeveer 90 minuten gepubliceerd via de eigen vertrouwde publicatie van het project, waardoor ze geldige herkomstbewijzen hadden. De lader draaide bij het importeren en niet bij installatie, dus de gebruikelijke ignore-scripts-bescherming hielp niet.

Getroffen: @asyncapi/specs 6.11.2 and 6.11.2-alpha.1, @asyncapi/generator 3.3.1, generator-components 0.7.1, generator-helpers 1.1.1

Bronnen: Microsoft Security Blog, Unit 42

PHP 8.5.8 fixes memory corruption in openssl_encrypt with AES wrap

Er werd een heap-beschadiging verholpen in openssl_encrypt bij gebruik van het AES-WRAP-PAD-algoritme. Het risico lag bij applicaties die onbetrouwbare algoritmenamen of data aan die functie geven.

Getroffen: PHP 8.5 before 8.5.8 (changelog lists the 8.5 branch)

• CVE-2026-14355

Bronnen: PHP ChangeLog

Avada Builder (Fusion Builder): critical flaw (CVE-2026-8713)

Avada Builder (Fusion Builder) (1,000,000 actieve installaties) had een verwijderfout voor willekeurige bestanden zonder inloggen. Versies tot en met 3.15.3 zijn kwetsbaar en 3.15.4 verhelpt het.

Getroffen: Avada (Fusion) Builder up to 3.15.3, fixed in 3.15.4

• CVE-2026-8713

Bronnen: Wordfence

Node.js June security release fixes 12 CVEs, two rated high

Er werden twee ernstige problemen opgelost: een integer-overflow in WebCrypto die het proces laat crashen en een TLS-wildcardcontrole die met Unicode-puntscheidingstekens te omzeilen was. Tien middelzware en lichte fixes betroffen HTTP/2, proxy-inloggegevens in foutmeldingen en omzeilingen van het Permission Model, geleverd in 22.23.0, 24.17.0 en 26.3.1.

Getroffen: Node.js 22, 24 and 26 lines before 22.23.0, 24.17.0, 26.3.1

• CVE-2026-48933
• CVE-2026-48618
• CVE-2026-48615
• CVE-2026-48617

Bronnen: Node.js

Gravity SMTP: medium severity flaw under active attack (CVE-2026-4020)

Gravity SMTP (100,000 actieve installaties) had een lek van gevoelige informatie via de REST API zonder inloggen. API-sleutels en OAuth-tokens konden worden uitgelezen, versie 2.1.5 verhelpt het en Wordfence blokkeerde meer dan 17 miljoen aanvalspogingen.

Getroffen: Gravity SMTP up to 2.1.4, fixed in 2.1.5

• CVE-2026-4020

Bronnen: Wordfence

ShapedPlugin build pipeline compromised, Pro plugins shipped with a backdoor

Aanvallers braken in op de build- en distributiepijplijn van de leverancier en plaatsten achterdeurcode in Pro-pluginreleases die via het officiele licentiekanaal werden geleverd. Klanten die zich aan de beste werkwijze hielden en gewoon bijwerkten waren toch kwetsbaar.

Getroffen: ShapedPlugin Pro plugins (vendor has over 400,000 free installs)

• CVE-2026-10735
• CVE-2026-49777

Bronnen: Wordfence

UpdraftPlus: critical flaw (CVE-2026-10795)

UpdraftPlus (3,000,000 actieve installaties) had een kritieke authenticatie-omzeiling zonder inloggen die uitbuitbaar is op sites die aan UpdraftCentral zijn gekoppeld. Aanvallers konden als de gekoppelde beheerder externe procedures uitvoeren, bijvoorbeeld om een kwaadaardige plugin te uploaden.

Getroffen: UpdraftPlus Free and Premium on sites connected to UpdraftCentral, before the June 2026 patched release

• CVE-2026-10795

Bronnen: Wordfence

OpenSSL June release: PKCS#7 use-after-free found with help of Claude

Een ernstige heap use-after-free bij het verifieren van PKCS#7-handtekeningen werd gevonden door een onderzoeker die samenwerkte met Claude en Anthropic Research. SecurityWeek telt 18 fouten in die release en schrijft ongeveer een half dozijn toe aan Alex Gaynor van Anthropic.

Getroffen: OpenSSL builds before the June 2026 releases (3.x branches, see advisory)

• CVE-2026-45447

Bronnen: SecurityWeek, OpenSSL

Apache httpd 2.4.68 fixes 13 CVEs, six moderate

De release loste onder meer een bufferoverflow in mod_proxy_html, een escalatie via .htaccess-expressies en een denial of service in mod_http2 op. Alle 13 zijn als middelzwaar of licht beoordeeld.

Getroffen: Apache HTTP Server 2.4.0 through 2.4.67

• CVE-2026-34355
• CVE-2026-42535
• CVE-2026-43951
• CVE-2026-44119

Bronnen: Apache HTTP Server project

PHP 8.5.7 updates the bundled uriparser after two URI flaws

De release werkte uriparser bij naar 1.0.2 om een afkappingsfout bij pointers te herstellen en een fout waarbij twee verschillende URI's als gelijk konden gelden. Beide zijn relevant voor code die URL's controleert of vergelijkt.

Getroffen: PHP 8.5 before 8.5.7 (bundled uriparser before 1.0.2)

• CVE-2026-44927
• CVE-2026-44928

Bronnen: PHP ChangeLog

Everest Forms Pro: critical flaw under active attack (CVE-2026-3300)

Everest Forms Pro (4,000 actieve installaties) had een kritiek lek voor code-uitvoering dat aanvallers misbruiken. Versie 1.9.13 verhelpt het, versies tot en met 1.9.12 zijn kwetsbaar en Wordfence blokkeerde meer dan 29.300 pogingen.

Getroffen: Everest Forms Pro up to 1.9.12, fixed in 1.9.13

• CVE-2026-3300

Bronnen: Wordfence

Kirki: critical flaw (CVE-2026-8206)

Kirki (500,000 actieve installaties) had een rechtenescalatie zonder inloggen. Versies 6.0.0 tot en met 6.0.6 zijn kwetsbaar en 6.0.7 bevat de oplossing.

Getroffen: Kirki 6.0.0 - 6.0.6, fixed in 6.0.7

• CVE-2026-8206

Bronnen: Wordfence

32 @redhat-cloud-services npm packages compromised via an employee GitHub account

Een gecompromitteerd GitHub-account van een Red Hat-medewerker duwde commits door die de review omzeilden en publiceerde minstens 32 pakketten met geldige herkomstbewijzen. De pakketten zijn klein qua downloads, gemiddeld ongeveer 80.000 per week.

Getroffen: At least 32 @redhat-cloud-services npm packages

Bronnen: Unit 42

WP Maps Pro: critical flaw (CVE-2026-8732)

WP Maps Pro (15,000 actieve installaties) had fouten waarmee bezoekers zonder inloggen beheerdersaccounts kunnen aanmaken. Versie 6.1.1 verhelpt het probleem in releases tot en met 6.1.0.

Getroffen: WP Maps Pro up to 6.1.0, fixed in 6.1.1

• CVE-2026-8732
• CVE-2026-8935

Bronnen: Wordfence

Claude Mythos found over 10,000 high or critical flaws in widely used software

De update van Anthropic over Project Glasswing zegt dat Mythos en partners meer dan 10.000 ernstige of kritieke problemen vonden, en een scan van meer dan 1.000 open-sourceprojecten leverde 23.019 bevindingen op. Cloudflare en Mozilla vonden elk honderden fouten in hun eigen code en beheerders kunnen ze steeds minder snel oplossen dan ze gevonden worden.

Getroffen: Open-source and commercial software including crypto libraries and browsers

Bronnen: Help Net Security

Drupal highly critical SQL injection on PostgreSQL sites (SA-CORE-2026-004)

Een SQL-injectie in de databaseabstractielaag treft Drupal-sites op PostgreSQL en is anoniem te bereiken. Drupal verhoogde het risico op 22 mei omdat aanvalspogingen werden gedetecteerd en de opgeloste releases zijn 11.3.10, 11.2.12, 10.6.9 en 10.5.10.

Getroffen: Drupal 8.9.0 to before 10.4.10, 10.5 before 10.5.10, 10.6 before 10.6.9, 11.0 to before 11.1.10, 11.2 before 11.2.12, 11.3 before 11.3.10 (PostgreSQL only)

• CVE-2026-9082

Bronnen: Drupal.org, CISA KEV catalog feed

@antv npm wave: 639 malicious versions across 323 packages in one hour

Een gecompromitteerd beheerdersaccount publiceerde 639 versies over 323 pakketten, waaronder populaire grafiekbibliotheken en echarts-for-react, met een op Bun gebaseerde preinstall-hook. Alleen echarts-for-react heeft ongeveer 1,1 miljoen downloads per week.

Getroffen: @antv/g2, g6, x6, l7, s2, f2 and related packages, echarts-for-react, timeago.js

Bronnen: Unit 42

Burst Statistics: critical flaw under active attack (CVE-2026-8181)

Burst Statistics (200,000 actieve installaties) had een kritieke authenticatie-omzeiling waarmee aanvallers zich als beheerder kunnen voordoen. Versies 3.4.0 tot en met 3.4.1.1 zijn kwetsbaar, 3.4.2 verhelpt het en er volgden aanvallen, met begin juni meer dan 112.800 geblokkeerde pogingen.

Getroffen: Burst Statistics 3.4.0 - 3.4.1.1, fixed in 3.4.2

• CVE-2026-8181

Bronnen: Wordfence, Wordfence

NGINX Rift: rewrite module heap overflow exploited within days of the PoC

Een heap-overflow in de rewrite-module, gevonden met een AI-gebaseerd detectieplatform, kan met een speciaal verzoek worden getriggerd als rewrite-regels naamloze captures combineren met een vraagteken. VulnCheck zag aanvalspogingen vanaf 16 mei, drie dagen na een openbare proof of concept, en Censys telde ongeveer 5,7 miljoen blootgestelde nginx-servers met een mogelijk kwetsbare versie.

Getroffen: nginx open source 0.6.27 to 1.30.0, NGINX Plus R32 to R36; fixed in 1.30.1 and 1.31.0

• CVE-2026-42945

Bronnen: Help Net Security, nginx.org, nginx.org changes

Avada Builder (Fusion Builder): high severity flaw (CVE-2026-4782)

Avada Builder (Fusion Builder) (1,000,000 actieve installaties) had een fout voor het lezen van willekeurige bestanden en een SQL-injectie. Opgeloste releases zijn 3.15.2 en 3.15.3.

Getroffen: Avada (Fusion) Builder up to 3.15.2, fixed in 3.15.3

• CVE-2026-4782
• CVE-2026-4798

Bronnen: Wordfence

TanStack npm packages compromised in Mini Shai-Hulud wave

Aanvallers publiceerden 84 kwaadaardige versies over 42 @tanstack-pakketten door een GitHub Actions-workflow te misbruiken, waardoor de releases zelfs geldige herkomstbewijzen hadden. De golf verspreidde zich naar meer dan 160 pakketversies en CISA zette de TanStack-compromittering op 27 mei op de misbruiklijst.

Getroffen: 42 @tanstack/* packages including @tanstack/react-router; TanStack Query, Table, Form not affected

• CVE-2026-45321

Bronnen: Endor Labs, Unit 42, CISA KEV catalog feed

PrestaShop stored XSS in the back office via the Contact Us form

Een bezoeker zonder inloggen kan via het openbare contactformulier een kwaadaardig e-mailadres versturen dat script uitvoert als medewerkers de klantdraad in de back-office openen. Dat kan tot sessiekaping en overname van de back-office leiden en de fixes zijn 8.2.6 en 9.1.1.

Getroffen: PrestaShop before 8.2.6 and 9.0.0 to before 9.1.1

• CVE-2026-44212

Bronnen: GitLab Advisory Database

PHP 8.5.6 fixes 11 issues including FPM status XSS and SOAP use-after-free

De meirelease loste elf problemen op, waaronder cross-site scripting op de FPM-statuspagina, meerdere use-after-free- en null-pointerfouten in SOAP en mbstring en SQL-injectie via NUL-bytes in het Firebird PDO-stuurprogramma. Sites die het FPM-statuseindpunt tonen of SOAP gebruiken liepen het meeste risico.

Getroffen: PHP 8.5 before 8.5.6 (changelog lists the 8.5 branch)

• CVE-2026-6735
• CVE-2026-7263
• CVE-2026-7259
• CVE-2026-6104

Bronnen: PHP ChangeLog

Next.js May release fixes 13 advisories, four authentication bypasses rated high

De release sloot vier ernstige omzeilingen van proxy- of middleware-autorisatie, meerdere denial-of-service-problemen, een SSRF bij WebSocket-upgrades en cachevergiftiging in RSC-antwoorden. De opgeloste versies zijn 15.5.18 en 16.2.6 en de DoS in React Server Components bovenstroom is CVE-2026-23870.

Getroffen: Next.js 13.x and 14.x (all versions), 15.x up to 15.5.17, 16.x up to 16.2.5; react-server-dom 19.0.x to 19.0.5, 19.1.x to 19.1.6, 19.2.x to 19.2.5

• CVE-2026-23870

Bronnen: Vercel changelog

Slider Revolution 7: high severity flaw (CVE-2026-6692)

Slider Revolution 7 (5,000,000 actieve installaties) had een upload van willekeurige bestanden voor ingelogde gebruikers. Versies 7.0.0 tot en met 7.0.10 zijn kwetsbaar en 7.0.11 verhelpt het.

Getroffen: Slider Revolution 7.0.0 - 7.0.10, fixed in 7.0.11

• CVE-2026-6692

Bronnen: Wordfence

Breeze Cache: critical flaw under active attack (CVE-2026-3844)

Breeze Cache (400,000 actieve installaties) had een kritieke upload van willekeurige bestanden zonder inloggen die actief wordt misbruikt. Bekendgemaakt op 22 april 2026, versies tot en met 2.4.4 zijn kwetsbaar en 2.4.5 verhelpt het.

Getroffen: Breeze Cache up to 2.4.4, fixed in 2.4.5

• CVE-2026-3844

Bronnen: Wordfence

Apache httpd 2.4.67 fixes 11 CVEs including an HTTP/2 double free

Het ene belangrijke probleem was een HTTP/2 double free met mogelijke code-uitvoering na een vroege reset, die versie 2.4.66 trof. De release loste ook meerdere geheugenfouten in mod_proxy_ajp op.

Getroffen: Apache HTTP Server 2.4.66 for the HTTP/2 issue; most others through 2.4.66

• CVE-2026-23918
• CVE-2026-24072
• CVE-2026-33006

Bronnen: Apache HTTP Server project

Mini Shai-Hulud hits SAP CAP npm packages with a preinstall hook

Vier SAP-gerelateerde npm-pakketten werden gepubliceerd met een preinstall-script dat een lader uitvoerde, met samen ongeveer 570.000 downloads per week. Het was het begin van de Mini Shai-Hulud-reeks die in mei volgde.

Getroffen: @cap-js/sqlite 2.2.2, @cap-js/postgres 2.2.2, @cap-js/db-service 2.10.1, mbt 1.2.48

Bronnen: Unit 42

cPanel and WHM authentication bypass exploited since February

Een CRLF-injectie in de inlogstroom laat een enkel speciaal verzoek de authenticatie van cPanel en WHM omzeilen en aanvallers gebruikten het vanaf minstens 23 februari, voor de patch van 28 april. CISA nam het op 30 april op en Shadowserver zag ongeveer 44.000 unieke IP-adressen scannen of misbruik maken.

Getroffen: All cPanel and WHM versions after 11.40 and WP Squared 136.1.7 before patched builds

• CVE-2026-41940

Bronnen: Help Net Security, CISA KEV catalog feed

Malicious @bitwarden/cli release published for about 90 minutes

Een besmette @bitwarden/cli 2026.4.0 met een preinstall-script stond ongeveer anderhalf uur online. Het hoorde bij een bredere campagne die ook Docker Hub, GitHub Actions en VS Code-extensies raakte.

Getroffen: @bitwarden/cli 2026.4.0

Bronnen: Unit 42

Kali Forms: critical flaw under active attack (CVE-2026-3584)

Kali Forms (10,000 actieve installaties) had een lek voor code-uitvoering dat aanvallers veelvuldig misbruiken. Versie 2.4.10 verhelpt releases tot en met 2.4.9 en Wordfence blokkeerde meer dan 312.200 pogingen.

Getroffen: Kali Forms up to 2.4.9, fixed in 2.4.10

• CVE-2026-3584

Bronnen: Wordfence

Two thirds of WordPress vulnerability reports now use AI

Wordfence meldt dat het aandeel meldingen waarbij de onderzoeker AI gebruikte steeg van 16 procent eind november 2025 naar ongeveer 66 procent in het voorjaar van 2026. Het aantal meldingen steeg met 453 procent sinds oktober 2025, waardoor het team met agents moest gaan triageren.

Getroffen: WordPress plugin and theme ecosystem

Bronnen: Wordfence

Ninja Forms File Upload: critical flaw under active attack (CVE-2026-0740)

Ninja Forms File Upload (50,000 actieve installaties) had een upload van willekeurige bestanden zonder inloggen die aanvallers gingen misbruiken. Versie 3.3.27 verhelpt releases tot en met 3.3.26 en medio april waren meer dan 118.600 aanvallen geblokkeerd.

Getroffen: Ninja Forms File Upload up to 3.3.26, fixed in 3.3.27

• CVE-2026-0740

Bronnen: Wordfence, Wordfence

Perfmatters: high severity flaw (CVE-2026-4350)

Perfmatters (200,000 actieve installaties) had een kwetsbaarheid voor het verwijderen van willekeurige bestanden. Versies tot en met 2.5.9.1 zijn kwetsbaar en 2.6.0 verhelpt het.

Getroffen: Perfmatters up to 2.5.9.1, fixed in 2.6.0

• CVE-2026-4350

Bronnen: Wordfence

MW WP Form: high severity flaw (CVE-2026-4347)

MW WP Form (200,000 actieve installaties) had een kwetsbaarheid voor het verplaatsen van willekeurige bestanden. Versies tot en met 5.1.0 zijn kwetsbaar en 5.1.1 verhelpt het.

Getroffen: MW WP Form up to 5.1.0, fixed in 5.1.1

• CVE-2026-4347

Bronnen: Wordfence

axios npm package compromised, malicious versions dropped a remote access trojan

Een gekaapt beheerdersaccount publiceerde axios 1.14.1 en 0.30.4 met een verborgen afhankelijkheid die een platformonafhankelijke trojan voor toegang op afstand installeerde, ongeveer drie uur online. Google schreef de activiteit toe aan UNC1069, gelinkt aan Noord-Korea, en axios heeft meer dan 80 miljoen downloads per week.

Getroffen: axios 1.14.1 and 0.30.4 (safe: 1.14.0, 0.30.3)

Bronnen: Field Effect, Unit 42

Smart Slider 3: medium severity flaw (CVE-2026-3098)

Smart Slider 3 (800,000 actieve installaties) had een kwetsbaarheid voor het lezen van willekeurige bestanden. Versies tot en met 3.5.1.33 zijn kwetsbaar en 3.5.1.34 verhelpt het.

Getroffen: Smart Slider 3 up to 3.5.1.33, fixed in 3.5.1.34

• CVE-2026-3098

Bronnen: Wordfence

Node.js March security release fixes 9 CVEs including remote crash bugs

Twee ernstige problemen lieten een externe client een Node.js-server laten crashen, een via een SNICallback die een fout gooit en een via een requestheader met de naam __proto__. De release loste ook een timinglek bij HMAC-vergelijking en een hash-floodingprobleem in V8 op, in 20.20.2, 22.22.2, 24.14.1 en 25.8.2.

Getroffen: Node.js 20, 22, 24 and 25 lines before 20.20.2, 22.22.2, 24.14.1, 25.8.2

• CVE-2026-21637
• CVE-2026-21710
• CVE-2026-21711
• CVE-2026-21712

Bronnen: Node.js

nginx 1.29.7 fixes buffer overflows in WebDAV and MP4 modules plus mail issues

De release loste bufferoverflows in de DAV- en MP4-modules op, headerinjectie bij de mail auth_http-afhandeling en een OCSP-omzeiling in de stream-module. Dit is vooral relevant voor servers die die modules aanzetten.

Getroffen: nginx up to 1.29.6

• CVE-2026-27654
• CVE-2026-27784
• CVE-2026-32647
• CVE-2026-28753

Bronnen: nginx.org, nginx.org changes

Laravel Livewire code injection added to CISA exploited list

CISA nam een code-injectiefout in Livewire op in de lijst met misbruikte kwetsbaarheden waarmee aanvallers zonder inloggen in bepaalde situaties opdrachten kunnen uitvoeren. Livewire wordt in veel Laravel-apps gebruikt, dus teams moeten hun Livewire-versie met het advies van de leverancier vergelijken.

Getroffen: Laravel Livewire (affected versions per vendor advisory)

• CVE-2025-54068

Bronnen: CISA KEV catalog feed

Craft CMS code injection added to CISA exploited list

CISA nam een code-injectie in Craft CMS op in de misbruiklijst waarmee een aanvaller op afstand willekeurige code kan uitvoeren. Eigenaren van Craft-sites moeten controleren of ze een gepatchte release draaien.

Getroffen: Craft CMS (affected versions per vendor advisory)

• CVE-2025-32432

Bronnen: CISA KEV catalog feed

WordPress 6.9.2 fixes 10 security issues including blind SSRF and PclZip traversal

De release sloot tien problemen, waaronder een blinde SSRF, een autorisatie-omzeiling bij bijlage-query's, een PclZip path traversal, XSS in navigatiemenu's en een XXE in de meegeleverde getID3-bibliotheek. De fixes worden teruggezet naar alle branches die in aanmerking komen voor beveiligingsupdates.

Getroffen: WordPress before 6.9.2 (backports to older branches)

Bronnen: WordPress.org

Ally: high severity flaw (CVE-2026-2413)

Ally (400,000 actieve installaties) had een SQL-injectie zonder inloggen. Versies tot en met 4.0.3 zijn kwetsbaar en 4.1.0 verhelpt het.

Getroffen: Ally up to 4.0.3, fixed in 4.1.0

• CVE-2026-2413

Bronnen: Wordfence

Tutor LMS Pro: critical flaw (CVE-2026-0953)

Tutor LMS Pro (30,000 actieve installaties) had een authenticatie-omzeiling. Versies tot en met 3.9.5 zijn kwetsbaar en 3.9.6 verhelpt het.

Getroffen: Tutor LMS Pro up to 3.9.5, fixed in 3.9.6

• CVE-2026-0953

Bronnen: Wordfence

WPvivid Backup: critical flaw (CVE-2026-1357)

WPvivid Backup (800,000 actieve installaties) had een kwetsbaarheid voor het uploaden van willekeurige bestanden. Wordfence beoordeelde het met 9,8 en drong aan op de gepatchte release.

Getroffen: WPvivid Backup versions before the patched release named in the Wordfence post

• CVE-2026-1357

Bronnen: Wordfence

Study: AI agents solved 9 of 10 realistic web hacking challenges

Wiz en Irregular testten Claude Sonnet 4.5, GPT-5 en Gemini 2.5 Pro op tien labuitdagingen naar echte webfouten en alle drie losten dezelfde negen op, meestal voor minder dan een dollar. De agents hadden moeite met brede verkenning en bij een echt incident vond een uur agentwerk niets terwijl een mens er binnen minuten in kwam.

Getroffen: Web applications (lab challenges)

Bronnen: Wiz

React Server Components denial of service CVE-2026-23864

Op 26 januari werd na de fixes van december 2025 nog een denial-of-service-probleem in React Server Components bekendgemaakt, als ernstig beoordeeld met CVSS 7,5. Beheerders die serverfuncties draaien moeten React en hun framework op de nieuwste gepatchte release houden.

Getroffen: react-server-dom-webpack, parcel and turbopack packages (see React advisory)

• CVE-2026-23864

Bronnen: React

eslint-config-prettier malicious package added to CISA exploited list

CISA nam een kwaadaardige-codeprobleem in eslint-config-prettier op in de lijst met misbruikte kwetsbaarheden, waarbij installatie van een getroffen pakket een installatiescript uitvoerde dat een Windows-malware-DLL startte. Het laat zien hoe een vertrouwde ontwikkelaarsafhankelijkheid malware naar buildmachines kan brengen.

Getroffen: eslint-config-prettier affected versions (CVE-2025-54313)

• CVE-2025-54313

Bronnen: CISA KEV catalog feed

LA-Studio Element Kit for Elementor: critical flaw (CVE-2026-0920)

LA-Studio Element Kit for Elementor (20,000 actieve installaties) had een achterdeur waarmee aanvallers zonder inloggen beheerders kunnen aanmaken. De leverancier bracht op 14 januari 2026 een patch uit, een dag nadat Wordfence de details doorgaf.

Getroffen: LA-Studio Element Kit for Elementor before the patch of 14 January 2026

• CVE-2026-0920

Bronnen: Wordfence

Advanced Custom Fields: Extended: critical flaw (CVE-2025-14533)

Advanced Custom Fields: Extended (100,000 actieve installaties) had een kwetsbaarheid voor rechtenescalatie. Wordfence beoordeelde het met 9,8 en gebruikers moeten naar de nieuwste release bijwerken.

Getroffen: Advanced Custom Fields: Extended before the patched release named in the Wordfence post

• CVE-2025-14533

Bronnen: Wordfence

Node.js January security release fixes 8 CVEs, three rated high

Er werden drie ernstige problemen opgelost: niet-geinitialiseerd geheugen dat Buffer.alloc onder bepaalde timing teruggaf, een symlink-truc die het permission model omzeilde en een misvormd HTTP/2-frame dat de server laat crashen. De opgeloste versies zijn 20.20.0, 22.22.0, 24.13.0 en 25.3.0.

Getroffen: Node.js 20, 22, 24 and 25 lines before 20.20.0, 22.22.0, 24.13.0, 25.3.0

• CVE-2025-55131
• CVE-2025-55130
• CVE-2025-59465
• CVE-2025-59466

Bronnen: Node.js

Demo Importer Plus: high severity flaw (CVE-2025-14364)

Demo Importer Plus (10,000 actieve installaties) had een fout die een volledige sitereset en rechtenescalatie mogelijk maakt. Wordfence-firewallbescherming was actief en gebruikers moeten naar de gepatchte release bijwerken.

Getroffen: Demo Importer Plus before the patched release named in the Wordfence post

• CVE-2025-14364

Bronnen: Wordfence

PHP 8.5.1 fixes array_merge heap overflow and getimagesize memory leak

De eerste bugfixrelease van de 8.5-lijn loste een heap-overflow in array_merge, een geheugenlek in getimagesize en een null-dereferentie bij PDO-quoting op. Ook werd een probleem met null-byte-afsluiting in dns_get_record verholpen.

Getroffen: PHP 8.5.0 (changelog lists the 8.5 branch)

• CVE-2025-14178
• CVE-2025-14177
• CVE-2025-14180
• CVE-2025-67899

Bronnen: PHP ChangeLog

Apache httpd 2.4.66 fixes five CVEs including an SSI exec injection

De release loste de afhandeling van querystrings in Server Side Includes exec, NTLM-lekken via UNC-paden op Windows en een omzeiling van mod_userdir met suexec op. Alle vijf zijn als middelzwaar of licht beoordeeld.

Getroffen: Apache HTTP Server before 2.4.66

• CVE-2025-58098
• CVE-2025-59775
• CVE-2025-66200
• CVE-2025-55753

Bronnen: Apache HTTP Server project

Sneeit Framework: critical flaw under active attack (CVE-2025-6389)

Sneeit Framework (1,700 actieve installaties) had een kwetsbaarheid voor code-uitvoering die werd misbruikt op de dag van openbaarmaking. Het zit in meerdere premium thema's, versie 8.4 verhelpt het en meer dan 131.000 pogingen werden geblokkeerd.

Getroffen: Sneeit Framework (slug sneeit-framework) before 8.4

• CVE-2025-6389

Bronnen: Wordfence

React2Shell: critical RCE in React Server Components (CVSS 10)

Een fout in de manier waarop React payloads voor Server Function-eindpunten decodeert geeft code-uitvoering zonder inloggen, zelfs voor apps zonder eigen serverfuncties als ze Server Components ondersteunen. De fixes zijn 19.0.1, 19.1.2 en 19.2.1 en CISA zette het lek op 5 december op de misbruiklijst.

Getroffen: react-server-dom-webpack, -parcel, -turbopack 19.0.0, 19.1.0 to 19.1.1, 19.2.0; affects next, react-router, waku and others

• CVE-2025-55182
• CVE-2025-66478

Bronnen: React, CISA KEV catalog feed

King Addons for Elementor: critical flaw under active attack (CVE-2025-8489)

King Addons for Elementor (10,000 actieve installaties) had een rechtenescalatie die aanvallers actief misbruiken. Wordfence had meer dan 48.400 aanvalspogingen geblokkeerd.

Getroffen: King Addons for Elementor before the patched release

• CVE-2025-8489

Bronnen: Wordfence

Advanced Custom Fields: Extended: critical flaw (CVE-2025-13486)

Advanced Custom Fields: Extended (100,000 actieve installaties) had een kwetsbaarheid voor code-uitvoering. Wordfence beoordeelde het met 9,8 en gebruikers moeten naar de gepatchte release bijwerken.

Getroffen: Advanced Custom Fields: Extended before the patched release named in the Wordfence post

• CVE-2025-13486

Bronnen: Wordfence

Shai-Hulud 2.0 worm spreads through npm and GitHub

De tweede golf van de zichzelf verspreidende worm voerde een preinstall-script uit dat met TruffleHog npm-, GitHub- en cloudinloggegevens stal en gebruikte om meer besmette pakketten te publiceren. Wiz telde binnen drie dagen meer dan 25.000 ontwikkelaars met blootgelegde geheimen en slachtoffers waren onder meer pakketten van Zapier, Postman, AsyncAPI en PostHog.

Getroffen: Hundreds of npm packages including posthog-node, posthog-js and posthog-react-native

Bronnen: The Register, Elastic

Cloudflare outage took many websites offline for almost six hours

Een wijziging in databaserechten verdubbelde de grootte van een Bot Management-functiebestand, wat een limiet in de proxy overschreed en die netwerkbreed liet crashen. Cloudflare zegt dat het geen aanval was en de dienst was om 17:06 UTC weer normaal.

Getroffen: Cloudflare CDN, Workers KV, Access, Turnstile and dashboard

Bronnen: Cloudflare

First reported AI-orchestrated espionage campaign used Claude Code on ~30 targets

Anthropic meldde een campagne te hebben verstoord waarvan experts denken dat die waarschijnlijk door een Chinese staatsactor werd uitgevoerd, waarbij aanvallers die zich als beveiligingstesters voordeden Claude Code het meeste verkenningswerk, exploitwerk en dataverzameling lieten doen. Het model verzon soms resultaten, wat volledige autonomie beperkte.

Getroffen: About 30 organisations: technology, chemical, finance and government

Bronnen: Anthropic, ForkLog report on Anthropic's disclosure

AI Engine: critical flaw (CVE-2025-11749)

AI Engine (100,000 actieve installaties) had een rechtenescalatie door het blootleggen van gevoelige informatie. Wordfence beoordeelde het met 9,8 en sites moeten de gepatchte release draaien.

Getroffen: AI Engine before the patched release named in the Wordfence post

• CVE-2025-11749

Bronnen: Wordfence

Post SMTP: critical flaw under active attack (CVE-2025-11833)

Post SMTP (400,000 actieve installaties) had een account-overname via het lekken van het e-maillogboek, zonder inloggen. Er volgden aanvallen en op 19 november had Wordfence meer dan 10.300 aanvalspogingen geblokkeerd.

Getroffen: Post SMTP before the patched release named in the Wordfence post

• CVE-2025-11833

Bronnen: Wordfence, Wordfence