WordPress heeft versie 7.0.3 uitgebracht, een beveiligingsupdate die in totaal twaalf kwetsbaarheden dicht. De ernstigste bug zit in het inlogscherm en maakt cross-site scripting (XSS) mogelijk, een type lek waarmee een aanvaller kwaadaardige code in de browser van een bezoeker kan laten uitvoeren. Beheer je een WordPress-site, dan is deze update geen optioneel extraatje maar iets om vandaag nog te installeren, zeker omdat het inlogscherm standaard voor iedereen bereikbaar is.
Wat maakt het lek in het inlogscherm zo gevaarlijk?
Het inlogscherm is bij de meeste WordPress-sites publiek bereikbaar, ook als de rest van de site achter een muur staat. Dat maakt een XSS-kwetsbaarheid op precies die pagina extra riskant, want een aanvaller heeft geen account nodig om de kwetsbare code te bereiken.
Een beveiligingsonderzoeker die betrokken was bij het onderzoek naar de release noemde dit lek tegenover Search Engine Journal het vervelendste van de bundel. Met een geslaagde XSS-aanval kan een kwaadwillende bijvoorbeeld sessiecookies stelen, een nepinlogformulier tonen of proberen beheerdersrechten te kapen zodra een ingelogde beheerder de kwetsbare pagina bezoekt. Dat laatste scenario is voor veel sites het duurste, omdat een beheerdersaccount toegang geeft tot vrijwel alles.
Welke andere kwetsbaarheden verhelpt WordPress 7.0.3?
Naast het XSS-lek in het inlogscherm bevat de release fixes voor elf andere kwetsbaarheden, verspreid over de kernsoftware van WordPress. WordPress deelt bij dit soort releases doorgaans geen volledige technische details totdat een groot deel van de sites is bijgewerkt, om misbruik te voorkomen.
Uit eerdere kernupdates van WordPress blijkt dat dit soort bundels meestal een mix bevat van kwetsbaarheden:
- Cross-site scripting in beheerdersschermen of contactformulieren
- Onvoldoende invoervalidatie waarmee data gemanipuleerd kan worden
- Kwetsbaarheden die rechtenescalatie of directe objectverwijzing mogelijk maken
- Kleinere bugs die pas een risico vormen in combinatie met specifieke plugins of thema's
WordPress brengt kleine puntreleases zoals 7.0.3 doorgaans buiten de reguliere releasekalender om uit, zodra het beveiligingsteam een kwetsbaarheid als urgent bestempelt. Dat gebeurt gemiddeld enkele keren per jaar en staat los van de grote functionele updates die meestal meer aankondiging krijgen.
Wat betekent dit voor jouw website?
Bij WordPress-kernupdates met een beveiligingskarakter geldt een simpele regel: hoe eerder je bijwerkt, hoe kleiner het risico. Veel hostingpartijen zetten automatische achtergrondupdates voor kleine releases als 7.0.3 standaard aan, maar niet elke configuratie doet dat, zeker niet bij zelfbeheerde installaties of verouderde hostingpakketten.
Controleer daarom handmatig of jouw site al op versie 7.0.3 draait. Dat overzicht vind je terug onder Dashboard, rechtsonder in het scherm, of via de instellingenpagina van je hostingpakket. Draait je site nog op een oudere 7.0-versie, wacht dan niet tot het volgende onderhoudsmoment.
Waarom een gehackte WordPress-site ook je marketing raakt
Een succesvolle XSS-aanval op je inlogscherm blijft zelden beperkt tot een technisch ongemak. Zoekmachines waarschuwen bezoekers voor onveilige sites, en dat kost je direct organisch verkeer en vertrouwen dat je met maanden aan contentwerk hebt opgebouwd.
Voor bedrijven die via SEO en content klanten werven, is een paar dagen downtime of een waarschuwingsbanner in Google vaak duurder dan de tien minuten die een update kost. Beveiliging is in die zin gewoon onderdeel van je marketingstrategie, niet iets ernaast, en verdient dezelfde aandacht als je contentplanning.
Zo controleer en update je WordPress veilig
Werk je liever niet blind een productieomgeving bij, dan is een korte checklist op zijn plaats voordat je op de updateknop klikt.
- Maak eerst een volledige back-up van bestanden en database
- Controleer of je actieve plugins en thema compatibel zijn met de nieuwste kernversie
- Update via het dashboard of laat je hostingpartij de update forceren
- Test na de update het inlogscherm en de belangrijkste formulieren op de site
Wacht niet met updaten tot een plugin het meldt of een klant erover belt. Zet een vast moment in je week om het dashboard van al je WordPress-sites te controleren, of laat een onderhoudscontract dat structureel voor je regelen. Bij een release met een hoge ernstclassificatie zoals deze loont het om binnen 24 tot 48 uur bijgewerkt te zijn, niet pas bij de eerstvolgende geplande onderhoudsronde.
Bron: Search Engine Journal