WordPress 7.1.4: update nu, er wordt actief aangevallen

WordPress heeft op 28 oktober 2026 beveiligingsrelease 7.1.4 uitgebracht. Daarin zit onder meer een fix voor een zwakte in het upgradeproces. Tijdens het korte moment waarop WordPress zichzelf bijwerkt, kon een aanvaller zonder in te loggen code op je server uitvoeren: dus eigen scripts laten draaien alsof hij beheerder is. Volgens Security.NL (30 oktober) zag Wordfence kort na de patch al aanvallen. Volgens Wordfence (via The Hacker News) zijn in 24 uur 62.969 van zulke pogingen geblokkeerd.

Kort: update naar 7.1.4, controleer daarna of er iets is binnengekomen, en schakel hulp in als je iets vreemds ziet. Hieronder staat wat het lek doet, wat jij zelf kunt checken, en wanneer wij het overnemen.

Wat er precies misgaat (in gewone taal)

Dit lek zit niet in een obscure plugin. Het zit in hoe WordPress een volledige core-update uitpakt (een zogenoemde full-package update).

Volgens Wordfence (via The Hacker News) pakt een kwetsbare WordPress-versie de nieuwe bestanden uit naar een voorspelbare map onder wp-content/upgrade. Die map is op veel servers vanaf internet bereikbaar. In die tijdelijke kopie zit ook de installer. Een aanvaller die zonder in te loggen precies op het juiste moment die installer aanroept, kan code op de server laten draaien. Het is een race: het venster is kort, maar aanvallers blijven urenlang dezelfde paden pollen.

Security.NL beschrijft hetzelfde: full-package update, voorspelbare directory, installer, en een aanval zonder login als iemand het juiste moment raakt. Wordfence zag volgens Security.NL aanvallers die ruim veertien uur lang bij een select aantal sites de installer bleven aanroepen. The Hacker News noemt voor twee grote bronnen ongeveer 14,5 uur.

Volgens Wordfence (via The Hacker News) geldt dit voor WordPress-versies 4.7 tot en met 7.1.3, met een ernstscore van 8,1 (CVSS). Er is nog geen CVE-nummer. WordPress zelf noemt in de nieuwsbrief de release 7.1.4 en dat de beveiligingsfixes ook worden teruggebracht naar oudere branches tot 4.7. Alleen de nieuwste WordPress-versie wordt actief ondersteund.

Checklist: wat jij nu doet

1. Update naar WordPress 7.1.4 (of naar de beveiligingsrelease van jouw branch als je nog op een oudere lijn zit; WordPress brengt fixes terug tot branch 4.7). Ga in je dashboard naar Updates en klik op Nu bijwerken, of vraag het aan je hoster of beheerder. Bron: wordpress.org/news/2026/10/wordpress-7-1-4/.
2. Controleer beheerdersaccounts. Staat er een gebruiker met beheerdersrechten die jij niet kent? Verwijder die en draai wachtwoorden om. Volgens Wordfence (via The Hacker News) hoort dit bij de controle na de update.
3. Controleer plugins. Zie je plugins die jij niet hebt geïnstalleerd? Schakel ze uit, verwijder ze, en onderzoek hoe ze daar kwamen. Zelfde bron.
4. Controleer PHP-bestanden onder wp-content/upgrade. Verdachte of onbekende PHP-bestanden in die map, of verzoeken ernaartoe in je logs, zijn een rood signaal. Volgens Wordfence (via The Hacker News) moeten die paden mee in je controle.

Wat als je iets vindt?

Raak niet in paniek, en ga ook niet blind bestanden wissen zonder back-up. Maak eerst een kopie van wat je ziet (screenshots, bestandsnamen, tijdstippen).

• Lees de uitleg van Wordfence via The Hacker News.
• De Nederlandse samenvatting op Security.NL.
• Officiële release: wordpress.org/news/2026/10/wordpress-7-1-4/.
• Twijfel je of de site al is overgenomen: stuur je situatie door via onze opruimdienst WordPress-site gehackt. Wij ruimen een besmette WordPress-site op, ook als je hosting niet bij ons staat. Op die pagina staat geen vaste catalogusprijs: we kijken eerst hoe diep het zit en noemen daarna een vast bedrag.

Liever niet zelf de update-roulette?

Bij WordPress-onderhoud uitbesteden doen wij de core-, plugin- en thema-updates voor je, controleren we of de site daarna nog doet wat hij moet doen, en krijg je een maandrapport. Je site mag blijven staan waar hij nu staat.

Prijzen op de onderhoudspagina (excl. btw):

• Basis: € 59,00 per maand excl. btw
• Uitgebreid: € 199,00 per maand excl. btw
• Premium: € 399,00 per maand excl. btw
• Portfolio (5 sites): € 499,00 per maand excl. btw; elke extra site € 79,00 excl. btw

Alle vier maandelijks opzegbaar. Welk pakket past, hangt af van je site; we zeggen het ook als een kleiner pakket volstaat. Vraag een voorstel aan via de onderhoudspagina.

Heb je al een onderhoudspakket bij ons: dan hoef je deze release niet zelf te jagen. Wij updaten en controleren dit voor je. Ziet de checklist er bij jou toch verdacht uit, gebruik dan WordPress-site gehackt of stuur wat je ziet via de onderhoudspagina.

Kort samengevat

1. Update naar 7.1.4 (of de backport van jouw branch).
2. Check beheerders, onbekende plugins en PHP onder wp-content/upgrade.
3. Bij twijfel: WordPress-site gehackt.
4. Voor structureel bijhouden: WordPress-onderhoud uitbesteden.

Veelgestelde vragen