WordPress-lek WP2Shell: zo update en controleer je je site

WP2Shell is een kritiek lek in WordPress waarmee een aanvaller zonder inloggen je hele site kan overnemen. Update daarom naar de nieuwste WordPress-versie en controleer daarna of er geen onbekende beheerders of plugins zijn bijgekomen; hieronder lees je hoe.

Update 25 september 2026: Na de WP2Shell-fix bracht WordPress meer beveiligingsupdates uit, op 22 september 2026 nog versie 7.1.2 tegen een nieuw kritiek lek (bron); draai dus de nieuwste versie in plaats van 7.0.2. Verder gecorrigeerd: WP2Shell is CVE-2026-63030 (CVE-2026-60137 is een los SQL-lek dat in dezelfde update is gedicht), het 60%-cijfer van Wiz gaat over organisaties in hun eigen klantdata en niet over alle sites, en de plugin “WPS Hide Login” is als lapmiddel geschrapt omdat die de REST API niet afsluit.

Wat is er aan de hand?

Op 17 juli 2026 maakte Searchlight Cyber een kritiek lek in de kern van WordPress bekend, dat onderzoeker Adam Kues “WP2Shell” doopte. Het lek (CVE-2026-63030) combineert een fout in de REST API-batchroute met een SQL-injectie in het author__not_in-veld en levert een aanvaller volledige remote code execution op, zonder dat die eerst hoeft in te loggen (Bron: WordPress.org). In dezelfde update dichtte WordPress een tweede, los gemeld SQL-lek: CVE-2026-60137 (Bron: Help Net Security). Beveiligers als Wiz behandelen de twee samen als één aanvalsketen. In gewoon Nederlands: iemand kan je hele WordPress-site overnemen door één simpel HTTP-verzoek te sturen.

Wiz Research meldde binnen enkele dagen dat aanvallers het lek actief misbruiken. In de klantdata van Wiz had op de publicatiedatum 60% van de organisaties met WordPress minstens één kwetsbare installatie, en 25% had er een direct bereikbaar vanaf het internet (Bron: Wiz Research). Binnen 24 uur daalde dat naar 50% en 10%. Heb jij nog niet gepatcht, dan hoor je nog steeds bij de doelen.

Het Nederlandse Nationaal Cyber Security Centrum (NCSC) publiceerde direct een waarschuwing en verwachtte “op korte termijn misbruik”, omdat kwetsbaarheden in contentmanagementsystemen structureel de aandacht van kwaadwillenden trekken (Bron: Security.NL). Automattic, het bedrijf achter WordPress, riep alle gebruikers op meteen te updaten, en WordPress.org zette vanwege de ernst zelfs geforceerde automatische updates aan voor kwetsbare versies (Bron: WordPress.org).

Beginner-tip: Draai je zelf WordPress niet, maar staat er “powered by WordPress” onderaan je site, of gebruik je een WordPress-thema via Elementor of Divi? Dan draait je site op WordPress-kern en gelden deze updates óók voor jou. Bij twijfel: bel je websitebouwer of hoster vandaag.

Voor wie is dit dringend?

Elke ondernemer met een WordPress-site geraakt door een van deze versies:

De kern-fix zit in de 7.0.2-release van 17 juli 2026 (Bron: WordPress.org). Deze tabel toont de eerste versies mét fix; sindsdien verschenen meer beveiligingsupdates, dus draai altijd de nieuwste versie (op 25 september 2026 is dat 7.1.2). Ruim 41% van alle websites draait volgens W3Techs op WordPress, en het grootste MKB-segment (webshops op WooCommerce, portfolio’s, agenda’s, ledenpagina’s) zit vrijwel altijd op de nieuwste of één-na-nieuwste hoofdversie. Als jij de laatste twee jaar niet actief hebt gewerkt aan een oudere versie vastprikken, val jij binnen de kwetsbare groep.

Zo update je in vijf minuten

De meeste MKB-sites draaien automatische updates, maar niet allemaal. Loop deze route:

1. Log in op WordPress-beheer (jouwdomein.nl/wp-admin).
2. Dashboard → Updates: bovenaan staat je huidige versie plus de knop “Nu bijwerken” als er iets klaarstaat.
3. Klik ‘Nu bijwerken’. Bij grote sites (veel plugins, WooCommerce, custom-themes): eerst een back-up, dan de update. Bij een kleine bedrijfssite: gewoon klikken.
4. Check je plugins meteen mee. Verouderde plugins zijn de gebruikelijke tweede inval; als je toch bezig bent, werk ze ook bij.
5. Bij een beheerde host (Hostnet, TransIP, Antagonist, Combell, SiteGround, Kinsta): mail of bel om te bevestigen dat je site op de nieuwste versie draait. De meeste hosts patchen automatisch, maar je wilt zwart-op-wit weten wanneer.

Beginner-tip: Weet je niet welk hoster je gebruikt? Kijk in je jaarlijkse factuur, of vraag het aan je websitebouwer. Wie de site technisch beheert, is verantwoordelijk voor de update. Maar als het misgaat, helpt “dat wist ik niet” je weinig.

Als updaten nu écht niet kan

Soms zit een site vast op een oude WordPress-versie omdat een custom plugin of thema breekt bij de update. Dat kán, maar dan moet je een tijdelijke muur bouwen. Twee noodopties, allebei door Searchlight Cyber en Wiz genoemd:

1. WAF-blokkade: zet een filter op je Web Application Firewall die verkeer naar /wp-json/batch/v1 en ?rest_route=/batch/v1 blokkeert. Bij Cloudflare, Sucuri of Wordfence kun je daar een eigen regel voor instellen.
2. Plugin-lapmiddel: installeer een plugin die anonieme REST API-toegang uitschakelt, zoals “Disable REST API”.

Beide zijn tijdelijk en kunnen normaal gebruik van je site hinderen, waarschuwt Searchlight Cyber. Zie ze als noodmaatregel tot je kunt updaten (Bron: Help Net Security).

Ben je al gehackt? Herken de sporen

Wiz Research zag drie soorten backdoors op geïnfecteerde sites verschijnen:

• Kleine PHP-oneregelaars die opdrachten uitvoeren via een geheim wachtwoord in de POST-request en HTTP 404 teruggeven om detectie te ontlopen.
• 150 KB grote nep-plugins verkleed als “CMSmap”, een bestaande legitieme security-tool waarvan de naam gekaapt is. Deze bevatten een grafische interface, database-toegang en meerdere manieren om extra rechten te veroveren.
• Custom REST-endpoints die commando’s uitvoeren via een base64-geëncodeerde parameter, bijna onzichtbaar in normale logs.

Wat kan je zelf checken zonder security-expert?

1. Plugin-lijst: zie je plugins die je niet zelf installeerde? Verwijder ze. “CMSmap”, of iets met een nietszeggende naam zoals “gg-” of “morning” is verdacht.
2. Beheerders: Gebruikers → filter op “Beheerder”. Onbekende namen? Vraag onmiddellijk om verwijdering en verander alle wachtwoorden.
3. Server-logs (via je hosting-paneel of FTP): zoek naar HTTP 207-responses op /wp-json/batch/v1. Wiz noemt dat een vrij betrouwbare aanwijzing voor misbruik (Bron: Wiz Research).

Vind je iets? Neem een schone back-up (van vóór 17 juli), reset alle admin-wachtwoorden, en overweeg een schone WordPress-installatie met terugzet van alleen de content. Twijfel je, doe het dan niet alleen: een half schoongemaakte site is een sluipschutter die over drie maanden terugkeert.

Wat dit verhaal echt betekent

Er is een grotere strekking die niet in de patch-instructie past, maar wel in je hoofd hoort te blijven zitten. Adam Kues ontdekte WP2Shell met OpenAI’s GPT-5.6 Sol Ultra, destijds het nieuwste topmodel uit de Sol-familie. Het hele traject van “ik heb de WordPress-broncode geladen” naar “ik heb een werkend exploit” duurde ruim tien uur. Volgens Kues kostte het omgerekend ongeveer $25: de helft van het weektegoed van zijn abonnement van $200 per maand. Exploitbrokers betalen volgens Searchlight tot $500.000 voor zo’n WordPress-exploit (Bron: Searchlight Cyber).

Reken dat even na: één onderzoeker vindt in tien uur voor circa $25 iets waar exploitbrokers een half miljoen voor betalen. Dat is een enorm rendement, en het betekent dat onderzoek waar vroeger een team maanden over deed, nu binnen bereik ligt van elk slim individu met een AI-abonnement. De drempel om kritieke lekken te vinden is deze zomer gekelderd. WordPress is het meestgebruikte websitesysteem ter wereld, en er komen naar verwachting meer AI-gevonden lekken aan, in WordPress en in andere grote open-sourceprojecten.

Wat dat voor jou als ondernemer betekent: updaten wordt geen jaarlijkse hygiëne meer, maar wekelijkse discipline. Zet automatische updates aan waar het kan, koop een beheerd hosting-abonnement waar dat niet kan, en zorg dat er iemand in je bedrijf verantwoordelijk is voor “hebben we deze week gepatcht?”. Sluit aan bij een security-nieuwsbrief zoals Security.NL of laat je host je waarschuwen. In een wereld waar AI-modellen exploits vinden voor de prijs van een boterham, is 48 uur uitstel wat vroeger 30 dagen was. Hoe dat uitpakt bij een lek in PHP zelf, lees je in onze vijf vragen voor je hoster na PHP2Shell.

Gevorderden: De WP2Shell-chain misbruikt de WordPress REST API batch-endpoints om unauthenticated code execution te bereiken. Als je zelf incidents onderzoekt: HTTP 207 Multi-Status responses op batch-verzoeken zijn volgens Wiz een vrij betrouwbare indicator, net als user-agent-strings met wp2shell of rezwp2shell, die duiden op purpose-built exploitation-frameworks. Wiz heeft de volledige IOC-lijst gepubliceerd inclusief SHA1-hashes van vijf webshell-varianten en de IP-adressen die bij exploitatie en scans zijn gezien (Bron: Wiz Research).

Tot slot: hoe voorkom je dit de volgende keer?

Er komt een volgende keer: op 22 september 2026 dichtte WordPress met versie 7.1.2 alweer een kritiek lek, vijf dagen na het Click2Shell-lek waarbij één klik van een beheerder genoeg is. Drie gewoontes waarmee je de meeste ellende voorkomt:

1. Automatische WordPress-updates aan: via Dashboard → Updates voor WordPress zelf, en via de plugin-lijst per plugin (automatische updates inschakelen).
2. Beheerd hosting waar de host verantwoordelijk is voor security-patches, mits ze dat zwart-op-wit in hun SLA zetten.
3. Wekelijkse check: iemand in je team (of jij zelf, 5 min per week) die inlogt en Dashboard → Updates checkt. Wat 30 minuten per maand kost, spaart je een verwoestend weekend.

En voor de bredere AI-security-context waarin dit soort lekken de nieuwe norm worden: onze praktijkgids AI-agents betrouwbaar inzetten legt uit hoe je AI-tools in je bedrijf zo inricht dat één slecht moment niet je hele operatie omtrekt. Voor een breder overzicht van hoe de dreiging verandert, geeft het laatste AI-nieuws doorlopend het overzicht.

Dat dit geen theoretisch scenario is, bevestigde Anthropic in september: één aanvaller gebruikte AI om een WordPress-lek uit te buiten bij minstens vier sites, en vergiftigde daarbij de back-ups. Wat dat voor kleine bedrijven betekent, staat in ‘Te klein om interessant te zijn’ geldt niet meer. Dat overheidsinstanties zelf inmiddels hetzelfde alarm slaan, blijkt uit de gezamenlijke waarschuwing van AIVD, NCTV en vijf andere diensten: AI versnelt cyberaanvallen.

Voor nu: log in, check je versie en klik op bijwerken als er iets klaarstaat.