Lek in een WordPress-plug-in gemeld: wat moet u doen?
Door Rien Walraven · Gepubliceerd
Controleer welke versie van de plug-in op uw website draait en update naar de versie waarin het lek is gedicht. Bij een lek waarvoor geen inlog nodig is, telt elke dag. Kijk na de update ook of er onbekende beheerdersaccounts zijn bijgekomen.
Actueel: Easy Digital Downloads tot en met 3.7.2 (3 november 2026)
Volgens Patchstack bevat de WordPress-plug-in Easy Digital Downloads tot en met versie 3.7.2 een lek in de authenticatie (CVE-2026-120538, CVSS-score 8,1). Aanvallers hebben er geen account voor nodig. Patchstack beschrijft dat zij het inlogsysteem kunnen omzeilen of als een andere gebruiker kunnen inloggen zonder wachtwoord, wat kan leiden tot overname van een beheerdersaccount. De plug-in heeft volgens Patchstack ongeveer 40.000 installaties en wordt veel gebruikt door ondernemers die digitale producten en abonnementen verkopen.
Het lek is gedicht in versie 3.7.3. Patchstack verwacht dat het misbruikt gaat worden in grootschalige aanvalscampagnes. Actief misbruik meldt Patchstack (nog) niet. In de changelog van versie 3.7.3 staat dat de accountverificatie bij het afronden van een PayPal-bestelling is versterkt.
Stap 1: stel vast of u de plug-in gebruikt
Open in het WordPress-beheer het overzicht Plug-ins en zoek de naam en het versienummer. Heeft u een beheerder of webbureau, vraag dan om een overzicht van alle plug-ins met versienummers. Ook gedeactiveerde plug-ins kunnen een risico zijn; verwijder wat u niet gebruikt.
Stap 2: update en controleer
Update naar de versie die de leverancier of de beveiligingsdatabase als veilig noemt. Kijk daarna bij Gebruikers of er beheerdersaccounts zijn die u niet kent, en wijzig bij twijfel de wachtwoorden van beheerders. Een geslaagde update dicht het lek, maar draait een inbraak van vóór de update niet terug. Vermoedt u misbruik, schakel dan uw hostingpartij of een beveiligingsspecialist in.
Stap 3: zorg dat u meldingen op tijd ziet
Beveiligingsdatabases zoals Patchstack en Wordfence publiceren kwetsbaarheden in WordPress-plug-ins, vaak met het versienummer waarin het probleem is opgelost. Spreek met uw beheerder af wie deze meldingen volgt en hoe snel kritieke updates worden doorgevoerd. Automatische updates voor plug-ins verkleinen de periode waarin uw website kwetsbaar is, mits u back-ups heeft om terug te gaan als een update iets breekt.
De rol van de Website Auditor
De Website Auditor kijkt van buitenaf naar uw website en brengt zichtbare risico’s en verouderde onderdelen in kaart. Welke plug-inversies precies geïnstalleerd zijn en of er onbekende accounts bestaan, ziet u alleen met toegang tot het beheer. Combineer de audit daarom met een controle in WordPress zelf.
Kort antwoord op vragen die we vaak horen
Welke versie van Easy Digital Downloads is veilig?
Volgens Patchstack is het lek CVE-2026-120538 opgelost in versie 3.7.3. Versies tot en met 3.7.2 zijn kwetsbaar.
Is mijn website al gehackt als ik een kwetsbare versie gebruikte?
Niet per se. Controleer na de update wel of er onbekende beheerdersaccounts zijn en schakel bij twijfel uw hostingpartij of een beveiligingsspecialist in.
Moet ik automatische updates aanzetten?
Voor de meeste kleine websites verkleint dat het risico, mits er recente back-ups zijn. Bespreek het met uw beheerder als uw website maatwerk bevat.