WordPress 7.1.4: wat je nu moet doen

Stand van zaken op 1 november 2026

WordPress 7.1.4 dicht een kritiek lek waarmee een aanvaller zonder inloggegevens code op je webserver kan uitvoeren (CVSS 8,1). Het wordt al misbruikt: Wordfence blokkeerde binnen 24 uur 62.969 exploitpogingen. Geraakt zijn WordPress 4.7 tot en met 7.1.3. Sites op 7.1.4 of op een gepatchte versie van hun eigen branch zijn niet geraakt.

Wat je nu moet doen na het WordPress 7.1.4-lek

1. Update elke WordPress-site naar 7.1.4 of naar de gepatchte versie van je branch. Controleer de versie via Dashboard > Updates, ook als automatische achtergrondupdates aanstaan. Sites met automatische updates kunnen de release zonder handmatige actie ontvangen, maar dat is geen garantie dat het gelukt is.

2. Zoek in de toegangslogs naar verzoeken naar PHP-bestanden onder wp-content/upgrade, zoals setup-config.php. Controleer ook op onbekende beheerdersaccounts, plugins en PHP-bestanden, zoals MSP Business adviseert.

3. Scan de site na de update op malware en backdoors.

4. Vraag je webbureau of hoster schriftelijk om bevestiging van de WordPress-versie per site.

5. Gedeeltelijke maatregel: de Wordfence-firewallregel. Premium-, Care- en Response-klanten kregen direct bescherming, gebruikers van de gratis versie krijgen de regel pas op 27 november 2026. Een firewall vervangt de update niet.

Wie wel en niet geraakt is: WordPress 4.7 tot en met 7.1.3

Alle versies van WordPress 4.7 tot en met 7.1.3 zijn kwetsbaar. Niet geraakt zijn sites op 7.1.4 en op de gepatchte eerdere releases, zoals 7.0.8, 6.9.11 en versies tot 4.7.39. WordPress adviseert direct te updaten, want alleen de nieuwste versie blijft actief ondersteund.

Het lek is alleen te misbruiken tijdens een Core-update met een volledig WordPress-pakket. Dat maakt het smaller dan een gewoon plugin-lek, maar meer dan veertig procent van alle websites draait op WordPress, dus de doelgroep is groot.

Wat er gebeurd is: een lek in het updateproces zelf

WordPress bracht op woensdag 28 oktober 2026 een update uit voor een kwetsbaarheid die ongeauthenticeerde code-uitvoering mogelijk maakt, zo meldde Security.NL. Tijdens een Core-update worden nieuwe bestanden uitgepakt naar een voorspelbare map die vanaf internet bereikbaar is. Daar staat ook de WordPress-installer bij. Een aanvaller die die op het juiste moment aanroept, kan code uitvoeren.

Release 7.1.4 dicht in totaal 22 kwetsbaarheden in 17 advisories. Aanvallers triggerden de nieuwe firewallregel van Wordfence negen minuten na uitrol. Op 29 oktober waarschuwde Wordfence dat het misbruik actief is, en meerdere aanvallers pollden tot 14,5 uur lang paden zoals setup-config.php. Het CVE-record volgde op 31 oktober, drie dagen na de release.

Geblokkeerde pogingen zijn geen geslaagde inbraken. In laboratoriumomstandigheden duurde het kwetsbare venster slechts seconden, en Patchstack acht misbruik daardoor lastig. Toch hoeft een aanvaller die urenlang pollt maar één keer raak te schieten. Bij een geslaagde aanval kan hij willekeurige PHP-code draaien, beheerdersrechten krijgen en backdoors of webshells plaatsen. Daarna liggen gegevensdiefstal of ransomware open.

Bij Ratho zien we dat bureaus en hosters updates vaak gebundeld en op vaste tijden uitrollen. Eén gemist moment raakt dan veel sites tegelijk, en dat staat ook in de analyse van MSP Business. Heeft je webshop klantgegevens en is hij overgenomen, dan kan dat ook een meldplicht datalekken (AVG) opleveren.

Bronnen

• Security.NL: WordPress dicht lek dat aanvaller code laat uitvoeren

• Cyberpress: Hackers actively target WordPress RCE flaw

• Securityonline: WordPress Core Vulnerability Exploited in the Wild

• RSWebSols: WordPress 7.1.4 Update Addresses 22 Security Vulnerabilities

• Aviatrix: WordPress RCE Flaw Exploited: 63,000 Attacks in 24 Hours