Lek in populaire WP Ghost-plugin maakt WordPress-sites kwetsbaar
De WP Ghost-plugin voor WordPress bevat een kwetsbaarheid die het mogelijk maakt op afstand code uit te voeren op systemen die WordPress draaien. De kwetsbaarheid is inmiddels verholpen via een update. Hiervoor waarschuwt Patchstack, dat in een blogpost details over het lek deelt.
Het gaat om CVE-2025-26909, wat een Local File Inclusion (LFI)-kwetsbaarheid is en wordt ingeschaald als kritiek. LFI is een type beveiligingskwetsbaarheid in webapplicaties die ontstaat indien applicaties invoer van gebruikers accepteren zonder deze correct te valideren of op te schonen. In de praktijk maakt dit het mogelijk bestanden op de server te lezen die normaal niet toegankelijk zouden zijn, of op afstand code uit te voeren op systemen.
WP Ghost is een populaire plugin voor WordPress, met meer dan 200.000 actieve installaties. Het securityprobleem treft dan ook een groot aantal WordPress-sites. Het lek is gedicht in versie 5.4.02 van de plugin. Gebruikers krijgen het advies zo snel mogelijk naar deze versie te updaten.
Het hele internet loopt er op. Maar wat stel jij voor dan? Dat Jantje Doorsnee Apache gaat installeren en in /var/www gaat kloten? Dat gaat nooit gebeuren. Dus rent iedereen gewoon achter de feiten aan. Het is niet anders. En dat gaat ook niet meer veranderen.
Het hele internet loopt er op. Maar wat stel jij voor dan? Dat Jantje Doorsnee Apache gaat installeren en in /var/www gaat kloten? Dat gaat nooit gebeuren. Dus rent iedereen gewoon achter de feiten aan. Het is niet anders. En dat gaat ook niet meer veranderen.
Bij een provider is het meestal kiezen tussen WordPress, Joomla of Drupal. Voor een grote site zou ik voor Django gaan en een ontwikkelaar inhuren.
wat niet meer ondersteund of brak is.
Scan hier: https://hackertarget.com/wordpress-security-scan/
Niet vergeten: user enumeration en directory listing uitschakelen na installatie van je WP site.
Maar velen schaffen een website aan voor een hoop geld en doen dan verder geen onderhoud meer.
De (flinke) rekening zal dan vast later onder in de zak zitten.
Want die de beslissingen nemen, hebben er geen verstand van
en die er verstand van plachten te hebben, daar wordt heel vaak geen rekening mee gehouden.
Helaas, pindakaas.
wat niet meer ondersteund of brak is.
Scan hier: https://hackertarget.com/wordpress-security-scan/
Niet vergeten: user enumeration en directory listing uitschakelen na installatie van je WP site.
Maar velen schaffen een website aan voor een hoop geld en doen dan verder geen onderhoud meer.
De (flinke) rekening zal dan vast later onder in de zak zitten.
Want die de beslissingen nemen, hebben er geen verstand van
en die er verstand van plachten te hebben, daar wordt heel vaak geen rekening mee gehouden.
Helaas, pindakaas.
Ja, maar een groot deel van de WP websites is voor de kleinere bedrijven, en die willen graag voor 'weinagh' een plek op het web hebben.
Dus bij een 'snel klaar en goedkoop' bureautje, die dan een website in elkaar trappen met een theme, en dan lekker alles zijn beloop laten. Wat jij voorstelt is voor veel bedrijven financieel een stap te ver. Jammer genoeg....
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Cybersecurity Trainer / Full Stack Developer
bij Certified Secure
Ben je toe aan een nieuwe nieuwe job waarmee je het verschil maakt? Wil jij je security kennis graag delen en hands-on laten zien hoe cybersecurity in de praktijk echt werkt? Werk je net als wij graag samen met enthousiaste en gedreven collega's? Bij ons geen bureaucratie maar open communicatie en een werkomgeving gericht op samenwerking.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
