WordPress

Zeven WordPress-plugins van BdThemes maakten via een vergiftigde promotiefeed stille beheerdersaccounts aan, zonder dat er een bestand veranderde. Wat er gebeurde, waar je op controleert en waarom dit een leverancierskeuze is.

Een kernlek in WordPress wordt binnen uren misbruikt. Deze gids loopt eerst de sporencheck af (ben je al binnen geweest?) en bouwt daarna de routine: gelaagde auto-updates, staging, pluginaudit en monitoring.

Een kritiek lek in de WordPress-kern laat aanvallers zonder inloggen code op je website draaien. Beveiligingsbedrijven zien al misbruik en het NCSC verwacht meer. Draai je je site zelf, patch dan vandaag naar de nieuwste versie.

Een gestolen Cloudflare-sleutel gaf aanvallers urenlang controle over Brevo's CDN-rand. Ingebouwde formulieren, chat en JavaScript brachten ClickFix naar klantensites, inclusief een WordPress-backdoor voor ingelogde beheerders.

Netskope telde ruim 5.400 gehackte WordPress- en PrestaShop-sites die hun bezoekers een nep-CAPTCHA voorschotelen. De code staat in een smart contract op een testnet, dus opschonen van je eigen site is de enige uitweg.

Een kritiek uploadlek in Elementor Pro wordt sinds 19 augustus actief misbruikt op WordPress-sites. Wordfence blokkeerde ruim 190.000 pogingen. Versie 4.2.2 dicht het gat, maar de changelog van Elementor verraadt die urgentie nergens.

Elke tweede dinsdag patchen was een prima plan toen een lek nog jaren bleef liggen. Nu een vers gat binnen uren een wapen is, bepaalt niet je patch-datum maar je reactie-tempo of je nog staat.

Microsoft verwijderde 119 kwaadaardige Edge-extensies die jarenlang inloggegevens, tweestapscodes en sessiecookies stalen. Samen tot 2,6 miljoen keer geinstalleerd. Een directe reden om je browserextensies na te lopen.