KMO-IMPACT: ACTIE NODIG
Draait uw webshop of bedrijfswebsite op WordPress met de plugin All-in-One WP Migration and Backup tot versie 7.109, update vandaag naar 7.110 of nieuwer. Bij een gewone backup-restore kan een eerder geplante aanval de geheime importsleutel lekken en zo de hele site overnemen. De gratis Wordfence-firewallregel voor dit lek komt pas maandag 15 september 2026; de pluginupdate is de echte fix.
Wat er speelt
CVE-2026-19949 is een SQL-injectie van de tweede orde (CVSS 8.8) in All-in-One WP Migration and Backup tot en met 7.109. Een aanvaller zonder login kan via trackbacks kwaadaardige data in de commentaartabel zetten. Die data blijft slapend tot een beheerder een archief exporteert en opnieuw importeert — precies waarvoor de plugin bedoeld is. Tijdens die restore kan de plugin de geheime sleutel ai1wm_secret_key lekken via een publieke comment. Met die sleutel kan de aanvaller een kwaadaardig .wpress-archief importeren en code uitvoeren op de server.
Onderzoeker Jack Taylor meldde het lek op 14 augustus 2026 via het Wordfence Bug Bounty Program. Wordfence deelde het op 15 augustus met ontwikkelaar ServMask; die publiceerde de patch in versie 7.110 op 20 augustus 2026. Wordfence publiceerde de technische analyse begin september 2026. Premium-gebruikers van Wordfence kregen al op 16 augustus 2026 een firewallregel; de gratis versie krijgt dezelfde bescherming op maandag 15 september 2026.
De plugin telt meer dan vijf miljoen actieve installaties. Kort na de openbare melding stond volgens WordPress.org-cijfers (via Wordfence) slechts ongeveer 35 procent op de gepatchte versie — goed voor ruwweg 3,25 miljoen kwetsbare sites. Of die verhouding intussen is verbeterd, staat niet in de bron; zonder bevestigd versienummer blijft uw site in de risicogroep.
Impact voor uw website
Voor wie migraties, hostingwissel of periodieke restores doet, is dit geen theoretisch scenario: export en import zijn de kern van de plugin. Een gedeactiveerde maar nog geïnstalleerde kwetsbare versie verkleint het venster, maar zodra u de plugin activeert en restoreert, kan een eerder geplante payload alsnog afgaan. Gevolg bij geslaagde aanval: volledige sitecontrole, webshells, gestolen klant- en betaalgegevens, of een omgeleide webshop.
Wat betekent dit voor uw onderneming?
Voor wie: kmo’s met een WordPress-site of -webshop die All-in-One WP Migration and Backup (ServMask) gebruiken, ook via een hostingpartner of bureau.
Vanaf wanneer: patch beschikbaar sinds 20 augustus 2026; openbare Wordfence-analyse begin september 2026; gratis Wordfence-WAF maandag 15 september 2026.
Financiële impact: geen vast bedrag in de bron. Risico zit in downtime, herstelkosten, datalek en omzetverlies bij een overgenomen webshop.
Wat moet u doen: noteer de pluginversie in Plugins. Staat er 7.109 of lager: update onmiddellijk naar 7.110 of nieuwer. Vraag uw bureau of hoster schriftelijk om bevestiging. Doe geen export/import tot de patch staat. Controleer na update recente comments/trackbacks en of er onbekende must-use plugins onder wp-content/mu-plugins staan.
Deadline: zo snel mogelijk; richt u praktisch op maandag 15 september 2026 (gratis WAF-dag) — de pluginupdate mag niet wachten tot die firewallregel.
Nog niet duidelijk: of uw specifieke installatie al geraakt is vóór de patch — dat vraagt log- en filecheck.
Vraag vandaag aan wie uw WordPress beheert: “Welke versie van All-in-One WP Migration and Backup draaien we, en staat 7.110 of hoger erop vóór de volgende backup of migratie?” Zonder bevestigd versienummer blijft het risico open. Een firewallregel is geen vervanging voor de update.
