KMO-IMPACT: DRINGEND
Draait uw bedrijfswebsite of webshop op WordPress met Elementor Pro? Controleer vandaag of u minstens versie 4.2.2 heeft. In oudere versies (tot en met 4.2.1) zit een kritiek lek waardoor iemand zonder login een PHP-bestand kan uploaden via een contactformulier met bestandsbijlage — en zo de server kan overnemen. Het lek is gepatcht op woensdag 19 augustus 2026; sindsdien is er bevestigd actief misbruik.
Wat is er mis met Elementor Pro
Het gaat om CVE-2026-32475: een fout in de controle van bestanden die via het Formulier-widget (File Upload) binnenkomen. Aanvallers kunnen de validatie omzeilen door een leeg uploadvak te combineren met een kwaadaardig .php-bestand. Dat bestand belandt onder /wp-content/uploads/elementor/forms/ en is daarna rechtstreeks aanroepbaar.
Misbruik is alleen mogelijk als er een gepubliceerd Elementor Pro-formulier met minstens één bestandsuploadveld online staat — een veelgebruikte setup bij offertes, sollicitaties en support. Elementor Pro telt meer dan zes miljoen actieve installaties. Patchstack classificeert het lek als hoog prioriteit (CVSS rond 9).
Wordfence (Defiant) meldt bijna 200.000 geblokkeerde exploitpogingen bij klanten, met een piek tussen 19 en 23 augustus 2026. Aanvallers startten dezelfde dag als de patch.
Wat moet u nu doen
Upgrade Elementor Pro naar 4.2.2 of nieuwer. Staat de update niet klaar: check de licentie en laat uw webpartner of hoster meedraaien. Daarna:
- Open
wp-content/uploads/elementor/forms/en zoek naar onverwachte.php-bestanden — dat is een sterk teken van compromittering. - Bekijk logs op verdachte requests naar
/wp-admin/admin-ajax.phprond formuliervoorzieningen. - Vindt u verdachte bestanden: verwijder ze, scan op backdoors en reset waar nodig wachtwoorden en API-keys.
Voorkom herhaling: blokkeer PHP-uitvoering in de uploads-map (hosting of beveiligingsplugin). Dat helpt ook bij toekomstige uploadlekken.
Wat betekent dit voor uw onderneming?
Voor wie: vennootschappen en zelfstandigen met een WordPress-site of -webshop waarop Elementor Pro staat, vooral met een publiek formulier met bestandsupload.
Vanaf wanneer: patch beschikbaar sinds woensdag 19 augustus 2026; actief misbruik bevestigd.
Financiële impact: geen vaste boete in de bronnen; wel risico op volledige site-overname, datalek, ransomware of stilgelegde webshop.
Wat moet u doen: versie controleren, updaten naar 4.2.2+, uploadmap controleren op PHP, desnoods herstelplan starten.
Deadline: geen CISA-KEV-datum in de bronnen; praktisch: vandaag, zolang de site nog op 4.2.1 of ouder draait.
Nog niet duidelijk: hoeveel Belgische of Vlaamse sites precies kwetsbaar blijven; of uw specifieke formuliervelden het aanvalspad openzetten zonder dat u het weet.
