KMO-IMPACT: ACTIE NODIG
Gebruikt uw website The Events Calendar tot en met versie 6.17.4, update vandaag naar 6.17.4.1 of nieuwer. Zonder die patch kan een bezoeker zonder login, via een gewoon commentaar op een evenementspagina, code op uw server laten draaien. Voorwaarde: reacties staan open en zijn zichtbaar op evenementen.
Wat er speelt
CVE-2026-78006 is een kritieke remote code execution (CVSS 9.8) in The Events Calendar tot en met 6.17.4. De plugin deserialiseert widget-data onveilig. Een aanvaller kan via een commentaar op een event-pagina blok-markup injecteren. WordPress geeft een moderatie-hash-URL terug waarmee die commentaar meteen zichtbaar wordt voor de schrijver, nog vóór moderatie. Zo bereikt de payload de kwetsbare code zonder account.
De ontwikkelaar kreeg de melding op 21 augustus 2026. De openbare bekendmaking volgde op 11 september 2026; de CVE-registratie op 12 september 2026. Versie 6.17.4.1 verscheen op 10 september 2026 met een security-fix die de validatie van gekopieerde widget-instanties versterkt. The Events Calendar telt meer dan 600.000 actieve installaties (WordPress.org). Of actief misbruik al loopt, staat niet in de openbare CVE-data; bij deze score en het ontbreken van login wacht u daar niet op.
Impact voor uw website
De plugin zit vaak op sites van culturele organisaties, horeca, zalen, sportclubs, opleidingen en kmo’s die evenementen publiceren. Wie reacties op evenementen toelaat en nog op 6.17.4 of lager zit, biedt een pad naar volledige sitecontrole: backdoors, gestolen klantgegevens, omgeleide ticketverkoop of een stilgelegde agenda. Zit u al op 6.17.4.1 of nieuwer, dan dekt de beschikbare patch dit specifieke lek. Comments uit zetten verkleint het aanvalsoppervlak, maar vervangt de update niet.
Wat betekent dit voor uw onderneming?
Voor wie: kmo’s, verenigingen en bureaus met WordPress + The Events Calendar (ook via een hostingpartner), vooral als reacties op evenementen aan staan.
Vanaf wanneer: patch 6.17.4.1 sinds 10 september 2026; openbare CVE op 12 september 2026.
Financiële impact: geen vast bedrag in de bron. Risico zit in downtime, herstel na compromise, datalek en omzetverlies bij ticket- of reserveringsstromen.
Wat moet u doen: noteer de pluginversie onder Plugins. Staat er 6.17.4 of lager: update onmiddellijk naar 6.17.4.1 of nieuwer. Vraag uw bureau of hoster schriftelijk om bevestiging. Kunnen comments niet meteen dicht? Update blijft prioriteit één. Check na de update recente event-comments en onbekende bestanden onder wp-content.
Deadline: zo snel mogelijk na publicatie van de CVE (12 september 2026); wacht niet op een aparte Belgische waarschuwing.
Nog niet duidelijk: of uw specifieke installatie al misbruikt is – afwezigheid van zichtbare schade is geen vrijgeleide; bij twijfel: forensische check door uw IT-partner.
Vraag vandaag aan uw developer of hoster: “Welke versie van The Events Calendar draaien we, staan comments op events open, en staat 6.17.4.1 of hoger erop?” Laat het antwoord met versienummer schriftelijk vastleggen.
