KMO-IMPACT: ACTIE NODIG
Gebruikt u Amelia Premium voor online afspraken (salon, praktijk, training, consultancy)? Update nu naar versie 9.6.3 of hoger. In versies 8.0 tot en met 9.6.2 zit CVE-2026-9055: zonder login kan een aanvaller rechten opschroeven tot WordPress-beheerder en zo de site overnemen.
Wat er speelt
Patchstack en WPScan publiceerden begin september 2026 het lek (CVSS 9.8). Via het klant-update-eindpunt kan iemand zich eerst tot Amelia-manager verheffen en daarna een provider koppelen aan een bestaand admin-account om het wachtwoord te overschrijven. De fix zit in Amelia Premium 9.6.3. Patchstack noemt massale misbruikcampagnes voor dit type lek een reëel risico.
Controleer na de update of er onbekende gebruikers met manager- of adminrechten staan, of Amelia-providers die aan een admin-ID hangen, en forceer zo nodig nieuwe adminwachtwoorden.
Wat betekent dit voor uw onderneming?
Wie met Amelia online boekingen aanneemt, hangt de website vaak aan klantagenda en betalingen. Site-overname betekent gestolen klantgegevens, valse boekingen of ransomware. De patch zelf is een plugin-update; de schade bij een overname ligt in stilstand, herstel en vertrouwen.
Voor wie: organisaties met Amelia Premium 8.0 tot 9.6.2 op WordPress.
Vanaf wanneer: lek publiek sinds 1 september 2026; patch 9.6.3 beschikbaar.
Financiële impact: geen aparte licentiekost voor de fix in de bronnen; wel risico op herstelkosten na compromis.
Wat moet u doen: update naar 9.6.3 of hoger; audit gebruikers en Amelia-providers; roteer adminwachtwoorden bij twijfel.
Deadline: zo snel mogelijk.
Nog niet duidelijk: of uw site al is geraakt; dat ziet u alleen in logs en gebruikerslijst.
Praktisch: zo checkt u het
In WordPress: Plugins, zoek Amelia, noteer het versienummer. Staat u onder 9.6.3, update meteen (of via uw Envato/TMS-account). Kunnen u vandaag niet patchen: overweeg Amelia tijdelijk uit te schakelen of de publieke boekingsendpoints te beperken tot de update klaar is.
