Draait op uw WordPress-site de cookie-banner WPLP Cookie Consent (plugin gdpr-cookie-consent) in versie 4.4.1 of ouder? Dan kan een onbekende bezoeker bestanden uploaden via een open REST-endpoint. Dat kan leiden tot uitvoering van code op de server. De fix zit in versie 4.4.2.
KMO-IMPACT: ACTIE NODIG
Wat er speelt
CVE-2026-75865 treft alle versies tot en met 4.4.1. De functie die het logo voor de cookie-banner uploadt, controleert het bestandstype niet. Op de WPLP-connector-REST-routes ontbreekt ook een geldige autorisatiecheck. Samen maakt dat een upload zonder login mogelijk. Beveiligingsonderzoekers beoordelen het lek als kritiek (CVSS 9.8). Op WordPress.org staan meer dan 10.000 actieve installaties van deze plugin.
Wat betekent dit voor uw onderneming?
Voor wie: ondernemers met een WordPress-site of -webshop die WPLP Cookie Consent / GDPR Cookie Consent gebruiken voor de cookiebanner (GDPR/CCPA/Google Consent Mode).
Vanaf wanneer: het lek is publiek sinds eind augustus / begin september 2026; fix beschikbaar als 4.4.2.
Financiële impact: geen vast bedrag in de bronnen; wel risico op site-overname, datalek en herstelkosten.
Wat moet u doen: update de plugin naar 4.4.2 of hoger via Plugins in WordPress. Lukt dat niet meteen: deactiveer de plugin. Controleer daarna wp-content/uploads op onverwachte PHP- of andere uitvoerbare bestanden.
Deadline: zo snel mogelijk na ontdekking op uw site.
Nog niet duidelijk: of er al actief misbruik in het wild is gemeld (bronnen melden dat niet expliciet).
Praktisch: zo checkt u het
Ga in WordPress naar Plugins en zoek op “Cookie Consent” of “gdpr-cookie-consent”. Staat er 4.4.1 of lager, werk bij naar 4.4.2. Gebruikt u de plugin niet, bent u niet geraakt. Heeft een bureau of MSP uw site in beheer: stuur hen dit leknummer CVE-2026-75865 en vraag bevestiging van de update.
