KMO-IMPACT: DRINGEND
Draait uw webshop de premiumplugin WooCommerce Wholesale Lead Capture (Wholesale Suite), update dan meteen naar 2.0.3.2 of hoger. Aanvallers misbruiken een kritiek lek (CVE-2026-27540, CVSS 9.8) om zonder login PHP-webshells te plaatsen. Wordfence meldde op dinsdag 15 en woensdag 16 september 2026 actieve uitbuiting: meer dan 100.000 geblokkeerde pogingen sinds juni 2026, waarvan tientallen in de laatste 24 uur.
Wat is er aan de hand?
De plugin exposeert een AJAX-actie wwlc_file_upload_handler zonder authenticatie. Via de parameter file_settings kan een aanvaller het toegestane bestandstype manipuleren en een .php-bestand uploaden. Dat bestand is in de waargenomen aanvallen een webshell (vaak shell.php) die hostgegevens toont en extra malware laat bijplaatsen. De onderzoeker Teemu Saarentaus ontdekte het lek; de fix zit in versie 2.0.3.2 (changelog Wholesale Suite: security fixes). Alle versies tot en met 2.0.3.1 zijn kwetsbaar. De plugin heeft volgens Wordfence meer dan 6.000 actieve installs.
Wat moet u nu doen?
Controleer in WordPress → Plugins of Wholesale Lead Capture actief is. Staat u op 2.0.3.1 of ouder: update onmiddellijk via Wholesale Suite / uw licentieportaal naar minstens 2.0.3.2 (recente builds gaan tot 2.0.6). Gebruikt u de plugin niet meer: deactiveer en verwijder ze.
Daarna forensisch checken: onverwachte of recente .php-bestanden in uploadmappen; logregels naar /wp-admin/admin-ajax.php met action wwlc_file_upload_handler; onbekende administratoraccounts. Wordfence noemt onder meer bron-IP’s zoals 92.241.13.213, 31.59.129.150, 92.241.13.140, 23.137.105.214, 23.180.120.140, 104.194.9.138, 187.75.114.36, 114.10.43.203 en 37.114.144.209 (plus IPv6 2a0f:85c1:840:5389::1). Bij bevestigde compromittering: herstel vanaf een schone backup; alleen “opkuisen” is vaak onvoldoende.
Wat betekent dit voor uw onderneming?
Voor wie: webshops en groothandelskanalen op WooCommerce met Wholesale Lead Capture (B2B-registratie/leadformulieren).
Vanaf wanneer: uitbuiting is al bezig; meldingen 15-16 september 2026 bevestigen actieve aanvallen.
Financiële impact: volledige site-overname, datadiefstal, malware, herstelkosten en stilstand van de shop.
Wat moet u doen: updaten naar ≥2.0.3.2, uploads en admins controleren, verdachte IP’s blokkeren, bij infectie restore.
Deadline: vandaag: er is geen veilige workaround behalve patch of plugin verwijderen.
Nog niet duidelijk: of uw specifieke hosting/WAF de uploads al afblokt; dat vervangt de pluginupdate niet.
