Lek in Ultra Addons for Contact Form 7 (CVSS 9.8): wat bureaus vandaag moeten controleren

Op 2 november 2026 publiceerde Wordfence een kritiek lek in Ultra Addons for Contact Form 7, een plugin met meer dan 60.000 actieve installaties. Het heeft CVSS 9.8, er is geen login voor nodig, en het kan elk bestand op de server verwijderen, inclusief wp-config.php. Een versie met de oplossing is al weken beschikbaar, dus voor de meeste bureaus is dit een snelle controle. Hier lees je wie getroffen is, hoe je een klantsite in twee minuten controleert en wat je doet als een site er al verkeerd uitziet.

Wat het lek is

• Kenmerk: CVE-2026-102435, CVSS 9.8 (kritiek), gemeld via Wordfence.
• Soort: PHP-objectinjectie zonder inloggen via een veld van een Contact Form 7-formulier, waarmee willekeurige bestanden kunnen worden verwijderd.
• Waarom het ertoe doet: als je wp-config.php verwijdert, gaat WordPress terug naar het installatiescherm. Wie dat scherm invult, kan de site naar een eigen database laten wijzen en overnemen.

Wie getroffen is

Sites met Ultra Addons for Contact Form 7 versie 3.5.54 of ouder, waarop de add-on PDF Generator aanstaat en minstens één formulier een pdf laat maken. Sites die de plugin hebben maar de pdf-functie niet gebruiken, zijn niet kwetsbaar voor deze keten, maar moeten wel bijwerken. De huidige versie is 3.5.57; de oplossing kwam in de releases na 3.5.54.

In de bronnen die we op 5 november 2026 hebben gecontroleerd, vonden we geen bevestigde aanvallen. Sommige beveiligingsnieuwsbrieven melden dat details over misbruik rondgaan, en een 9.8 zonder login is het soort lek waarop snel wordt gescand. Wacht niet op bewijs van aanvallen.

Controleer een site in twee minuten

1. In wp-admin: Plugins, zoek naar “Ultra Addons”. Noteer de versie. Is die 3.5.54 of lager, open dan de instellingen van de add-ons van de plugin en kijk of PDF Generator aanstaat.
2. Met WP-CLI: wp plugin get ultimate-addons-for-contact-form-7 --field=version. Draai het over alle klantsites om één lijst te krijgen.
3. Kijk naar de voorkant: als de site ineens het WordPress-installatiescherm of het scherm “configuratiebestand aanmaken” toont, is wp-config.php weg. Behandel dat als een incident (zie hieronder).

Wat je nu doet

1. Werk bij naar 3.5.57 op elke site met de plugin, met of zonder de pdf-functie.
2. Test na de update één formulier. Verstuur het, controleer of de mail aankomt en, als je pdf’s laat maken, of de pdf is bijgevoegd. Recente releases hebben ook het uploaden van bestanden en de pdf-verwerking veranderd.
3. Kun je vandaag niet bijwerken? Zet de add-on PDF Generator uit tot je het wel kunt.
4. Toont een site het installatiescherm? Vul het niet in. Haal de site bij de host offline, zet bestanden en database terug vanuit een back-up van vóór het probleem, werk de plugin bij en wijzig daarna de wachtwoorden van database en beheerders en de salts in wp-config.php. Controleer op onbekende beheerdersaccounts en bestanden. Onze routine voor een kwetsbaarheidsdag en herstelgids bevatten alle stappen.

Hoe Verploy helpt

Elke update wordt gecontroleerd. Risicovolle updates worden eerst op een kopie getest, inclusief de formulieren. Bekende kwetsbaarheden verschijnen per site met een link naar de bron, dus één dashboard vertelt je welke klantsites nog 3.5.54 of ouder draaien. Nachtelijke versleutelde back-ups in de EU geven je een schoon punt om naar terug te gaan. Meer over kwetsbaarheidsmonitoring voor bureaus.

Bron: CVE-2026-102435 (toegewezen door Wordfence), gepubliceerd op 2 november 2026, wordfence.com; pluginpagina en changelog, wordpress.org. Gecontroleerd op 5 november 2026.