JSON

CVE-2026-63030 is de kritieke WordPress-kwetsbaarheid waarvoor WordPress op 17 juli 2026 een noodpatch uitbracht, samen met een tweede, gekoppelde kwetsbaarheid: samen staan ze bekend als wp2shell. Het Nationaal Cyber Security Centrum verwacht op korte termijn actief misbruik, want de proof-of-concept-code staat inmiddels gewoon op GitHub.^[1] Het gat maakt een volledige, ongeauthenticeerde overname van je WordPress-site mogelijk, zonder dat er een kwetsbare plugin of thema aan te pas komt.

Samenvatting: CVE-2026-63030 (wp2shell) patchen

Twee gekoppelde WordPress Core-bugs, CVE-2026-63030 (CVSS 9,8) en CVE-2026-60137 (CVSS 9,1), vormen samen wp2shell: een pre-auth remote-code-execution-keten die al werkt op een kale, ongewijzigde WordPress-installatie. Getroffen zijn versies 6.9.0 tot 6.9.4 en 7.0.0 tot 7.0.1 (volledige overname) en 6.8.0 tot 6.8.5 (sql-injectie). Update per direct naar 6.9.5, 7.0.2 of 6.8.6. Kun je dat nu niet? Blokkeer dan tijdelijk het endpoint /wp-json/batch/v1 op je firewall.

Wat is er aan de hand: NCSC waarschuwt voor WordPress-lek CVE-2026-63030

Het NCSC verwacht op korte termijn misbruik van CVE-2026-63030, een kritieke kwetsbaarheid in WordPress Core.^[1] De volledige officiële waarschuwing staat in advisory NCSC-2026-0250.^[2]

import os
from openai import OpenAI

client = OpenAI(api_key=os.environ["OPENAI_API_KEY"])

response = client.responses.create(
    model="gpt-5.6-terra",  # expliciet ID, niet de kale "gpt-5.6" alias
    input="Vat dit supportticket samen in twee zinnen: ...",
    reasoning={"effort": "medium"},
)

print(response.output_text)

curl

curl https://api.openai.com/v1/responses \
  -H "Authorization: Bearer $OPENAI_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "model": "gpt-5.6-terra",
    "input": "Vat dit supportticket samen in twee zinnen: ...",
    "reasoning": {"effort": "medium"}
  }'

Draai je nog op de oudere Chat Completions API? Die blijft gewoon werken: je hoeft alleen het model-ID te wijzigen naar gpt-5.6-sol, gpt-5.6-terra of gpt-5.6-luna^[3]. Voor toegang tot de nieuwe agentic features moet je wel migreren naar de Responses API.

Abstracte cijfers overtuigen niet altijd. Deze vier praktijkgevallen laten precies zien hoe een AI-fout ontstaat en wat de schade is.

De verkeerde bedrijfsnaam in gestructureerde data

De Estrelle-audit vond een restaurant op Michelin-niveau dat in zijn JSON-LD nog "My Blog" had staan, de standaardwaarde van een WordPress-thema die nooit is aangepast.^[3] AI-modellen lazen dat veld letterlijk en koppelden de identiteit en de E-E-A-T-signalen (expertise, ervaring, autoriteit en betrouwbaarheid) aan de webbouwer in plaats van aan het restaurant zelf.

Foute openingstijden die AI als advies doorgeeft

Dezelfde audit vond een restaurant met verouderde openingstijden in zijn schema-data: 09:00 tot 17:00 in plaats van de daadwerkelijke opening om 14:30. Een AI-assistent die een bezoeker adviseert wanneer hij kan langsgaan, geeft dat foutieve tijdstip zonder aarzeling door.^[3]