--- title: "WordPress updateproces beveiligen tegen RCE: update 7.1.4" description: "WordPress 7.1.4 dicht een RCE in het updateproces die zonder account werkt. Zo werkt de race in wp-content/upgrade en zo beveilig en controleer je je site." canonical: https://www.keurigonline.nl/blog/wordpress-updateproces-beveiligen-tegen-rce last_modified: 2025-10-27 --- Op deze pagina ## Op deze pagina 1. [Blog](https://www.keurigonline.nl/blog) 2. [WordPress](https://www.keurigonline.nl/blog/categorie/wordpress) # WordPress updateproces beveiligen tegen RCE: update 7.1.4 WordPress 7.1.4 dicht een RCE in het updateproces die zonder account werkt. Zo werkt de race in wp-content/upgrade en zo beveilig en controleer je je site. - Pablo Cleij - 30 oktober 2026 - 11 min lezen Link kopiëren [](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fwordpress-updateproces-beveiligen-tegen-rce) [](https://x.com/intent/post?text=WordPress+updateproces+beveiligen+tegen+RCE%3A+update+7.1.4&url=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fwordpress-updateproces-beveiligen-tegen-rce) [](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fwordpress-updateproces-beveiligen-tegen-rce) [](https://wa.me/?text=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fwordpress-updateproces-beveiligen-tegen-rce) [](mailto:?subject=WordPress%20updateproces%20beveiligen%20tegen%20RCE%3A%20update%207.1.4&body=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fwordpress-updateproces-beveiligen-tegen-rce) Op deze pagina **Samenvatting: WordPress updateproces beveiligen tegen RCE in versie 7.1.4** WordPress 7.1.4 (28 oktober 2026) dicht 22 kwetsbaarheden, waaronder een race condition in het updateproces die zonder account tot remote code execution leidt. Kwetsbaar zijn core 4.7 t/m 7.1.3. Update naar 7.1.4 of de backport van je branch, blokkeer webtoegang tot `wp-content/upgrade/` en controleer je access logs op verzoeken naar `setup-config.php` of `install.php` in die map. Je beveiligt het WordPressKeurigOnline zegt [WordPress](https://www.keurigonline.nl/begrippenlijst/wordpress)WordPress is een open-source contentmanagementsysteem (CMS) geschreven in PHP, waarmee je eenvoudig websites en blogs kunt bouwen en beheren. -updateproces tegen RCEKeurigOnline zegt [RCE](https://www.keurigonline.nl/begrippenlijst/rce)RCE (remote code execution) is een lek waardoor een aanvaller via het netwerk eigen code laat uitvoeren op een server of computer. door te updaten naar WordPress 7.1.4 (of de backportKeurigOnline zegt [Backport](https://www.keurigonline.nl/begrippenlijst/backport)Een backport is een reparatie uit een nieuwe softwareversie die wordt overgezet naar een oudere versie die nog in gebruik is. voor jouw versie) en webtoegang tot `wp-content/upgrade/` te blokkeren. De release van 28 oktober 2026 dicht 22 kwetsbaarheden in 17 advisories[\[6\]](https://www.cyberkendra.com/2026/10/wordpress-7-1-4-security-update-22-vulnerabilities.html). De ernstigste zit in het updatemechanisme zelf. Daar zit een ironie in. Juist tijdens het updaten opent zich een venster van een paar seconden waarin een aanvaller je site kan overnemen. Alleen de update naar 7.1.4 sluit dat venster. Hieronder lees je hoe de aanval werkt, welke versie je nodig hebt en hoe je controleert of iemand het al geprobeerd heeft. ## Wat er aan de hand is met WordPress 7.1.4 WordPress 7.1.4 verscheen op 28 oktober 2026 en lost 22 kwetsbaarheden op, verdeeld over 17 advisories[\[1\]](https://wordpress.org/news/2026/10/wordpress-7-1-4/). Volgens The Repository is het de zevende security-release van WordPress-core sinds juli[\[3\]](https://www.therepository.email/wordpress-7-1-4-patches-22-vulnerabilities-in-seventh-core-security-release-since-july). Met WordPress op 40,1% van alle websites wereldwijd raakt zo'n release een groot deel van het web[\[13\]](https://barn2.com/blog/wordpress-market-share/). De ernstigste fix betreft een race condition in het updateproces van core. Umut Bayram meldde hem[\[1\]](https://wordpress.org/news/2026/10/wordpress-7-1-4/). Een aanvaller zonder account kan er code mee uitvoeren op je server en de site volledig overnemen. Bij de release is er geen CVEKeurigOnline zegt [CVE](https://www.keurigonline.nl/begrippenlijst/cve)CVE (Common Vulnerabilities and Exposures) is een openbare lijst die elk bekend beveiligingslek een eigen, vast nummer geeft. -nummer gepubliceerd[\[11\]](https://cybersecuritynews.com/wordpress-7-1-4-fixes-security-flaws/), dus je vindt hem in advisories terug als "core update race condition". Update vandaag nog. De details staan hieronder. ## Zo werkt de RCE in het updateproces Bij elke installatie of update van core, een pluginKeurigOnline zegt [Plugin](https://www.keurigonline.nl/begrippenlijst/plugin)Een plugin is een uitbreiding die je aan software zoals WordPress toevoegt om er een nieuwe functie bij te krijgen. of een thema pakt WordPress het pakket eerst uit in `wp-content/upgrade/`. Pas daarna kopieert WordPress de bestanden naar hun definitieve plek. De webserver serveert die werkmap net als elke andere map onder je site[\[3\]](https://www.therepository.email/wordpress-7-1-4-patches-22-vulnerabilities-in-seventh-core-security-release-since-july). Wat daar staat, is dus via een URL op te vragen. ### Twee fouten die samen het gat vormen Vóór 7.1.4 kwamen er twee dingen samen[\[3\]](https://www.therepository.email/wordpress-7-1-4-patches-22-vulnerabilities-in-seventh-core-security-release-since-july): - **Een voorspelbare mapnaam.** WordPress leidde de naam van de tijdelijke map af van de bestandsnaam van het pakket. Wie weet welke versie er uitkomt, weet dus ook welk pad er even bestaat. - **Een verdwenen `index.php`.** De opruimroutine verwijderde het lege `index.php`-bestand dat voorkomt dat de webserver de mapinhoud toont. De map werd daardoor doorbladerbaar. Tijdens een core-update stond er zo een paar seconden lang een complete, uitgepakte WordPress-installer op een pad dat je kon raden. Die installer bevat `wp-admin/setup-config.php` en `wp-admin/install.php`, de scripts waarmee je normaal een nieuwe site opzet. ### De aanval in vier stappen **De upgrade-race in 4 stappen** 1. **De update start.** Jij klikt op Nu bijwerken, of WordPress start een automatische achtergrondupdate. 2. **Het pakket staat uitgepakt.** De nieuwe versie staat in `wp-content/upgrade/` onder een voorspelbare naam en zonder `index.php`. 3. **De aanvaller roept de installer aan.** Een script vraagt `setup-config.php` of `install.php` in die map op en voert de setup uit met een database die de aanvaller zelf beheert. Dat geeft hem PHP-uitvoering op je server en daarmee volledige overname van de site[\[12\]](https://malware.news/t/wordpress-7-1-4-patches-unauthenticated-upgrade-window-rce-exploitation-attempts-detected-after-release/126880). 4. **WordPress ruimt op.** De werkmap verdwijnt en de update rondt normaal af. Je ziet in het dashboard niets bijzonders. De aanvaller heeft geen wachtwoord, geen account en geen klik van jou nodig. Hij hoeft alleen op het goede moment het goede pad op te vragen. Stap 4 maakt het lastig te merken: na afloop staat de map er niet meer, maar de schade is dan al gedaan. ## Waarom "moeilijk te misbruiken" je niet geruststelt Patchstack noemt misbruik moeilijk, omdat het venster maar seconden duurt[\[2\]](https://patchstack.com/articles/wordpress-7-1-4-security-release/). Dat klopt. Drie feiten wegen daar zwaarder tegenop: - **Er is geen account nodig.** Patchstack classificeert het lek als unauthenticated remote code execution, dus een aanvaller hoeft niet in te loggen[\[7\]](https://patchstack.com/database/wordpress/wordpress/wordpress/vulnerability/wordpress-core-7-1-3-unauthenticated-remote-code-execution-via-core-update-race-condition). - **Het venster komt bij elke update terug,** ook bij automatische achtergrondupdates[\[2\]](https://patchstack.com/articles/wordpress-7-1-4-security-release/). Een release-dag is voor aanvallers dus voorspelbaar. - **De kwetsbare code bestaat al sinds WordPressKeurigOnline zegt [WordPress](https://www.keurigonline.nl/begrippenlijst/wordpress)WordPress is een open-source contentmanagementsysteem (CMS) geschreven in PHP, waarmee je eenvoudig websites en blogs kunt bouwen en beheren. 2.8**[\[2\]](https://patchstack.com/articles/wordpress-7-1-4-security-release/). Alle versies van 4.7 tot en met 7.1.3 zijn kwetsbaar[\[7\]](https://patchstack.com/database/wordpress/wordpress/wordpress/vulnerability/wordpress-core-7-1-3-unauthenticated-remote-code-execution-via-core-update-race-condition). Aanvallers zijn er ook al mee bezig. Volgens Wordfence kwam de eerste treffer op hun nieuwe firewallregel 9 minuten na de uitrol. Binnen 21 uur telde Wordfence meer dan 18.500 kwaadaardige verzoeken op de paden van de klaargezette installer, afkomstig van scripts die sites pollen tijdens update-vensters[\[4\]](https://securityonline.info/wordpress-core-vulnerability-exploited-rce/). Een script dat je site steeds opnieuw afklopt, heeft geen geluk nodig. Het wacht tot jij op Nu bijwerken klikt. ## Wat 7.1.4 precies verandert WordPress 7.1.4 pakt het updateproces op drie punten aan[\[8\]](https://www.it-connect.tech/wordpress-7-1-4-patches-22-vulnerabilities-including-a-remote-code-execution-flaw/): - **Willekeurige mapnamen.** Tijdelijke mappen in `wp-content/upgrade/` krijgen 16 willekeurige tekens in hun naam. - **`index.php` blijft staan.** De opruimroutine haalt de bescherming tegen doorbladeren niet meer weg. - **Geen `wp-config.php` uit de werkmap.** WordPress kopieert dat bestand niet meer vanuit de tijdelijke map. Het pad is daardoor niet meer te raden en de map niet meer te doorbladeren. Een aanvaller vindt de installer in het venster dus niet terug. Er zit wel een volgorde in. De update naar 7.1.4 draait zelf nog met de oude code, dus juist die ene update opent het venster nog één keer. Daarom loont de extra blokkade uit stap 2 hieronder. ## Welke versies kwetsbaar zijn (en welke backport je nodig hebt) Kwetsbaar is WordPress-core 4.7 tot en met 7.1.3[\[7\]](https://patchstack.com/database/wordpress/wordpress/wordpress/vulnerability/wordpress-core-7-1-3-unauthenticated-remote-code-execution-via-core-update-race-condition). Een upgrade naar 7.1 is niet nodig. Elke branch vanaf 4.7 kreeg een eigen backport[\[5\]](https://wordify.com/blog/wordpress-7-1-4-security-release/). | Jouw branch | Veilige versie | |---|---| | 7.1 | 7.1.4 | | 7.0 | 7.0.8 | | 6.9 | 6.9.11 | | 6.8 | 6.8.12 | | 6.7 | 6.7.11 | | 6.6 | 6.6.11 | | 6.5 | 6.5.14 | | 6.4 | 6.4.14 | | Oudere branches | De backport van je eigen branch, tot en met 4.7.39 | Staan automatische achtergrondupdates aan, dan krijg je de backport van je eigen branch zonder major-upgrade[\[5\]](https://wordify.com/blog/wordpress-7-1-4-security-release/). Draai je nog [WordPress 6.9](https://www.keurigonline.nl/blog/wordpress-6-9), dan is 6.9.11 je doel. Op 6.9 en 7.0 golden alle 22 kwetsbaarheden van deze release[\[10\]](https://www.searchenginejournal.com/wordpress-announces-another-security-release-version-7-1-4/594798/), dus update daar zonder uitstel. Je versie zie je onderaan elke pagina in het dashboard, of onder Dashboard > Updates. ## Zo beveilig je het updateproces van je site Vier stappen, in deze volgorde. De eerste is de enige die echt verplicht is. ### 1. Update nu naar 7.1.4 of de backport van je branch Ga naar Dashboard > Updates en klik op Nu bijwerken[\[1\]](https://wordpress.org/news/2026/10/wordpress-7-1-4/). Controleer daarna het versienummer onder Dashboard > Updates. Staat er nog 7.1.3 of lager, dan is de update niet gelukt en zit je nog in het risico. ### 2. Blokkeer webtoegang tot wp-content/upgrade/ Niemand hoeft die map via de browser te openen. Servers die webtoegang tot `wp-content/upgrade/` blokkeren, zijn niet via deze race bereikbaar[\[2\]](https://patchstack.com/articles/wordpress-7-1-4-security-release/). Op een LiteSpeedKeurigOnline zegt [LiteSpeed](https://www.keurigonline.nl/begrippenlijst/litespeed)LiteSpeed is een snelle webserver met een efficiënte event-driven architectuur en ingebouwde caching, compatibel met Apache. - of ApacheKeurigOnline zegt [Apache](https://www.keurigonline.nl/begrippenlijst/apache)Apache HTTP Server is een open source webserver ontwikkeld door de Apache Software Foundation. -server met DirectAdminKeurigOnline zegt [DirectAdmin](https://www.keurigonline.nl/begrippenlijst/directadmin)DirectAdmin is een webhosting control panel ontwikkeld door JBMC Software als kostenefficiënt en gebruiksvriendelijk alternatief voor cPanel. zet je deze regel in de `.htaccess` in de hoofdmap van je site: ```apache # Blokkeer webtoegang tot de tijdelijke updatemap van WordPress. # WordPress gebruikt deze map via het bestandssysteem, niet via HTTP, # dus updates blijven gewoon werken. RedirectMatch 403 ^/wp-content/upgrade/ ``` Zet de regel boven het blok `# BEGIN WordPress`, zodat WordPress hem niet overschrijft. Draait WordPress in een submap, zet die submap dan voor het pad, bijvoorbeeld `^/blog/wp-content/upgrade/`. Nog nooit een `.htaccess` aangepast? In onze [.htaccess-snippets voor WordPress](https://www.keurigonline.nl/blog/20-htaccess-code-snippets-voor-snellere-websites) lees je hoe je het bestand veilig bewerkt en een reservekopie maakt. Test daarna twee dingen: - Open `https://jouwdomein.nl/wp-content/upgrade/` in je browser, of voer `curl -I https://jouwdomein.nl/wp-content/upgrade/` uit. Je hoort `403 Forbidden` te krijgen. - Werk een plugin bij. Lukt dat zonder foutmelding, dan doet de blokkade wat hij moet doen. ### 3. Laat automatische updates aan Het venster opent ook bij automatische updates, maar uitzetten maakt het erger. Dan blijf je langer op een kwetsbare versie, en de eerstvolgende handmatige update opent hetzelfde venster alsnog. De fix is de update zelf. ### 4. Gebruik een WAF als extra laag Wordfence heeft een firewallregel voor deze aanval[\[4\]](https://securityonline.info/wordpress-core-vulnerability-exploited-rce/). Een web application firewallKeurigOnline zegt [Firewall](https://www.keurigonline.nl/begrippenlijst/firewall)Een firewall is een beveiligingssysteem dat netwerkverkeer filtert en ongeautoriseerde toegang tot netwerken en servers blokkeert. vangt pogingen af, maar vervangt de update niet. Zie hem als gordel bovenop de airbag. **Wie doet wat bij KeurigOnline** - Wij beheren de server: PHP, de webserver en de beveiliging daarvan. - Jij beheert je WordPress-site en voert de core-update zelf uit, tenzij je WP-onderhoud bij ons afneemt. ## Ben je al getroffen? Zo controleer je je logs Pogingen laten sporen achter in je access log: verzoeken op `/wp-content/upgrade/` die eindigen op `setup-config.php` of `install.php`[\[9\]](https://hol.org/blog/wordpress-7-1-4-security-release-upgrade-race-rce). In DirectAdminKeurigOnline zegt [DirectAdmin](https://www.keurigonline.nl/begrippenlijst/directadmin)DirectAdmin is een webhosting control panel ontwikkeld door JBMC Software als kostenefficiënt en gebruiksvriendelijk alternatief voor cPanel. vind je de ruwe access log onder Site Summary / Statistics / Logs. Download hem en zoek erin met: ```bash # Toon alle verzoeken op de installer in de tijdelijke updatemap grep -E "/wp-content/upgrade/.*(setup-config|install)\.php" access.log ``` Een regel met statuscode `404` is een mislukte poging. Een regel met `200` betekent dat de installer antwoordde, en dan moet je verder kijken. Houd twee dingen uit elkaar[\[9\]](https://hol.org/blog/wordpress-7-1-4-security-release-upgrade-race-rce). Een ongepatchte versie bewijst niet dat je gehackt bent. En updaten verwijdert geen infectie die er al zat. ### Checklist na een verdachte treffer - **`wp-config.php`:** klopt de wijzigingsdatum met wanneer jij hem voor het laatst aanpaste? Staat bij `DB_HOST` nog je eigen databaseserver, en geen onbekende externe host? - **Admin-accounts:** kijk onder Gebruikers > Alle gebruikers, gefilterd op Beheerder, of er accounts staan die je niet kent. - **PHPKeurigOnline zegt [PHP](https://www.keurigonline.nl/begrippenlijst/php)PHP (Hypertext Preprocessor) is een populaire open-source scripttaal die speciaal is ontworpen voor webontwikkeling en server-side programmering. -bestanden:** zoek naar nieuwe of gewijzigde `.php`-bestanden buiten een update om, vooral in `wp-content/uploads/`. Daar horen geen PHP-bestanden te staan. Wijst een van deze punten op een hack, ga er dan van uit dat je site gehackt is. Een gehackte site herstel je niet met een update of een plugin. [Neem contact met ons op](https://keurigonline.nl/contact), dan bekijken we samen wat we op de server zien en wat je opties zijn. ## De andere 21 fixes in het kort Naast de race condition dicht 7.1.4 nog 21 andere kwetsbaarheden[\[6\]](https://www.cyberkendra.com/2026/10/wordpress-7-1-4-security-update-22-vulnerabilities.html). Daaronder vallen: - **Stored XSSKeurigOnline zegt [XSS](https://www.keurigonline.nl/begrippenlijst/xss)XSS (cross-site scripting) is een aanval waarbij een kwetsbare website de JavaScript van een aanvaller naar bezoekers stuurt. in blocks**, onder meer via speciaal opgemaakte blockmarkup en in de Categories-, Playlist- en Image-blocks. - **Stored XSS en prototype pollution in de Interactivity APIKeurigOnline zegt [API](https://www.keurigonline.nl/begrippenlijst/api)Een API (Application Programming Interface) is een set regels en protocollen waarmee softwareapplicaties met elkaar kunnen communiceren en gegevens uitwisselen.** , die ook tot een denial of service kan leiden. - **Problemen in de Customizer**: een stored XSSKeurigOnline zegt [XSS](https://www.keurigonline.nl/begrippenlijst/xss)XSS (cross-site scripting) is een aanval waarbij een kwetsbare website de JavaScript van een aanvaller naar bezoekers stuurt. in selective refresh, en niet-gepubliceerde changesets die bezoekers zonder account konden vinden. Elk van deze punten is op zich een reden om niet op 7.1.3 te blijven staan. Bekijk ook het jaar als geheel. Eerder dit jaar kwamen [wp2shell, de pre-auth RCE in WordPress-core](https://www.keurigonline.nl/blog/wordpress-cve-2026-63030-beveiligen), een local file inclusion die tot remote code execution kon leiden[\[15\]](https://www.itsc.cuhk.edu.hk/newsdetails/wordpress-20260923/), en Comment2Shell, waarover The Hacker News in september berichtte[\[14\]](https://thehackernews.com/2026/09/wordpress-comment2shell-flaw-can-turn.html). Met zeven security-releases van core sinds juli[\[3\]](https://www.therepository.email/wordpress-7-1-4-patches-22-vulnerabilities-in-seventh-core-security-release-since-july) loopt wie handmatig en af en toe updatet structureel achter. ## Veelgestelde vragen ### Is mijn site kwetsbaar als automatische updates aan staan? Alleen tijdens de update naar 7.1.4 of je backport zelf. Daarna is je site gepatcht en zijn de mapnamen niet meer te raden. Automatische updates uitzetten maakt het erger: je blijft dan langer op een kwetsbare versie, en de volgende handmatige update opent hetzelfde venster. ### Heb ik een account op de site nodig om misbruikt te worden? Nee. De race condition in het updateproces werkt zonder inloggen en zonder interactie van jou of een beheerder. Een aanvaller hoeft alleen tijdens een update het juiste pad in `wp-content/upgrade/` op te vragen. ### Breekt het blokkeren van wp-content/upgrade mijn updates? Nee. WordPress leest en schrijft die map via het bestandssysteem van de server, niet via de webserver. De regel `RedirectMatch 403 ^/wp-content/upgrade/` blokkeert alleen bezoekers van buitenaf. Test na het toevoegen een pluginKeurigOnline zegt [Plugin](https://www.keurigonline.nl/begrippenlijst/plugin)Een plugin is een uitbreiding die je aan software zoals WordPress toevoegt om er een nieuwe functie bij te krijgen. -update om dat te bevestigen. ### Ik zit op WordPress 6.9 of 7.0. Moet ik naar 7.1? Nee. De backportKeurigOnline zegt [Backport](https://www.keurigonline.nl/begrippenlijst/backport)Een backport is een reparatie uit een nieuwe softwareversie die wordt overgezet naar een oudere versie die nog in gebruik is. voor je eigen branch dicht het gat ook: 6.9.11 voor 6.9 en 7.0.8 voor 7.0. Met automatische achtergrondupdates krijg je die backport vanzelf, zonder major-upgrade. ### Hoe zie ik of iemand het al geprobeerd heeft? In je access log, via verzoeken op `/wp-content/upgrade/` die eindigen op `setup-config.php` of `install.php`. Een poging is nog geen hack. Controleer daarnaast `wp-config.php` (wijzigingsdatum en `DB_HOST`), je admin-accounts en nieuwe PHPKeurigOnline zegt [PHP](https://www.keurigonline.nl/begrippenlijst/php)PHP (Hypertext Preprocessor) is een populaire open-source scripttaal die speciaal is ontworpen voor webontwikkeling en server-side programmering. -bestanden. ### Heeft deze kwetsbaarheid een CVE-nummer? Bij de release is er geen CVE-nummer gepubliceerd. WordPress.org en Patchstack melden hem als race condition in het core-updateproces, gemeld door Umut Bayram. Zoek je in advisories, gebruik dan die omschrijving. ## Bronnen 1. **WordPressKeurigOnline zegt [WordPress](https://www.keurigonline.nl/begrippenlijst/wordpress)WordPress is een open-source contentmanagementsysteem (CMS) geschreven in PHP, waarmee je eenvoudig websites en blogs kunt bouwen en beheren. .org (2026)**: [WordPress 7.1.4](https://wordpress.org/news/2026/10/wordpress-7-1-4/). Officiële release-aankondiging, melder en lijst van fixes. 2. **Patchstack (2026)**: [WordPress 7.1.4 security release](https://patchstack.com/articles/wordpress-7-1-4-security-release/). Ernst, code sinds 2.8, servers die de map blokkeren. 3. **The Repository (2026)**: [WordPress 7.1.4 patches 22 vulnerabilities in seventh core security release since July](https://www.therepository.email/wordpress-7-1-4-patches-22-vulnerabilities-in-seventh-core-security-release-since-july). Werking van de upgrade-race. 4. **SecurityOnline (2026)**: [WordPress core vulnerability exploited](https://securityonline.info/wordpress-core-vulnerability-exploited-rce/). Wordfence-cijfers over actief misbruik. 5. **Wordify (2026)**: [WordPress 7.1.4: 22 security fixes, including one in the updater itself](https://wordify.com/blog/wordpress-7-1-4-security-release/). Backports per branch. 6. **Cyber Kendra (2026)**: [WordPress 7.1.4 security update fixes 22 vulnerabilities](https://www.cyberkendra.com/2026/10/wordpress-7-1-4-security-update-22-vulnerabilities.html). 22 kwetsbaarheden in 17 advisories. 7. **Patchstack DatabaseKeurigOnline zegt [Database](https://www.keurigonline.nl/begrippenlijst/database)Een database is een georganiseerde verzameling gegevens die elektronisch wordt opgeslagen en beheerd. (2026)**: [WordPress Core 7.1.3: unauthenticated RCE via core update race condition](https://patchstack.com/database/wordpress/wordpress/wordpress/vulnerability/wordpress-core-7-1-3-unauthenticated-remote-code-execution-via-core-update-race-condition). Getroffen versies 4.7 t/m 7.1.3. 8. **IT-Connect (2026)**: [WordPress 7.1.4 patches 22 vulnerabilities](https://www.it-connect.tech/wordpress-7-1-4-patches-22-vulnerabilities-including-a-remote-code-execution-flaw/). Wijzigingen in het updateproces. 9. **HOL (2026)**: [WordPress 7.1.4 security release: upgrade race RCE](https://hol.org/blog/wordpress-7-1-4-security-release-upgrade-race-rce). Detectie in access logs. 10. **Search Engine Journal (2026)**: [WordPress announces another security release, version 7.1.4](https://www.searchenginejournal.com/wordpress-announces-another-security-release-version-7-1-4/594798/). Impact op 6.9 en 7.0. 11. **Cyber Security News (2026)**: [WordPress 7.1.4 fixes security flaws](https://cybersecuritynews.com/wordpress-7-1-4-fixes-security-flaws/). Geen CVEKeurigOnline zegt [CVE](https://www.keurigonline.nl/begrippenlijst/cve)CVE (Common Vulnerabilities and Exposures) is een openbare lijst die elk bekend beveiligingslek een eigen, vast nummer geeft. bij release. 12. **MalwareKeurigOnline zegt [Malware](https://www.keurigonline.nl/begrippenlijst/malware)Malware is kwaadaardige software die een computer, server of website besmet om gegevens te stelen, te schaden of te misbruiken. .news (2026)**: [WordPress 7.1.4 patches unauthenticated upgrade-window RCE](https://malware.news/t/wordpress-7-1-4-patches-unauthenticated-upgrade-window-rce-exploitation-attempts-detected-after-release/126880). Aanvalsverloop. 13. **Barn2 / W3Techs (2026)**: [WordPress market share](https://barn2.com/blog/wordpress-market-share/). 40,1% van alle websites. 14. **The Hacker News (2026)**: [WordPress Comment2Shell flaw](https://thehackernews.com/2026/09/wordpress-comment2shell-flaw-can-turn.html). Comment2Shell in 7.1.1. 15. **CUHK ITSC (2026)**: [WordPress local file inclusion to remote code execution](https://www.itsc.cuhk.edu.hk/newsdetails/wordpress-20260923/). File inclusion in 4.7 t/m 7.1.1. Deel dit artikel Link kopiëren [](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fwordpress-updateproces-beveiligen-tegen-rce) [](https://x.com/intent/post?text=WordPress+updateproces+beveiligen+tegen+RCE%3A+update+7.1.4&url=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fwordpress-updateproces-beveiligen-tegen-rce) [](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fwordpress-updateproces-beveiligen-tegen-rce) [](https://wa.me/?text=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fwordpress-updateproces-beveiligen-tegen-rce) [](mailto:?subject=WordPress%20updateproces%20beveiligen%20tegen%20RCE%3A%20update%207.1.4&body=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fwordpress-updateproces-beveiligen-tegen-rce) - WordPress 29 Oct ### WordPress backup maken: 3 manieren + terugzettest \| KeurigOnline WordPress backup maken? Zo zet je bestanden en database veilig via je hosting, een plugin of handmatig, bewaar je extern (3-2-1) en test je of herstellen werkt. Pablo Cleij - WordPress 13 Jul ### WordPress-afbeeldingen naar WebP omzetten zonder plugin WordPress zet uploads niet automatisch om naar WebP. Met één native code-snippet comprimeer je afbeeldingen en verbeter je Core Web Vitals, geen plugin nodig. Pablo Cleij - WordPress 7 Jul ### AI-agents inzetten op je WordPress-site via MCP (WP 7.0) WordPress 7.0 maakt je site een MCP-server voor AI-agents als Claude en ChatGPT. Zo zet je Abilities veilig open: 5 stappen, risico's en hostingtips. Pablo Cleij