Elementor Pro-beveiligingslek wordt actief misbruikt: dit moet je controleren

Niet iedere Elementor-website is automatisch kwetsbaar. De aanval vereist een vrij specifieke situatie. Maar wanneer jouw website daaraan voldoet, kan de impact groot zijn.

Wat is er precies aan de hand?

De kwetsbaarheid zit in de Form-widget van Elementor Pro. Het probleem ontstaat wanneer een gepubliceerd Elementor-formulier een File Upload-veld bevat dat niet verplicht is ingesteld.

Door een fout in de validatie kan een aanvaller onder bepaalde omstandigheden bestanden uploaden die normaal gesproken geblokkeerd zouden moeten worden. Dat kan bijvoorbeeld een uitvoerbaar PHP-bestand zijn.

Wanneer zo'n bestand op de server terechtkomt en kan worden uitgevoerd, kan een aanvaller in het slechtste geval opdrachten uitvoeren op de server en controle over de website krijgen. Wordfence beoordeelt het lek met een CVSS-score van 9,8 op 10.

Welke Elementor Pro-versies zijn kwetsbaar?

Volgens de technische analyse van Wordfence zijn alle versies tot en met 4.2.1 getroffen. De kwetsbaarheid is verholpen in Elementor Pro 4.2.2.

Gebruik je 4.2.2 of een nieuwere versie, dan is deze specifieke kwetsbaarheid gepatcht. Dat betekent niet automatisch dat een website die inmiddels geüpdatet is nooit geraakt kan zijn.

Wanneer de website vóór de update kwetsbaar was, kan een succesvolle aanval eerder hebben plaatsgevonden.

Controleer eerst of je File Upload gebruikt

Het goede nieuws is dat er voor deze aanval een specifieke voorwaarde geldt. De website moet een gepubliceerde pagina hebben met een Elementor Pro Form-widget waarin minimaal één niet-verplicht File Upload-veld staat.

Gebruik je Elementor Pro uitsluitend voor layout, headers, pop-ups en normale contactformulieren zonder bestandsupload? Dan voldoet je website niet aan deze specifieke aanvalssituatie.

Gebruik je bijvoorbeeld een sollicitatieformulier waar mensen een cv kunnen uploaden, een offerteformulier met documentupload of een formulier waar klanten bestanden meesturen?

Dan moet je extra goed controleren.

Alleen updaten is stap één

De belangrijkste actie is eenvoudig: update Elementor Pro naar een actuele, compatibele versie, minimaal 4.2.2. Die versie is de ondergrens voor dit lek, niet automatisch de nieuwste versie van vandaag. Kun je niet meteen updaten, schakel het betrokken formulier tijdelijk uit en laat de toegang tot de kwetsbare functie daadwerkelijk blokkeren. Alleen een link uit het menu verwijderen is onvoldoende.

Maar bij een zakelijke website zou ik daarna nog een aantal controles uitvoeren. Controleer bijvoorbeeld of er onbekende beheerders zijn aangemaakt, of er onverwachte bestanden op de server staan en of er vreemde wijzigingen zijn gedaan in belangrijke WordPress-bestanden.

Wordfence noemt specifiek de map: /wp-content/uploads/elementor/forms/. PHP-bestanden horen daar normaal gesproken niet thuis. De aanwezigheid daarvan kan een aanwijzing zijn dat een website is gecompromitteerd.

Update Elementor en Elementor Pro gecontroleerd

Een veelgemaakte fout is dat alleen Elementor Pro wordt bijgewerkt terwijl de gratis Elementor-plugin maanden achterloopt. Elementor legt in zijn updatehandleiding uit hoe je beide plugins bijwerkt. Verschillende versies kunnen namelijk compatibiliteitsproblemen veroorzaken.

Voor een belangrijke zakelijke website is dit een bruikbare controlevolgorde:

• eerst controleren of een actuele backup aanwezig is;
• daarna updates uitvoeren;
• vervolgens de belangrijkste pagina's testen;
• formulieren daadwerkelijk versturen;
• mobiele weergave controleren;
• cache legen;
• foutlogs nalopen.

Een groen vinkje naast "plugins bijgewerkt" betekent niet automatisch dat de website daarna volledig werkt.

Een firewall is nuttig, maar geen vervanging voor updates

Wordfence geeft aan dat zijn firewall bescherming bevat tegen de aanval. Dat is positief. Toch adviseert Wordfence zelf ook gebruikers die door de firewall worden beschermd om Elementor Pro minimaal naar versie 4.2.2 bij te werken.

Dat is een belangrijke beveiligingsregel voor WordPress in het algemeen. Een firewall is een extra laag. Het is geen excuus om bekende kwetsbaarheden in plugins te laten staan.

Waarom WordPress-onderhoud meer is dan op 'update' klikken

WordPress krijgt soms onterecht het label dat het onveilig zou zijn. Het platform zelf is niet automatisch het probleem. De meeste zakelijke WordPress-websites bestaan uit meerdere onderdelen:

• WordPress Core;
• thema;
• pagebuilder;
• plugins;
• custom code;
• hostingomgeving;
• PHP-versie;
• mailconfiguratie;
• gebruikersaccounts.

Beveiliging zit in het onderhoud van die hele combinatie. Een plugin die een jaar lang niet wordt bijgewerkt kan bijvoorbeeld een groter risico vormen dan WordPress Core zelf.

Daarom hoort technisch beheer ook bij een professionele website. Op de pagina over website-onderhoud vind je meer over technisch beheer. Ook de overstap vanaf PHP 8.2 vraagt om tijdige voorbereiding.

Is je website mogelijk geraakt?

Zie je onbekende bestanden, nieuwe beheerders, vreemde redirects, spam in Google of onverwachte serverbelasting? Ga dan niet alleen verder met plugins updaten.

Beperk de toegang tot de verdachte site of het betrokken formulier, bewaar bestanden en logs voor onderzoek en schakel je beheerder in. Maak een kopie van de huidige situatie voordat je sporen wist. Laat bepalen welke accounts, bestanden en eventuele gegevens geraakt zijn. Herstel vanuit een aantoonbaar schone situatie en vervang relevante toegangsgegevens vanaf een schoon apparaat. Anders bestaat de kans dat een achterdeur op de website blijft staan terwijl de oorspronkelijke kwetsbaarheid inmiddels wel is opgelost.

WordPress-website laten controleren?

Gebruik je Elementor Pro en weet je niet zeker of je website goed is bijgewerkt of beveiligd? Neem contact op met Fosyn voor een technische controle.

FAQ over het Elementor Pro-beveiligingslek

Welke Elementor Pro-versies zijn kwetsbaar?

De kwetsbaarheid CVE-2026-32475 treft Elementor Pro-versies tot en met 4.2.1. Versie 4.2.2 bevat de patch.

Wordt het Elementor-lek echt actief misbruikt?

Ja. Wordfence meldde op 2 september 2026 dat aanvallers de kwetsbaarheid actief misbruiken en dat zijn firewall meer dan 190.000 exploitpogingen had geblokkeerd.

Is iedere Elementor-website kwetsbaar?

Nee. Voor deze specifieke aanval moet Elementor Pro worden gebruikt en moet er een gepubliceerd Elementor-formulier bestaan met minimaal één niet-verplicht File Upload-veld.

Wat moet ik doen als ik Elementor Pro 4.2.1 gebruik?

Beperk direct de blootstelling van een kwetsbaar uploadformulier en update zo snel mogelijk naar een actuele, compatibele versie met de patch. Controleer je back-up en test het formulier na de update.

Is mijn website veilig zodra ik heb geüpdatet?

De update voorkomt deze specifieke kwetsbaarheid, maar bewijst niet dat de website vóór de update niet is aangevallen. Controleer bij twijfel bestanden, gebruikersaccounts en serverlogs.

Heb ik Wordfence nodig als ik Elementor gebruik?

Wordfence is één mogelijke extra beveiligingslaag, maar geen vervanging voor updates, goede hosting, sterke accounts en regelmatig technisch onderhoud.