Wikimedia Foundation/Producten en technologie/Productveiligheid en integriteit/Gebruikersscript-incident in maart 2026

Op 5 maart 2026, rond 15:00 CET, voerden medewerkers van de Wikimedia Foundation een veiligheidscontrole uit op door gebruikers geschreven code in Wikimedia-projecten. Tijdens die controle hebben we per ongeluk inactieve code geactiveerd die al snel als kwaadaardig werd geïdentificeerd.

De code was 23 minuten lang actief. Dit leidde tot het verwijderen van pagina's op Meta-Wiki, die inmiddels zijn hersteld. Om te voorkomen dat het script zich verder zou verspreiden terwijl we onderzoek deden, werden Wikimedia-projecten ongeveer twee uur lang op alleen-lezen gezet en werd JavaScript van gebruikers tijdelijk uitgeschakeld gedurende het grootste deel van de dag.

De aangetaste pagina's zijn inmiddels hersteld en wij zijn van mening dat deze code geen blijvende schade heeft veroorzaakt. Wij hebben geen reden om aan te nemen dat Wikipedia actief werd aangevallen of dat er in het kader van dit incident persoonlijke gegevens zijn gelekt.

Op dit moment is de impact van de kwaadaardige code opgeruimd en is JavaScript voor gebruikers weer ingeschakeld. We werken actief aan verdere beveiligingsmaatregelen voor JavaScript voor gebruikers, in overleg met de gemeenschap, om dit soort incidenten in de toekomst veel moeilijker te maken.