Pluginnaam	ACF Uitgebreid
Type kwetsbaarheid	Privilege escalatie
CVE-nummer	CVE-2026-8809
Urgentie	Hoog
CVE-publicatiedatum	2026-06-01
Bron-URL	CVE-2026-8809

Dringend: Privilege Escalation in ACF Extended (≤ 0.9.2.5) — Wat WordPress-site-eigenaren nu moeten doen

Auteur: WP-Firewall Beveiligingsteam
Datum: 2026-06-01

Samenvatting

• Ernst: Hoog (CVSS 9.8)
• Aangetast: ACF Extended pluginversies ≤ 0.9.2.5
• Gepatcht in: 0.9.2.6
• CVE: CVE-2026-8809
• Vereiste privilege om te exploiteren: Onauthentiek
• OWASP-mapping: A7 — Identificatie- en authenticatiefouten

Deze post is geschreven vanuit het perspectief van het WP‑Firewall beveiligingsengineeringteam. Ons doel is om uit te leggen wat deze kwetsbaarheid betekent, hoe gevaarlijk het is in de echte wereld, en duidelijke, geprioriteerde stappen te geven die je kunt nemen om je WordPress-sites te beschermen — onmiddellijk en op de lange termijn.

Als je site ACF Extended gebruikt en de plugin is versie 0.9.2.5 of ouder, beschouw dit dan als kritiek en handel nu.

---

Waarom deze kwetsbaarheid zo gevaarlijk is

Een kwetsbaarheid die een onauthentieke actor in staat stelt om privileges te escaleren, is een van de meest zorgwekkende soorten defecten die we kunnen zien in WordPress-plugins:

• “Onauthentiek” betekent dat een aanvaller geen account of geldige inlog nodig heeft; ze kunnen een webverzoek vanaf overal op het internet doen.
• “Privilege-escalatie” impliceert dat ze een laagprivilege-context — of helemaal geen context — kunnen nemen en deze kunnen verhogen naar een administratieve capaciteit (of op zijn minst naar een rol die hen in staat stelt om acties met grote impact uit te voeren).
• Wanneer beide voorwaarden aanwezig zijn, kan de aanvaller admin-gebruikers aanmaken, inhoud kapen, backdoors installeren, kwaadaardige JavaScript of PHP invoegen, gegevens exfiltreren of naar andere sites op dezelfde server pivoteren.

Met een CVSS-score van 9.8 wordt deze fout als bijna kritiek beoordeeld. Dit soort kwetsbaarheden worden vaak gewapend voor massale exploitatiecampagnes. Kleine sites met minimale traffic worden net zo vaak als doelwit gekozen als grote, omdat geautomatiseerde tools ongedifferentieerd scannen en aanvallen.

---

Wat de kwetsbaarheid aantast (kort, technisch)

• Software: Advanced Custom Fields: Uitgebreid (ACF Uitgebreid)
• Kwetsbare versies: ≤ 0.9.2.5
• Gepatcht in: 0.9.2.6
• CVE: CVE-2026-8809

Hoewel de exacte implementatiedetails kunnen variëren, is het kernprobleem dat een niet-geauthenticeerde aanvraag codepaden kan bereiken die alleen bedoeld zijn voor geauthenticeerde, hogere-privilege contexten (bijvoorbeeld administratieve AJAX/REST-operaties of interne API's). Dit kan de aanvaller in staat stellen om acties uit te voeren die gebruikersrollen wijzigen, bevoorrechte gebruikers aanmaken of de siteconfiguratie aanpassen.

---

Directe, geprioriteerde actiechecklist (wat nu te doen)

Als je WordPress-sites beheert, volg dan deze checklist in volgorde. Doe de eerste drie items onmiddellijk — ze zijn de hoogste impact, snelste te implementeren stappen.

1. Update ACF Extended nu naar de gepatchte versie (0.9.2.6)
   • WP admin: Plugins → Geïnstalleerde Plugins → Update ACF Extended
   • WP‑CLI: wp plugin update acf-extended --version=0.9.2.6
   • Als er een automatische update beschikbaar is, pas deze dan zo snel mogelijk toe op alle sites.
2. Als je niet onmiddellijk kunt updaten, deactiveer of verwijder dan tijdelijk de plugin
   • WP admin: Plugins → Geïnstalleerde Plugins → Deactiveer (of Verwijder als je een alternatief hebt)
   • WP‑CLI: wp plugin deactivate acf-extended
   • Het deactiveren van de plugin sluit onmiddellijk het aanvalsvlak totdat je kunt updaten.
3. Zet een beheerde Web Application Firewall (WAF) of virtuele patching aan
   • Configureer regels om niet-geauthenticeerde aanvragen te blokkeren die gericht zijn op ACF Extended-eindpunten of enige administratieve actie die wordt uitgevoerd door niet-geauthenticeerde gebruikers.
   • Gebruik ook generieke bescherming: blokkeer verdachte payloads, beperk POST-aanvragen, pas IP-reputatie en botmitigatie toe.
4. Rotatie van inloggegevens: reset admin-wachtwoorden en reset alle API-sleutels
   • Forceer een wachtwoordreset voor alle beheerdersaccounts (of op zijn minst voor alle accounts die recent actief waren).
   • Als je site externe API-sleutels of tokens gebruikt, roteer dan diegene die effectieve admin-mogelijkheden kunnen hebben.
5. Scan op compromittering en verdachte wijzigingen
   • Voer een volledige malware-scan uit en vergelijk sitebestanden met een schone basislijn.
   • Inspecteer gebruikersaccounts op onverwachte beheerdersgebruikers.
   • Zoek naar nieuwe PHP-bestanden in wp-content, wp-content/uploads en andere schrijfbare mappen.
6. Controleer logs en forensische indicatoren (zie de detectie sectie hieronder)
   • Zoek naar HTTP-verzoeken die overeenkomen met plugin-eindpunten of ongebruikelijke POST/GET-verzoeken rond de tijd dat je denkt dat exploitatie heeft kunnen plaatsvinden.
7. Herstel vanaf schone back-ups als je een compromis vindt
   • Als een site duidelijke tekenen van inbraak vertoont (nieuwe beheerdersaccounts, achterdeurtjes, obfuscerende PHP in uploads), herstel dan vanaf een back-up die voor het compromis is gemaakt, en werk alles bij en verstevig.

---

Detectie — tekenen dat uw site mogelijk al is gecompromitteerd

Als je meerdere sites aan het triëren bent of incidentrespons uitvoert, zoek dan naar deze indicatoren:

• Nieuwe of gewijzigde beheerdersaccounts
  • SQL-query: SELECT ID, user_login, user_email, user_registered FROM wp_users WHERE user_registered >= '2026-05-??';
  • Controleer gebruikerscapaciteiten: SELECT user_id, meta_value FROM wp_usermeta WHERE meta_key LIKE '%capabilities%' AND meta_value LIKE '%administrator%';
• Onverklaarde wijzigingen in site-opties
  • wp_opties tabelwijzigingen naar site_url, Home, actieve_plugins, of andere kritieke configuratie-opties.
• Onverwachte geplande taken (wp_cron) of nieuwe database-invoeren
  • Rekening wp_opties voor cron-invoeren (option_name = 'cron') die onbekende hooks of externe URL's aanroepen.
• Nieuwe bestanden in uploads of pluginmappen
  • Controleer tijdstempels: find wp-content/uploads -type f -mtime -N (waar N het aantal dagen sinds de laatste update is).
  • Zoek naar PHP-bestanden in de uploads-directory — een onmiddellijke rode vlag.
• Uitgaande netwerkverbindingen vanuit PHP
  • Webshells en backdoors proberen vaak uitgaande verbindingen, DNS-opzoekingen of POST-verzoeken naar aanvallersservers.
• Ongebruikelijke admin-activiteit in logs
  • Admin-niveau REST of AJAX-aanroepen van IP's zonder geverifieerde cookie of verdachte user-agent strings.
• Abnormale pieken in POST-verkeer of scan-gedrag
  • Geautomatiseerde massale exploitpogingen tonen vaak herhaalde POST-verzoeken met vergelijkbare payloads van veel IP's.

Als je een van de bovenstaande vindt, behandel de site dan als potentieel gecompromitteerd en volg de herstelstappen (isoleer, bewaar logs, herstel vanaf een schone back-up).

---

Aanbevolen forensische controles — exacte queries en commando's

• Pluginversies weergeven:
  • WP‑CLI: wp plugin lijst --format=csv
• Controleer actieve gebruikers die beheerders zijn:
  • WP‑CLI: wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
• Controleer op recent geregistreerde gebruikers:
  • WP‑CLI: wp user list --role=subscriber --format=csv --registered_after="7 dagen geleden"
• Zoek naar verdachte PHP-bestanden in uploads:
  • SSH: find wp-content/uploads -type f -iname "*.php" -print
• Controleer de bestandwijzigingstijden voor plugin-directories:
  • SSH: vind wp-content/plugins/acf-extended -type f -printf "%TY-%Tm-%Td %TH:%TM %p
" | sorteren -r

Bewaar een kopie van relevante logs (webserver-toegangslogs, PHP-foutlogs, database-logs) voordat je wijzigingen aanbrengt.

---

Hoe te mitigeren als je niet meteen kunt updaten (virtuele patching / firewallregels)

Als een onmiddellijke plugin-update onmogelijk is vanwege compatibiliteit of onderhoudsvensters, pas dan tijdelijke mitigaties toe. Dit zijn generieke, praktische WAF/randregels en verhardingsstappen die je kunt toepassen.

1. Blokkeer of beperk ongeauthenticeerde toegang tot plugin-eindpunten
   • Als de plugin REST-eindpunten of admin AJAX-acties exposeert, blokkeer dan verzoeken naar die eindpunten tenzij ze geldige cookies of authenticatieheaders hebben.
   • Voorbeeld: Sta alleen POST-verzoeken toe naar /wp-json/* of /wp-admin/admin-ajax.php dat een geldige WordPress ingelogde cookie bevat.
2. Beperk toegang op IP (waar mogelijk)
   • Als admin-acties afkomstig zijn van een bekend IP-bereik, beperk dan de toegang tot die IP's alleen voor admin-URL's.
3. Handhaaf strengere invoervalidatie
   • Blokkeer verzoeken met payloadpatronen die geassocieerd zijn met privilegewijzigingen, bijv. parameters die bevatten rol=administrator, voeg_gebruiker_toe, maak_gebruiker, gebruikers_pas, of verdachte base64/obfuscated strings.
4. Weiger gevaarlijke HTTP-methoden en verdachte user-agents
   • Blokkeer of beperk onbekende user agents en alle ongebruikelijke HTTP-werkwoorden voor eindpunten die niet bedoeld zijn om ze te accepteren.
5. Pas virtuele patchregels toe in uw WAF
   • Generieke regeltemplates:
     • Blokkeer POST naar eindpunten die administratieve acties aanroepen zonder authenticatie te vereisen.
     • Blokkeer verzoeken die proberen gebruikerscapaciteiten in te stellen via query- of POST-parameters.
     • Blokkeer verzoeken naar plugin-specifieke bestanden die normaal gesproken alleen in admin-contexten worden uitgevoerd.
6. Bescherm de WordPress admin en authenticatie-eindpunten
   • Vereis een CAPTCHA op inlogformulieren en kritieke REST-eindpunten.
   • Beperk het aantal inlogpogingen en REST API-aanroepen voor niet-geauthenticeerde gebruikers.
7. Gebruik regels op webserverniveau
   • Voeg kortetermijn .htaccess/nginx-regels toe om toegang tot pluginmappen te weigeren voor niet-geauthenticeerde verzoeken waar mogelijk.

Onthoud: virtueel patchen is een tijdelijke maatregel. Het vermindert risico's totdat u kunt updaten naar de vaste pluginversie. Het is geen vervanging voor het updaten en valideren van de plugin-code of het herstellen van een schone back-up na een compromis.

---

Praktische WAF-regelvoorbeelden (conceptuele patronen die je kunt implementeren)

Hieronder staan regelpatronen; de exacte syntaxis hangt af van je firewall of server. Pas niet blindelings toe zonder te testen.

• Regel: Blokkeer niet-geauthenticeerde admin-acties
  • Voorwaarde:
    • Verzoekpad bevat /wp-beheerder/ OF /wp-json/ OF /admin-ajax.php
    • EN Cookie bevat niet wordpress_ingelogd_
    • EN Verzoeklichaam of query bevat parameters zoals gebruikersrol, rol, voeg_gebruiker_toe, maak_gebruiker, update_gebruiker, wp_capabilities
  • Actie: Blokkeer (403) of Uitdaging (CAPTCHA/JS)
• Regel: Beperk POST-verzoeken naar plugin-gerelateerde eindpunten
  • Voorwaarde:
    • Pad bevat acf-uitgebreid OF acf (wees voorzichtig met generieke acf)
    • EN Niet-geauthenticeerd
  • Actie: Beperk tot een zeer laag aantal verzoeken per minuut per IP; daag uit of blokkeer wanneer dit wordt overschreden.
• Regel: Blokkeer verdachte payloads
  • Voorwaarde:
    • Verzoeklichaam bevat base64-strings langer dan X met PHP-functienamen (evaluatie, systeem, passthru) of verdachte patronen
  • Actie: Blokkeer en log
• Regel: Weiger PHP in uploads
  • Voorwaarde: Aanvraagpad komt overeen met wp-content/uploads/*.php
  • Actie: 403

Als je een beheerde WAF-service draait, vraag je provider dan om een virtuele patch te pushen die specifiek is voor de ACF Extended-exploitpatronen en om op indicatoren te letten.

---

Checklist na een incident (als je indicatoren van compromittering detecteert)

Als logs, scans of handmatige inspectie tekenen van compromittering tonen, neem dan de volgende stappen in volgorde:

1. Isolateer de getroffen site
   • Zet de site in onderhoudsmodus of neem deze tijdelijk offline om verdere aanvallen te voorkomen.
2. Bewaar logs en bewijs
   • Bewaar webserverlogs (toegang & fout), PHP-logs en databaseback-ups voor forensisch onderzoek.
3. Verwijder de bron van de kwetsbaarheid
   • Patch ACF Extended onmiddellijk naar 0.9.2.6 of hoger, of deactiveer/verwijder de kwetsbare plugin.
4. Identificeer en verwijder achterdeurtjes
   • Zoek naar onbekende PHP-bestanden, obfuscerende code of geplande taken. Verwijder of reinig bestanden die als kwaadaardig zijn gevalideerd.
5. Reset inloggegevens en geheimen
   • Reset wachtwoorden voor alle beheerdersgebruikers.
   • Draai API-sleutels, database-inloggegevens en andere geheimen die door de applicatie worden gebruikt.
6. Herstel indien nodig vanaf een bekende schone back-up
   • Als de aanvaller volhardend was of bestanden in de codebase heeft geïnjecteerd, herstel dan vanaf een snapshot dat vóór de compromittering is gemaakt.
7. Her-scan en monitoren
   • Voer een volledige malware- en integriteitsscan uit. Blijf ten minste 30 dagen lang verbeterde monitoring (verhoogde logging, externe monitoring) uitvoeren.
8. Voer een oorzaak-analyse uit
   • Bepaal hoe de aanvaller de site heeft geëxploiteerd (bijv. aangeroepen plugin-eindpunt, ontbrekende capaciteitscontroles) en documenteer stappen voor preventie.
9. Rapporteer aan belanghebbenden
   • Informeer site-eigenaren, management of getroffen gebruikers waar nodig en voldoe aan relevante openbaarmakings- of nalevingsvereisten.

---

Versterkingschecklist om soortgelijke risico's in de toekomst te verminderen

Een site veerkrachtig maken vereist gelaagde controles. Dit is wat we aanbevelen voor alle WordPress-sites:

• Houd de WordPress-kern, thema's en plugins bijgewerkt volgens een beheerd schema.
• Vermijd ongebruikte plugins en thema's. Verwijder ze in plaats van ze gedeactiveerd te laten.
• Gebruik een least-privilege model voor accounts. Beheerdersaccounts moeten minimaal zijn en alleen worden gebruikt wanneer nodig.
• Schakel tweefactorauthenticatie (2FA) in voor alle beheerdersaccounts.
• Beperk bestandsschrijvingen voor PHP waar mogelijk (bijv. schakel bestandsbewerkingen in het dashboard uit: define('DISALLOW_FILE_EDIT', true);).
• Voer een beheerde WAF en geplande malware-scans uit met virtuele patchmogelijkheden.
• Voer regelmatig back-ups uit en test herstelprocedures.
• Gebruik beveiligingsheaders (Content-Security-Policy, X-Frame-Options, Referrer-Policy) en HSTS voor HTTPS.
• Monitor logs en stel waarschuwingen in voor verdachte gebeurtenissen (nieuwe beheerdersaccount, plotselinge bestandsuploads, grote uitgaande verzoeken).
• Gebruik een staging/testomgeving om pluginupdates te evalueren voordat je deze in productie neemt.

---

Technische Q&A — veelgestelde vragen die ons ondersteuningsteam ontvangt

Q: “Als ik update naar 0.9.2.6, moet ik dan nog steeds op zoek naar compromittering?”
A: Ja. Als je site bereikbaar was vóór de patch, kan deze zijn aangevallen. Update eerst om de kwetsbaarheid te sluiten, voer vervolgens de controles uit in de detectie- en forensische secties. Als je indicatoren ziet (nieuwe beheerdersaccounts, gewijzigde bestanden), volg dan de checklist voor incidentrespons.

Q: “Kan ik alleen op een virtuele patch vertrouwen?”
A: Virtueel patchen (WAF-regels) is een krachtige mitigatie en kan bekende aanvalspatronen snel blokkeren. Het is echter tijdelijk. De juiste oplossing op lange termijn is om de plugin bij te werken en de integriteit van de site te valideren.

Q: “Wat als mijn site een multisite-netwerk gebruikt?”
A: Behandel multisite met extra zorg. Een niet-geauthenticeerde escalatie op één site kan netwerkbrede gevolgen hebben. Werk eerst de netwerk-geactiveerde plugininstanties bij en controleer alle subsites.

Q: “Is er een veilige manier om de oude plugin-code te blijven gebruiken?”
A: De enige veilige manier is om de kwetsbare code te patchen. Als je de oudere versie tijdelijk moet draaien, beperk dan de toegang strikt, isoleer de site en monitor agressief totdat je kunt updaten.

---

Voorbeeld: snelle commando's om triage uit te voeren (copy/paste vriendelijk)

• Controleer de pluginversie:
  wp plugin lijst | grep acf-extended
• Plug-in bijwerken:
  wp plugin update acf-extended --version=0.9.2.6
• Deactiveer plugin:
  wp plugin deactivate acf-extended
• Lijst administratorgebruikers:
  wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
• Zoek PHP-bestanden in uploads:
  find wp-content/uploads -type f -iname "*.php" -print
• Exporteer recent geregistreerde gebruikers (laatste 14 dagen):
  wp gebruikerslijst --formaat=csv --geregistreerd_na="$(date -d '14 dagen geleden' +%F)"

Voer deze commando's altijd uit vanuit een vertrouwde admin-shell en bewaar de output voor onderzoek.

---

WP‑Firewall inschakelen om je sites te beschermen (kort, praktisch)

We hebben WP‑Firewall gebouwd om site-eigenaren te helpen precies te reageren op gebeurtenissen zoals deze. Ons gratis Basisplan omvat een deskundig beheerde firewall (WAF), onbeperkte bandbreedtebescherming, een malware-scanner en geautomatiseerde mitigatie van OWASP Top 10-risico's — genoeg om veel exploitatiepogingen te blokkeren terwijl je updates toepast en je forensische controles uitvoert.

Als je meer automatisering en herstelopties nodig hebt, voegen onze betaalde plannen automatische malwareverwijdering, IP-blacklist-/whitelist-controles, maandelijkse beveiligingsrapportage en volledige automatische virtuele patching toe. Dat betekent dat zelfs als je een plugin-update niet onmiddellijk kunt toepassen, WP‑Firewall de meest voorkomende exploitatievectoren kan neutraliseren totdat je dat doet.

---

Nieuw: Onmiddellijke gratis bescherming voor je site

Titel: Krijg gratis, beheerde WAF-bescherming in enkele minuten

Als je snelle, kosteloze dekking wilt terwijl je patcht, meld je dan vandaag aan voor het WP‑Firewall Basis (Gratis) plan. Het biedt beheerde firewallregels, continue scanning en geautomatiseerde mitigatie, zodat je het venster van blootstelling kunt sluiten terwijl je update of onderzoekt. Activeer het nu: https://my.wp-firewall.com/buy/wp-firewall-free-plan/

(Ons gratis plan is ontworpen om laagdrempelig te zijn: het installeert snel en begint onmiddellijk met het blokkeren van veelvoorkomende exploitverkeer. Als je de voorkeur geeft aan verbeterde automatisering en respons, bieden onze Standaard- en Pro-niveaus aanvullende verwijdering, IP-controles, virtuele patching en rapportage.)

---

Waarom een beheerde firewall + snelle patching de juiste strategie is

• Zero-day vensters: Nieuw gepubliceerde kwetsbaarheden zijn het gevaarlijkst voordat site-eigenaren ze kunnen patchen. Een beheerde WAF biedt een verdedigingslaag terwijl je update.
• Massale exploitatie: Aanvallers lanceren geautomatiseerde campagnes. De gemiddelde site wordt snel doelwit na openbare bekendmaking — zelfs sites met weinig verkeer.
• Verdediging in diepte: Een WAF verwijdert de noodzaak om te patchen niet, maar vermindert het risico tijdens het patchvenster aanzienlijk en dekt andere, niet-gerelateerde aanvalstypen (SQLi, XSS, misbruik van bestandsoverdracht).
• Snelle triage-ondersteuning: Het combineren van geautomatiseerd blokkeren met scannen en rapporteren stelt je in staat om prioriteit te geven aan sites die waarschijnlijk gecompromitteerd zijn.

---

Langdurige veerkracht: processen die we aanbevelen voor bureaus en hosts

Als je meerdere WordPress-sites beheert (bureau, host of onderneming), neem dan deze praktijken over:

• Gecentraliseerd patchbeheer en rapportage
  • Houd een inventaris bij van pluginversies op klantensites en plan updates centraal.
• Gefaseerde implementaties
  • Test plugin-updates in staging voordat je naar productie gaat.
• Geautomatiseerde virtuele patching
  • Automatiseer WAF-regels om toe te passen voor hoog-risico CVE's totdat code-niveau patches zijn geïmplementeerd.
• Incident-handboeken
  • Standaardiseer triage- en herstelstappen, zodat je team consistent en snel reageert.
• Klantcommunicatie-sjablonen
  • Vooraf goedgekeurde meldingen voor klanten en belanghebbenden helpen bij snelle, transparante communicatie nadat kwetsbaarheden zijn onthuld.

WP‑Firewall biedt tools ter ondersteuning van veel van deze praktijken; als je veel sites beheert, standaardiseer dan updates en bescherming om je operationele overhead en risico te verminderen.

---

Slotgedachten van WP‑Firewall-ingenieurs

Deze kwetsbaarheid is een sterke herinnering aan twee waarheden:

1. WordPress-ecosystemen zijn snel bewegend en complex — plugins bieden ongelooflijke functionaliteit, maar slechte toegangscontrole of ontbrekende controles kunnen catastrofale gevolgen hebben.
2. Snelheid is belangrijk. Hoe sneller je een technische oplossing toepast (update of deactiveer), hoe kleiner je blootstellingsvenster en hoe minder waarschijnlijk het is dat een geautomatiseerde campagne succesvol zal zijn.

Als je ACF Extended gebruikt, update dan onmiddellijk naar 0.9.2.6. Als je dat niet kunt, zet de plugin in onderhoudsmodus, schakel WAF virtuele patches in en voer de detectiechecklijst uit. Als je vermoedt dat er een compromis is, geef dan prioriteit aan isolatie, bewijsbehoud, credentialrotatie en herstel vanaf een vertrouwde back-up.

We hebben WP‑Firewall gebouwd om site-eigenaren te helpen de paniek te verminderen en risico's te verlagen: beheerde WAF-regels, scannen en snelle mitigatie stellen je in staat om je te concentreren op herstel terwijl wij helpen de toegang te beschermen.

Blijf veilig, handel snel en neem contact op met je beveiligingsprovider of ondersteuningsteam als je hulp nodig hebt.

— WP‑Firewall Beveiligingsteam

---

Referenties en verder lezen

• Advies: CVE-2026-8809 — ACF Extended privilege-escalatie (gepatcht in 0.9.2.6)
• WordPress-versteviging en incidentresponsrichtlijnen
• Best practices voor WAF virtuele patching en rate limiting

(Als je een op maat gemaakt herstelplan voor je site of een snelle audit van je plugin-inventaris nodig hebt, kan ons team helpen.)