Op deze pagina
Elfduizend lekken, en waar ze zaten
11.334 nieuwe lekken in 2025
- Plugins 91%
- Thema's 9%
- Kern van WordPress 6 lekken, alle licht
- Uur 0Lek bekendBij 46 procent nog zonder oplossing.
- Na 5 uurEerste aanvallenGewogen mediaan.
- Dezelfde dagAutomatische updateAls je ze aanzette.
- Een week laterHandmatig bijgewerktDagen open gestaan.
Waarom een update van een week te laat is
WordPress draait op bijna 40 procent van alle sites, en dat maakt het een doelwit. Patchstack, dat lekken in WordPress bijhoudt, telde er in 2025 42 procent meer dan het jaar ervoor. Het probleem zit niet in de kern, die automatisch bijwerkt, maar in de tijd tussen een bekend lek en jouw update: de eerste aanvallen komen binnen uren, en bij bijna de helft van de lekken bestond toen nog geen oplossing. Wie een week wacht, staat dagen open; wie automatische updates aanzet, sluit de deur dezelfde dag.
| Onderdeel | Risico | Waarom |
|---|---|---|
| Kern van WordPress | Laag | Weinig en lichte lekken, updates gaan vanzelf |
| Plugins | Hoog | Het overgrote deel van de nieuwe lekken, vaak van kleine makers |
| Thema | Middel | Zware thema's met pagebuilders brengen veel extra code mee |
| PHP-versie | Hoog als ze oud is | Geen veiligheidsupdates meer voor 8.1 en ouder |
| Accounts | Middel | Gedeelde beheerders, hergebruikte wachtwoorden |
| Hosting | Middel | Back-ups op dezelfde server gaan mee ten onder |
Wil je naar betere hosting, lees dan eerst website overzetten naar een andere host: een verhuis zonder plan kost je posities in Google.
Vijf dingen om vandaag na te kijken
- Zet automatische updates aan voor de kern en voor de plugins die je vertrouwt.
- Verwijder elke plugin die je niet gebruikt, en elke plugin zonder update in het laatste jaar.
- Vraag je hosting op welke PHP-versie je site draait: minstens 8.2, liefst nieuwer.
- Zet tweestapsverificatie aan voor elke beheerder, en geef iedereen een eigen account.
- Controleer dat je back-ups buiten de server staan en dat terugzetten echt werkt.
Is het al te laat, dan staat in website gehackt wat je in welke volgorde doet.
Wat een hack kost tegenover wat onderhoud kost
Een uur per maand om updates na te kijken en te testen kost aan 60 euro per uur 720 euro per jaar. Een gehackte site opkuisen, terugzetten en alle wachtwoorden wijzigen vraagt snel acht tot zestien uur, 480 tot 960 euro. In euro is de opkuis dus niet altijd duurder. Het verschil zit in wat niet op een factuur staat: dagen of weken zonder aanvragen, een rode waarschuwing in Google, en als er klantgegevens lekten een melding binnen 72 uur bij de Gegevensbeschermingsautoriteit. Bij een webshop weegt dat het zwaarst; wat een WooCommerce-shop aan onderhoud vraagt, lees je in is WooCommerce gratis. Draait je site op een oudere Joomla, dan staat in Joomla of WordPress welke versies nog ondersteund worden.
Veiligheid hangt ook samen met wat je site over bezoekers bewaart: elk formulier en elke plugin die gegevens verzamelt, hoort in je privacyverklaring. Een site die op veel plugins leunt, is bovendien vaak traag; waarom, lees je in waarom is WordPress zo traag, en meet de jouwe met de snelheidstest. Twijfel je of WordPress nog de juiste keuze is, lees dan website op maat of WordPress en Webflow of WordPress. Lever je zelf software of plugins, dan krijg je er Europese regels bij: zie de meldplicht van de Cyber Resilience Act. Welke versie, welk thema en welke paginabouwer een WordPress-site gebruikt, toont de CMS checker.
Vergeleken met Wix en met een beveiligingsplugin
Is WordPress onveiliger dan Wix of Shopify?
Anders. Bij Wix en Shopify regelt het platform de beveiliging en kan je weinig zelf installeren. Bij WordPress heb je meer vrijheid en dus meer verantwoordelijkheid: wat je installeert, moet je bijhouden.
Heb ik een beveiligingsplugin nodig?
Een firewall en een melding bij een inbraak helpen, maar ze vervangen updates niet. En een beveiligingsplugin is ook een plugin die je moet bijhouden.