Bekijk de belangrijkste inzichten van dit artikel met AI
Ja, je WordPress website is kwetsbaar als je server nog niet is bijgewerkt. WordPress draait op PHP, en het lek zit in PHP zelf. Een beveiligingsplugin of de onderhoudsmodus helpt daar niet tegen.
Update 22 oktober 2026: Sansec stelt het beeld bij. Een massale aanvalsgolf is minder waarschijnlijk dan op 21 oktober werd gedacht. De openbare exploits werken niet tegen een standaard PHP installatie en hebben meestal een extra lek in de website zelf nodig. Sansec schrijft nu dat je je website niet offline hoeft te halen. Updaten blijft wel nodig. De veilige versies zijn PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35.
Ongeveer vier op de tien websites ter wereld draaien op WordPress. Daarom is dit voor heel veel ondernemers direct relevant.
Waarom helpt een plugin niet?
Het antwoord zit in de volgorde waarin dingen gebeuren. Als iemand je website bezoekt, verwerkt PHP het verzoek eerst. Pas daarna start WordPress op en komen je plugins in actie. De aanval speelt zich af in die eerste stap. Sansec wijst er daarom op dat ook de onderhoudsmodus van WordPress geen bescherming biedt.
Moet ik WordPress zelf updaten?
Dat is altijd goed, maar het lost dit probleem niet op. De oplossing komt van de PHP Foundation en wordt op je server geinstalleerd. WordPress, je thema en je plugins staan daar los van. Houd ze natuurlijk wel bij, want verouderde plugins zijn een andere veelgebruikte ingang.
Wat doe je als WordPress gebruiker?
Drie dingen, en je hebt er geen technische kennis voor nodig.
Vraag je hostingpartij om de update
Bij gedeelde hosting regelt je hostingpartij dit. Gebruik de vragen uit wat je je hostingpartij vraagt over het PHP lek.
Kijk welke PHP versie je draait
In WordPress zie je dat onder Gereedschap en dan Sitediagnose. Zie hoe je controleert welke PHP versie je website gebruikt.
Maak een back-up buiten je server
Download je bestanden en je database naar je eigen computer. Een back-up op dezelfde server is bij een hack weinig waard.
Vraag over je vindbaarheid
Vragen over je WordPress site en Google?
Ik werk dagelijks met WordPress websites. Wil je weten hoe jouw site ervoor staat qua vindbaarheid, stuur me gerust een bericht.
Neem contact opWaar let je op na de update?
Een update maakt een eerdere inbraak niet ongedaan. Kijk of er onbekende beheerders in je WordPress staan, of er vreemde bestanden bij staan en of je bezoekers worden doorgestuurd. Die signalen staan op een rij in hoe je weet of je website gehackt is. Klopt er iets niet, lees dan wat je doet als je website gehackt is.
En als je webshop op WooCommerce draait?
Dan weegt dit zwaarder, want er gaan betalingen en klantgegevens over je site. Sansec noemt WooCommerce winkels expliciet. Lees of je webshop kwetsbaar is voor het PHP lek en bekijk de achtergrond in wat PHP2Shell is en wat je nu moet doen.
Ik ben Jesse Commandeur, freelance SEO specialist uit Raalte. Ik werk ruim vijf jaar in SEO en werkte met meer dan 75 klanten. Beveiliging is niet mijn vakgebied, maar een gehackte website kost altijd ook zichtbaarheid in Google. Daarom volg ik dit nieuws op de voet. Veel van mijn klanten draaien op WordPress, dus ik krijg hier vandaag veel vragen over. De feiten in dit artikel komen van de PHP Foundation, het onderzoek van Sansec van 21 oktober 2026 en de meldingen van het NCSC.
Wat betekent het nieuws van 22 oktober voor WordPress?
Onderzoeker Calif liet zien dat een aanvaller zonder login code kan uitvoeren op onder meer WordPress 7.1.2, Magento 2.4.9, Drupal 11.4.3, Joomla 6.1.4, Nextcloud 35.0.1 en Laravel 13.11. Dat staat in het onderzoek van Sansec. Het lek zit in PHP zelf, dus ook een schone WordPress installatie is kwetsbaar.
Het goede nieuws staat er ook bij. De openbare exploits werken niet tegen een standaard PHP installatie en hebben meestal een tweede lek nodig. Houd je plugins en je thema dus bij, want juist zo een tweede lek maakt het verschil. En onthoud: een beveiligingsplugin repareert PHP zelf niet.
Veelgestelde vragen over WordPress en het PHP lek
Ik licht graag een aantal veelgestelde vragen toe: Helpt Wordfence of een vergelijkbare plugin?
Niet tegen dit lek. Zulke plugins draaien binnen WordPress en komen dus te laat. Ze blijven wel nuttig voor andere aanvallen.
Mijn site staat op WordPress.com, loop ik gevaar?
Daar beheert WordPress.com de servers. Zij voeren de update zelf uit. Heb je een eigen WordPress installatie bij een hostingpartij, dan geldt dit artikel wel.
Moet ik mijn beheerderswachtwoord wijzigen?
Verstandig, maar doe het pas nadat de update erop staat.
Vermoed je dat er iets mis is met je website? Neem dan direct contact op met je developer of hostingpartij. Heb je een algemenere vraag over je website, stuur me gerust een bericht. Meer over mijn werk vind je op jessecommandeur.nl.
Schreef eerder voor
Vond je dit artikel nuttig?Zet jessecommandeur.nl als voorkeursbron in Google. Dan zie je mijn artikelen vaker terug in de zoekresultaten en in AI antwoorden.
Voeg toe als voorkeursbron in Google
