Kwetsbare WordPress-plugin op de sites van je klanten: wat nu?
Kort antwoord: is er een update die het lek dicht, maak dan een backup en update zo snel mogelijk. Is er geen update, of is de plugin van WordPress.org gehaald, zet hem dan uit en zoek een vervanger. WordPress zegt het zelf: oude versies zijn kwetsbaarder, omdat de informatie om een lek te misbruiken na een fix vaak openbaar is.1
Zo zie je dat een plugin een probleem heeft
- Er staat een update klaar met een beveiligingsoplossing. De wijzigingslog noemt dan vaak "security" of "fix".
- De plugin is gesloten op WordPress.org. Dan staat er een melding op de pluginpagina. Na 60 dagen wordt de reden getoond, bijvoorbeeld "Security Issue".2
- De plugin is verouderd. WordPress.org toont een melding als een plugin de laatste 3 grote versies van WordPress niet ondersteunt.2 Dat is geen bewijs van een lek, wel een signaal dat er geen onderhoud meer is.
Stappenplan
- Inventariseer. Op welke sites van je klanten staat de plugin, en welke versie?
- Backup. Altijd vóór je iets wijzigt.3
- Update naar de versie met de fix. Controleer de site daarna: formulieren, winkelwagen, de belangrijkste pagina's.
- Geen fix beschikbaar? Zet de plugin uit als de site zonder kan. Kan dat niet, zoek dan een vervanger en plan de wissel.
- Vermoeden dat er misbruik is geweest? Controleer op onbekende gebruikers en gewijzigde bestanden, en zet bij twijfel een schone backup terug. Zitten er persoonsgegevens op de site, ga dan na of je een datalek moet melden. Daarvoor is de verwerkingsverantwoordelijke (je klant) aan zet; als verwerker help je hem.
- Leg vast wat je deed, voor je klant en voor jezelf.
Hoe je het voorkomt
- Gebruik plugins uit betrouwbare bronnen: de WordPress.org-directory of bekende bedrijven.1
- Hou alles up-to-date. WordPress heeft sinds versie 3.7 automatische updates; sinds 5.5 kun je die ook per plugin en thema aanzetten.14
- Ruim op. Een uitgeschakelde plugin die nog op de server staat, kan nog steeds een risico zijn. Verwijder wat je niet gebruikt.
- Kies een vaste updatedag, niet "als er tijd is".
Hoe wij het doen
- Elke week updates van WordPress, plugins en thema's, altijd met eerst een backup. Nooit op vrijdag of in het weekend.
- Regelmatige beveiligingsscan.
- We spreken vooraf af wat niet automatisch bijgewerkt mag worden, bijvoorbeeld een plugin die je klant zelf laat aanpassen.
- Maandrapport met jouw logo, met de uitgevoerde updates en beveiliging. Bekijk het voorbeeldrapport (pdf).
- Plus: updates eerst getest op staging en een visuele controle na de update.
Basis kost €19 en Plus €35 per site per maand, excl. btw. Vanaf 5 sites, maandelijks opzegbaar. Extra werk, zoals een plugin vervangen, kost €55 tot €60 per uur; bij Plus zit 30 minuten klein werk per site per maand inbegrepen.
Veelgestelde vragen
Wat betekent "This plugin has been closed" op WordPress.org?
De plugin is niet meer te downloaden. Na 60 dagen toont WordPress.org de reden, bijvoorbeeld een beveiligingsprobleem. Zoek een vervanger.
Moet ik automatische updates aanzetten voor alle plugins?
Dat hangt af van de site. Voor eenvoudige sites werkt het vaak goed; voor webshops en sites met maatwerk test je updates liever eerst op staging.
Hoort het melden van een datalek bij jullie werk?
De melding doet de verwerkingsverantwoordelijke, meestal je klant. Volgens de AVG moet een verwerker een datalek zonder onredelijke vertraging melden aan de verwerkingsverantwoordelijke.5 Als verwerker melden wij het dus aan jou, met de technische feiten.
Bronnen
- WordPress Developer Resources, Hardening WordPress (geraadpleegd 30-10-2026)
- WordPress Plugin Handbook, Alerts and warnings (geraadpleegd 30-10-2026)
- WordPress.org, Updating WordPress (geraadpleegd 30-10-2026)
- WordPress.org, Plugins and themes auto-updates (geraadpleegd 30-10-2026)
- Verordening (EU) 2016/679 (AVG), artikel 33, EUR-Lex (geraadpleegd 30-10-2026)