WordPress-onderhoud: risico's en kosten

Een WordPress-website die iemand bijhoudt, is een prima website. Het probleem is de andere soort: vijf of acht jaar geleden gebouwd door een freelancer of een webbureau dat intussen uit beeld is, nog altijd online en sindsdien niet meer aangeraakt. Aan de voorkant ziet alles er goed uit, maar de plugins, het thema en de PHP-versie eronder verouderen, en bekende beveiligingslekken daarin gaan niet vanzelf dicht. Herken je je website hierin, dan lees je hier wat er mis kan gaan, hoe je in een kwartier zelf nakijkt hoe je ervoor staat, en wat je vraagt voor je iemand betaalt om je website te onderhouden.

Het PHP-advies van 21 oktober 2026

Op 21 oktober 2026 publiceerde het PHP-project een beveiligingsadvies over twee kritieke kwetsbaarheden (CVE-2026-109618 en CVE-2026-109619) waarmee een aanvaller code op een server kan uitvoeren zonder in te loggen. PHP is de programmeertaal waarop WordPress draait. Dezelfde dag kwamen de gecorrigeerde versies uit: 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Een dag later volgde het Centrum voor Cybersecurity België (CCB) met een eigen waarschuwing (in het Engels). De titel: meteen patchen of de site offline halen.

Beide adviezen zeggen dat PHP 8.1 en ouder geen updates meer krijgen van het PHP-project. Sommige Linux-distributies en leveranciers van langdurige ondersteuning zetten de correcties wel terug in oudere versies. Draait je website op een oude PHP-versie bij een gedeelde hosting, dan is de vraag aan je hostingpartij heel concreet: is deze correctie op mijn server toegepast, ja of nee?

Op de meeste gedeelde hosting kun je PHP niet zelf bijwerken. Je kunt wel nagaan welke versie je hebt, en ervoor zorgen dat iemand de vraag stelt.

Wat veroudert als niemand bijwerkt

Plugins en thema's

De meeste beveiligingsproblemen zitten niet in WordPress zelf. Patchstack, een bedrijf dat meldingen van WordPress-kwetsbaarheden verzamelt, telde 11.334 nieuwe kwetsbaarheden in het WordPress-ecosysteem in 2025 (in het Engels): 91% in plugins, 9% in thema's en 6 problemen met lage prioriteit in WordPress zelf. Volgens hetzelfde rapport had 46% van die kwetsbaarheden nog geen correctie van de ontwikkelaar toen ze openbaar werden, en lag de gewogen mediaan tot de eerste aanval op 5 uur.

Ook WordPress zelf moet bijgewerkt worden. De beveiligingsgids van WordPress vraagt om altijd de nieuwste versie te gebruiken, omdat correcties voor bekende lekken openbaar zijn zodra ze uitkomen. Reken er niet op dat beveiligingscorrecties ook oudere versies bereiken. Op 22 oktober 2026 is 7.1.3 de actuele versie.

PHP-versies

Elke PHP-versie heeft een vaste einddatum, gepubliceerd op php.net en in de tabel met afgelopen versies:

Op 22 oktober 2026 toonden de statistieken van WordPress.org dat ongeveer 36% van de WordPress-sites op PHP 8.1 of ouder draait, en ongeveer één op zes alleen al op 7.4. WordPress raadt PHP 8.3 of nieuwer aan.

Hier lopen oude websites vaak vast. Zet een hostingpartij haar klanten over naar een PHP-versie die nog ondersteund wordt, dan werkt een plugin die in 2019 voor het laatst is bijgewerkt soms niet meer, en krijgen bezoekers een foutmelding in plaats van je homepage. Niemand heeft iets aangevallen. De website was gewoon te oud voor de server waarop hij draaide.

Hoe een gehackte website eruitziet

Niemand hoeft jouw website bewust uit te kiezen. Een kwetsbare pluginversie is automatisch op te sporen, en een website die erop matcht, kan worden misbruikt: spampagina's onder jouw domeinnaam, bezoekers die naar oplichterssites worden doorgestuurd, een script in je contactformulier. De eigenaar merkt het vaak als laatste, want de homepage ziet er nog hetzelfde uit.

Google merkt het soms eerder. In de zoekresultaten kan bij je website "Deze site is mogelijk gehackt" staan, en browsers die Google Safe Browsing gebruiken, kunnen bezoekers waarschuwen voor ze de pagina openen. Je kunt je domein opzoeken in de Safe Browsing-sitestatus van Google. Is de website opgekuist, dan vraag je een nieuwe beoordeling aan via het rapport Beveiligingsproblemen in Search Console.

Wanneer het een datalek wordt

In een WordPress-database zitten vaak persoonsgegevens: berichten uit het contactformulier die een formulierplugin bewaart, inschrijvingen op de nieuwsbrief, klantaccounts, reacties. Had een aanvaller toegang tot het beheerpaneel of de database, dan moet je een mogelijk datalek beoordelen. Volgens artikel 33 van de AVG (GDPR) meld je het zonder onredelijke vertraging en indien mogelijk binnen 72 uur nadat je ervan op de hoogte bent aan de toezichthouder, tenzij het lek waarschijnlijk geen risico inhoudt voor de betrokkenen. Artikel 34 voegt toe dat je de betrokkenen zelf inlicht als het risico voor hen hoog is. Artikel 33, lid 5 verplicht je elk datalek te documenteren, ook de lekken die je niet meldt.

In België meld je een datalek via het portaal van de Gegevensbeschermingsautoriteit (GBA). Meldingen per e-mail worden volgens de GBA niet behandeld. Een cyberincident kun je daarnaast melden bij het CCB via het meldingsformulier.

Zelf checken in 15 minuten

Je hebt de beheerderslogin van WordPress nodig. Heeft niemand die, dan is dat je eerste vaststelling.

• WordPress- en PHP-versie: ga naar Tools › Sitediagnose › Info. Het onderdeel WordPress toont de versie, het onderdeel Server toont PHP (uitleg over dit scherm, in het Engels). Vergelijk PHP met de tabel hierboven.
• Status van de sitediagnose: het tabblad Status toont kritieke problemen, zoals een verouderde PHP-versie of plugins die op een update wachten.
• Plugins: noteer welke plugins op een update wachten en zoek ze op wordpress.org op. "Laatst bijgewerkt" langer dan een jaar geleden is een waarschuwing, een melding dat de plugin niet getest is met recente WordPress-versies ook, en een pagina die zegt dat de plugin gesloten is, is de duidelijkste. WordPress.org sluit plugins onder meer om veiligheidsredenen.
• Inactieve plugins en thema's: verwijder wat je niet gebruikt. Ook inactieve code op de server is bereikbaar.
• Beheerdersaccounts: filter bij Gebruikers op Beheerder. Elke naam moet iemand zijn die vandaag voor je werkt. Een vroegere freelancer met beheerdersrechten is een open deur.
• Back-ups die je kunt terugzetten: vraag waar de back-up staat, hoe oud hij is en wanneer iemand hem voor het laatst heeft teruggezet om te zien of hij werkt. Een back-up op dezelfde server als de website gaat samen met de website verloren.
• Hosting en domeinnaam: wie heeft de login van de hosting, en op wiens naam staat de domeinnaam? Voor een .be-domein toont de WHOIS van DNS Belgium de houder.

Wat in een onderhoudscontract hoort

Plugins bijwerken is het zichtbare deel. Omdat bijna de helft van de bekendgemaakte kwetsbaarheden op dat moment nog geen correctie had, laat een contract dat één keer per maand op "alles bijwerken" klikt gaten open. Vraag deze punten schriftelijk:

• Hoe vaak WordPress, plugins en thema's worden bijgewerkt, en of updates getest worden voor ze op de live website komen.
• Wie de PHP-versie opvolgt en de overstap plant voor de einddatum.
• Waar de back-ups staan (niet alleen op dezelfde server), hoelang ze bewaard worden en hoe vaak het terugzetten getest wordt.
• Monitoring van de beschikbaarheid, en hoe snel iemand reageert als de website plat ligt.
• Wat er gebeurt als de website gehackt wordt: zit het opkuisen erin, of wordt het apart aangerekend, en tegen welk tarief?
• Of aanpassingen aan de inhoud erin zitten, en hoeveel uur.
• Op wiens naam de hosting, de domeinnaam en de beheerderslogins staan. Op die van jou, met de onderhoudspartij als gebruiker die je kunt verwijderen.
• De minimale looptijd en de opzegtermijn.

Onderhouden, overzetten of opnieuw bouwen

Doet de website nog wat hij moet doen en vind je bij de check een recent thema en plugins die nog onderhouden worden, dan is onderhoud de logische keuze.

Zijn de plugins verlaten, is het thema een commercieel thema dat niet meer wordt bijgewerkt, of breekt alles bij de PHP-upgrade, dan betaal je iemand om een website in leven te houden die je toch zult moeten vervangen. Dan kies je tussen de inhoud overzetten naar een nieuwe installatie met plugins die nog onderhouden worden, of een nieuwe website laten bouwen.

Betrouwbare gemiddelde cijfers voor de kosten van website-onderhoud in België zijn er niet, dus we noemen er geen. Vergelijk offertes op de lijst hierboven, niet alleen op het maandbedrag. Meer over wat een website elk jaar kost, lees je in Wat kost een website in België. Twijfel je tussen een nieuwe website en een AI-websitebouwer, dan helpt een website laten maken met AI.

Wat we zelf aanbieden

WordPress-sites onderhouden of patchen doen we niet, ook niet voor sites die we zelf zouden hebben gebouwd. Zegt de zelfcheck dat je site aan vervanging toe is, dan heb je bij ons twee wegen naar een nieuwe, afhankelijk van hoe je liever betaalt en wat de site moet kunnen.

Een lokale zaak die er geen omkijken meer naar wil hebben. Een winkel, kapsalon, praktijk of restaurant heeft een site nodig die klanten in hun eigen taal kunnen lezen, en een Google-profiel dat klopt. Daarvoor is Navidu, een dienst van Invoid Vision: we bouwen een nieuwe meertalige site en houden die draaiende voor één maandbedrag, samen met je Google-bedrijfsprofiel en de antwoorden op je reviews. Er is geen WordPress meer dat jij moet bijwerken, en je ziet eerst gratis een preview van je nieuwe site voor je iets betaalt.

Een site die meer moet kunnen, of die je liever in één keer betaalt. Dan bouwen we een nieuwe site als eenmalig project in een van onze websitepakketten: Starter voor € 1.400, Business voor € 3.200 of Business+ voor € 6.000, exclusief btw. Bij Business en Business+ kiezen we het CMS samen met jou. Het overzetten van een bestaand blogarchief zit niet in Business, en datamigratie wordt per project apart geoffreerd. De afgesproken omvang en wat er niet in zit, staan op de prijzenpagina en de pagina website laten maken.

Na de livegang houdt Care de nieuwe site bij. Care kost € 69 per maand: hosting in de EU, SSL, back-ups, updates, monitoring van de beschikbaarheid, een uur aanpassingen aan de inhoud per maand en een antwoord binnen één werkdag. Care+ kost € 199 per maand en voegt daar een maandelijkse ronde inhoud en SEO, een analyse van je statistieken, kleine aanpassingen aan functies en voorrang bij vragen aan toe. Beide lopen minimaal 12 maanden. Prijzen zijn exclusief btw.