PHP-lekken en verouderde plugins: waarom zoveel websites gehackt worden

In het kort: de meeste lekken in WordPress-websites zitten niet in WordPress zelf, maar in plugins en thema’s. Daarnaast draait ruim een derde van de PHP-websites op een versie die geen beveiligingsupdates meer krijgt. Houd alles bij, gebruik zo weinig mogelijk plugins, of kies een opbouw waarbij de publieke website geen PHP meer draait.

Wat is PHP, en waarom is het overal?

PHP is een programmeertaal die op de server draait. Ze bouwt de pagina op voor die naar je bezoeker gaat. Volgens W3Techs gebruikt 69,1% van de websites waarvan de servertaal bekend is PHP (cijfer van 4 november 2026).

Dat komt vooral door WordPress, dat in PHP geschreven is. WordPress draait op 39,5% van alle websites en heeft 58,2% van de markt van websites met een bekend CMS, ook volgens W3Techs.

PHP zelf is niet onveilig. Het probleem zit in twee dingen: verouderde versies van PHP, en de code die er bovenop draait.

Een lek zit meestal in een plugin

Het beveiligingsbedrijf Patchstack houdt bij welke lekken er in het WordPress-ecosysteem gevonden worden. Hun rapport over 2025 is duidelijk:

Waarom plugins? Een WordPress-website is vaak een verzameling van tien, twintig of meer uitbreidingen, elk van een andere ontwikkelaar. Sommige worden goed onderhouden, andere niet meer. Elke plugin is code die op jouw server draait en die een fout kan bevatten.

Twee cijfers springen eruit. Bijna de helft van de lekken had nog geen oplossing op het moment dat ze bekend werden. Bijwerken helpt dan niet: je moet de plugin uitschakelen of het lek op een andere manier afschermen. En volgens Patchstack worden de zwaarst misbruikte lekken binnen een mediaan van vijf uur grootschalig aangevallen.

Waarom jouw kleine website ook een doelwit is

“Wie zou mijn website nu willen hacken?” Niemand in het bijzonder, en dat is net het punt. Automatische scripts doorzoeken het internet naar websites met een bekend lek. Jouw website hoeft niet interessant te zijn, alleen kwetsbaar.

Wat aanvallers met een overgenomen website doen:

• Spamlinks of spampagina’s plaatsen, om andere websites hoger in Google te krijgen.
• Bezoekers doorsturen naar oplichterssites of schadelijke downloads.
• Phishingpagina’s verstoppen, bijvoorbeeld een nagemaakte bankpagina.
• Mail versturen via je server, waardoor jouw domeinnaam als spam gezien wordt.
• Gegevens stelen uit formulieren of klantaccounts.

De gevolgen gaan verder dan een vervelende opkuis. Google kan bezoekers waarschuwen voor ze je website openen. En je hostingbedrijf kan je account tijdelijk afsluiten.

Verouderde PHP: het stille risico

Elke PHP-versie krijgt een paar jaar updates. Daarna stopt de ondersteuning en worden nieuwe lekken niet meer gedicht. De officiële lijst van ondersteunde versies ziet er vandaag zo uit:

Volgens W3Techs draait 26,2% van de PHP-websites nog op versie 7 en 7,6% op versie 5. Samen is dat ruim een derde, op versies die al jaren geen beveiligingsupdates meer krijgen. En draait je website op PHP 8.2, dan stopt de ondersteuning eind dit jaar.

Hoe komt dat? Vaak werkt een oud thema of een oude plugin niet op een nieuwere PHP-versie. De website blijft dan op de oude versie staan, omdat bijwerken iets zou breken. Zo stapelt het risico zich ongemerkt op.

Zelf nakijken? Veel hostingbedrijven tonen de PHP-versie in hun controlepaneel. In WordPress vind je ze onder Extra › Sitediagnose › Info › Server.

Zo houd je een PHP-website veilig

Een WordPress-website kan perfect veilig zijn, als iemand er consequent voor zorgt. Dit zijn de belangrijkste afspraken:

1. Werk alles bij. WordPress zelf, het thema en elke plugin. Kleine beveiligingsupdates kunnen automatisch; grotere updates test je eerst.
2. Gebruik zo weinig mogelijk plugins. Elke plugin die je verwijdert, is een mogelijk lek minder. Een uitgeschakelde plugin verwijder je beter helemaal.
3. Kies plugins die onderhouden worden. Kijk wanneer de laatste update was en hoeveel websites ze gebruiken. Een plugin die al lang niet meer bijgewerkt is, vervang je best.
4. Draai een ondersteunde PHP-versie. Vraag je hostingbedrijf of webbouwer welke versie je website gebruikt.
5. Maak back-ups buiten je server. Dagelijks, een tijd bewaard, en af en toe getest. Een back-up die niet terug te zetten is, helpt je niet.
6. Beveilig de toegang. Sterke, unieke wachtwoorden, tweestapsverificatie en alleen beheerdersaccounts voor wie ze echt nodig heeft.
7. Zet een firewall voor je website. Een webapplicatiefirewall, bijvoorbeeld bij je hosting of via een dienst als Cloudflare, houdt bekende aanvalspatronen tegen. Ook voor lekken waarvoor nog geen update bestaat.

Belangrijk is vooral dat duidelijk is wie dit doet. Veel gehackte websites hadden geen slechte bouwer, maar niemand die na de oplevering nog naar de updates keek.

Of: haal PHP weg van de publieke kant

Er is ook een andere aanpak. Bij een statische website of een headless CMS draait de website die je bezoekers zien geen PHP en heeft ze geen database. Er is dus geen plugin om te misbruiken en geen loginpagina om op te proberen.

Het beheer verdwijnt daarmee niet, maar het verhuist. Bij een headless CMS beheer je je inhoud in een aparte omgeving, die de bezoekers nooit zien. Is dat een online dienst, dan zorgt de aanbieder voor de updates van die omgeving. Hoe dat werkt, lees je in Waarom een statische website sneller en veiliger is.

Hoe ik daarmee omga

Ik kies wat de klant nodig heeft, en het CMS is een vrije keuze. Werk je graag met WordPress, dan bouwen we daarmee, en spreken we vooraf af wie de updates, back-ups en beveiliging opvolgt. Steeds vaker kies ik samen met klanten voor een headless CMS. Dan blijft het beheer vertrouwd, terwijl de website zelf statisch en dus moeilijker aan te vallen is.

Denk je dat je website gehackt is?

Signalen zijn onder meer: onbekende pagina’s in Google, bezoekers die doorgestuurd worden, een waarschuwing in je browser, een onbekend beheerdersaccount of een melding van je hostingbedrijf. Doe dan dit:

• Verander meteen de wachtwoorden van je website, hosting en e-mail.
• Laat je hostingbedrijf of webbouwer weten wat je ziet.
• Kijk in Google Search Console naar het rapport over beveiligingsproblemen.
• Zet een schone back-up terug van vóór het probleem, en werk daarna alles bij.
• Zoek uit hoe de aanvaller binnenkwam, anders gebeurt het opnieuw.