WordPress beveiligen, of herstellen na een hack

Bijna elke WordPress-hack begint bij een plugin die niet is bijgewerkt. Hier lees je wat je doet als je site al gehackt is, hoe je hem beter beveiligt, en wanneer overstappen verstandiger is.

Mijn site is gehackt Naar de checklist
Illustratie van een klein winkelpand vol vastgeschroefde kastjes en kabels, als beeld voor een WordPress-site met te veel plugins

Waar het misgaat

Patchstack, dat lekken in WordPress bijhoudt, telde in 2025 11.334 nieuwe kwetsbaarheden: 42% meer dan het jaar ervoor. WordPress zelf is daarbij zelden het probleem. Het zit in wat je eromheen installeert.

91%
van de nieuwe lekken zat in een plugin
46%
had nog geen fix toen het lek openbaar werd
5 uur
tot het eerste misbruik, voor de zwaarst aangevallen lekken (mediaan)

Bron: Patchstack, State of WordPress Security in 2026

Daar komt PHP zelf bij. In oktober 2026 werden twee kritieke lekken in PHP bekend die elke WordPress-site raken, welke plugins je ook gebruikt. De patch kwam op 21 oktober: vraag je hoster of je site al op PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35 draait. Check je PHP-versie.

Is je site gehackt? Begin hier

  1. Haal de site offline. Vraag je hoster om dat te doen. Een onderhoudsplugin is niet genoeg: de besmette code draait dan nog gewoon.
  2. Verander alle wachtwoorden, vanaf een computer die je vertrouwt: WordPress-beheerders, je hostingaccount, (S)FTP en de database.
  3. Zoek uit wat er is veranderd. Onbekende gebruikers met beheerdersrechten, nieuwe PHP-bestanden in wp-content/uploads, plugins die je niet kent. Vraag je hoster om de toegangslogs.
  4. Zet een schone back-up terug, of laat de site opschonen. Weet je niet sinds wanneer de site besmet is, ga dan niet uit van de laatste back-up.
  5. Werk daarna alles bij en verwijder wat je niet gebruikt: WordPress, thema’s, plugins en de PHP-versie.
  6. Kijk in Google Search Console onder Beveiligingsproblemen. Markeert Google je site, vraag dan na het opschonen een herbeoordeling aan.

Kunnen persoonsgegevens zijn ingezien, zoals klantgegevens of formulierinzendingen? Dan moet je het datalek in de meeste gevallen binnen 72 uur melden bij de Autoriteit Persoonsgegevens.

WordPress beter beveiligen

De maatregelen die het meeste verschil maken, op volgorde:

  • Zet automatische updates aan voor plugins die je vertrouwt, en werk de rest elke week bij.
  • Verwijder plugins en thema’s die je niet gebruikt. Ook een uitgeschakelde plugin staat nog op de server en kan lek zijn.
  • Draai PHP 8.3 of hoger. PHP 8.2 krijgt na 2026 geen beveiligingsupdates meer.
  • Gebruik tweestapsverificatie voor elk account met beheerdersrechten, en geef die rechten alleen aan wie ze nodig heeft.
  • Maak dagelijks een back-up die buiten de server wordt bewaard, en test af en toe of terugzetten werkt.
  • Zet een firewall voor je site, bijvoorbeeld via je hoster of Cloudflare.
  • Zet het bewerken van bestanden in het dashboard uit met define('DISALLOW_FILE_EDIT', true); in wp-config.php.

Dit is doorlopend werk. Wie het uitbesteedt, betaalt een maandbedrag voor WordPress-onderhoud. Ook dan blijft er een risico in de uren tussen het moment dat een lek bekend wordt en de update.

Of haal het risico weg

De meeste ondernemers gebruiken van WordPress alleen de pagina’s: wie ze zijn, wat ze doen en hoe je ze bereikt. Daar zijn geen database, plugins of PHP voor nodig. Wij bouwen zulke sites als statische pagina’s. Er draait dan niets op de server dat een aanvaller kan misbruiken, dus deze hele categorie aanvallen valt weg.

Je teksten, foto’s en posities in Google gaan mee: elk oud adres sturen we door naar de juiste nieuwe pagina. Je ziet eerst een proefversie en betaalt pas als je verder wil.

Vanaf €399 eenmalig daarna vanaf €39 per maand, excl. btw

Voor €39 per maand regelen wij hosting, back-ups en beveiliging, en heb je elke maand een uur voor aanpassingen. Bekijk alle prijzen en hoe de overstap werkt.

Vragen

Hoe weet ik of mijn WordPress-site gehackt is?

Veelvoorkomende signalen: Google toont "Deze site is mogelijk gehackt" bij je resultaten, er staan pagina’s in Google die je niet kent (zoek op site:jouwdomein.nl), bezoekers vanuit Google worden doorgestuurd naar een andere site, je hoster blokkeert je account, of er staan beheerders in WordPress die je niet hebt aangemaakt.

Is een beveiligingsplugin genoeg?

Een plugin als een firewall of malwarescanner helpt, maar is zelf ook een plugin die bijgewerkt moet worden. Tegen lekken in PHP of op de server beschermt hij niet, omdat die al misbruikt worden voordat WordPress draait.

Wat kost WordPress-onderhoud?

Dat verschilt sterk per aanbieder en hangt af van het aantal plugins en hoe snel updates worden doorgevoerd. Vraag altijd wat er gebeurt als een update iets breekt, en of herstel na een hack in de prijs zit.

Kan ik WordPress houden en alleen beter beveiligen?

Ja. Met de maatregelen op deze pagina en iemand die updates bijhoudt, is WordPress goed te beveiligen. Overstappen loont vooral als je de mogelijkheden van WordPress nauwelijks gebruikt en het onderhoud je vooral tijd en zorgen kost.

Actuele lekken in PHP, CMS’en en hosting volgen we in de Security Watchdog.

Twijfel je over je site?

Stuur ons het adres. We laten je weten waar de risico’s zitten en wat een overstap zou inhouden.

App ons je site