Waarom jouw WordPress-site of WooCommerce-shop op dit moment gevaar loopt (en wat je er vandaag aan doet)

Je site moet gewoon werken. Precies dát is het probleem.

Je hebt een webshop of website gebouwd om klanten te bedienen, leads binnen te halen of gewoon zichtbaar te zijn. Beveiliging stond ergens op de lijst — ooit, “als er tijd voor is”. Herkenbaar. Bijna elke ondernemer die ik in twintig jaar heb gesproken, zei hetzelfde: “Hij draait toch gewoon?”

Dat is precies waarom ik dit stuk schrijf. Ik beveilig al twintig jaar IT-omgevingen van MKB-bedrijven, ZZP’ers, WordPress-websites en WooCommerce-webshops, en ik zie een patroon dat zich dit jaar in een moordend tempo herhaalt: sites die “gewoon werken”, tot ze dat plotseling niet meer doen — omdat een aanvaller al wéken binnen was voordat iemand het merkte.

Wat hieronder volgt is geen doemscenario om je bang te maken. Het is een feitelijke, actuele stand van zaken op basis van onderzoek van deze zomer. En het is precies waarom “hopen op het beste” geen strategie meer is.

De kern van de zaak: vier dreigingen die elkaar versterken

1. Achterstallig onderhoud is de norm, niet de uitzondering

Beveiligingsonderzoekers van Censys brachten het recent haarscherp in kaart: maar liefst 86% van alle zichtbare WordPress-sites draait verouderde software. Slechts 14% gebruikt de nieuwste WordPress-versie. Nog zorgwekkender is de onderliggende techniek: ruim 70% van de sites draait op een verouderde PHP-versie, en meer dan één op de vijf sites gebruikt zelfs nog PHP 7.4 — een versie die al sinds eind 2022 geen beveiligingsupdates meer krijgt. Sommige sites draaien zelfs nog op PHP 5.6 waarvan de ondersteuning gestopt is in 2018.

Onderzoekers noemen dit inmiddels ronduit “beveiligingssuïcide”. En hackers weten het: automatische scanners struinen het internet af op zoek naar precies dit soort verouderde installaties. Alleen al in juni 2026 werden bijna 900 WordPress-sites zichtbaar gedefaced door één enkele aanvaller. Tegelijkertijd scannen tientallen andere partijen actief op verouderde inlogpunten om via brute-force toegang te krijgen.

2. Ook je vertrouwde plug-ins kunnen tegen je werken

Je installeert een plug-in van een bekende ontwikkelaar en denkt: dat zit wel goed. Niet altijd. Begin 2026 kwam aan het licht dat een onbekende partij meer dan dertig populaire WordPress-plug-ins had opgekocht — voor bedragen in de zes cijfers — en er vervolgens kwaadaardige code in injecteerde. Die code was zo ontworpen dat hij onzichtbaar bleef voor gewone bezoekers en beheerders, en alléén zichtbaar werd voor Google’s crawler, om spamlinks en nepdoorverwijzingen te plaatsen. Om opsporing nog lastiger te maken, liep de infrastructuur via een Ethereum smart contract, waardoor traditionele domeinblokkades machteloos stonden.

Een vergelijkbaar scenario speelde midden 2026 bij drie veelgebruikte marketing-plug-ins (PushEngage, OptinMonster en TrustPulse, samen actief op meer dan 1,2 miljoen sites): aanvallers manipuleerden de JavaScript-bestanden die deze plug-ins via hun CDN uitleverden. Zodra een ingelogde beheerder de pagina opende, werd in stilte een nieuw beheerdersaccount aangemaakt én een verborgen plug-in geïnstalleerd die niet in het dashboard te zien is — een permanente achterdeur. Precies dát maakt dit type aanval zo gevaarlijk: je WordPress-dashboard laat niets vreemds zien, terwijl een aanvaller al binnen is.

3. Social engineering via je eigen website: de ClickFix-truc

Beveiligingsbedrijf Rapid7 ontdekte een wereldwijde campagne waarbij meer dan 250 gehackte WordPress-sites in twaalf landen — waaronder nieuwswebsites en zelfs de campagnesite van een Amerikaanse Senaatskandidaat — werden ingezet om bezoekers te infecteren. Bezoekers krijgen een nepverificatie te zien die eruitziet als een gewone Cloudflare-CAPTCHA. In plaats van een simpel vinkje, instrueert deze ‘ClickFix’-truc bezoekers om zelf een commando te kopiëren en uit te voeren op hun eigen computer. Dat commando start in werkelijkheid de installatie van infostealer-malware, die vervolgens wachtwoorden, browsercookies en cryptowallet-gegevens buitmaakt. Je site wordt zo, buiten je medeweten om, wapen tegen je eigen bezoekers.

4. Grootschalige, geautomatiseerde hackingcampagnes op industriële schaal

Dat dit geen incidenten zijn maar een patroon, bleek deze zomer nog eens haarscherp. De Australische cybersecuritydienst ACSC waarschuwde voor een wereldwijde exploitatiegolf gericht op WordPress, Joomla en andere CMS-platformen, waarbij aanvallers kwetsbaarheden in software en plug-ins gebruiken om zogeheten webshells te plaatsen — kleine scripts waarmee een aanvaller op afstand volledige controle over de server krijgt.

Hoe professioneel dit soort operaties inmiddels is opgezet, werd zichtbaar toen onderzoekers per toeval een server van een hackersgroep aantroffen die drie weken lang open en onbeveiligd op het internet stond. Op die server: een doellijst met 1,4 miljoen websites, aanvalslogboeken en bevestiging van tienduizenden daadwerkelijk gecompromitteerde sites. De grootste veroorzaker was een kwetsbaarheid in een populaire cache-plug-in, waarmee alleen al meer dan 17.000 sites werden gebackdoord. Dit is geen kwestie van geavanceerde zero-days — bekende, gepubliceerde kwetsbaarheden en simpele geautomatiseerde scanners bleken ruim voldoende.

En de kwetsbaarheden blijven komen. Deze zomer werd een pre-auth XSS-lek onthuld dat élke WordPress-versie raakt en, in combinatie met social engineering, kan uitmonden in volledige serverovername. Bij de populaire formulieren-plug-in Forminator — actief op meer dan 600.000 sites — ontdekten onderzoekers een kritiek lek (CVSS-score 9,8 van de 10) waarmee een aanvaller, zónder in te loggen, een kwaadaardig PHP-bestand kan uploaden en zo de volledige site kan overnemen.

Waarom actie nu vereist is

Standaard beveiligingsplug-ins, een sterk wachtwoord en “het zal wel goed komen” waren tien jaar geleden misschien voldoende. Vandaag niet meer. Aanvallers werken geautomatiseerd, schaalbaar en steeds vaker doelgericht — ze kopen plug-ins op, manipuleren vertrouwde CDN’s en scannen het hele internet binnen enkele uren nadat een kwetsbaarheid bekend wordt.

Wat er op het spel staat:

• Reputatieschade — een gedefacete site of een klant die malware oploopt via jouw shop, vergeet niemand.
• Dataverlies — klantgegevens, bestelgeschiedenis en betaalinformatie zijn goud waard voor criminelen.
• AVG-boetes en aansprakelijkheid — een datalek bij een webshop is meldingsplichtig en kan flinke boetes opleveren.
• Omzetverlies door uitval — elke minuut dat je WooCommerce-shop plat ligt, is direct verlies van omzet én vertrouwen.

Wat je vandaag kunt doen

Je hoeft dit niet alleen uit te zoeken. Als beveiligingsspecialist met twintig jaar ervaring in het beschermen van MKB-bedrijven, ZZP’ers, WordPress-websites en WooCommerce-webshops, bied ik een grondige beveiligingscheck / audit aan voor jouw WordPress-website of webshop. Daarin breng ik in kaart:

• Welke kern-, thema- en plug-in-versies verouderd of kwetsbaar zijn;
• Of er al sporen zijn van ongeautoriseerde toegang, verborgen accounts of backdoors;
• Of jouw hosting-, PHP- en serverconfiguratie aanvallers onnodig kansen biedt;
• Concrete, prioriteitsgestuurde vervolgstappen om je site weer écht veilig te maken — en te houden.

Wacht niet tot je site het slachtoffer wordt van de volgende geautomatiseerde scan. Neem vandaag nog contact op voor een vrijblijvend gesprek over een beveiligingscheck van jouw WordPress-site of WooCommerce-webshop. Beter een uur geïnvesteerd in controle, dan weken bezig met de opruiming achteraf.

Bronnen

1. Over 80% of WordPress sites are out of date, and hackers are noticing. Cybernews. cybernews.com
2. WordPress plugins taken offline after a developer found 30 injected with malicious code. Cybernews. cybernews.com
3. Hackers hijack WordPress sites and deploy CAPTCHA ClickFix in global infostealer campaign. Cybernews. cybernews.com
4. Global attack targets WordPress and Joomla websites. Cybernews. cybernews.com
5. Exposed Hacker Server Reveals WP-SHELLSTORM Backdooring Thousands of WordPress Sites. The Hacker News. thehackernews.com
6. New WordPress Pre-Auth XSS Could Lead to PHP Code Execution – Patch ASAP. The Hacker News. thehackernews.com
7. Forminator WordPress Flaw Can Enable Unauthenticated RCE via Malicious PHP Uploads. The Hacker News. thehackernews.com
8. Popular WordPress Plugin Scripts Tampered to Plant Hidden Backdoors on Sites. The Hacker News. thehackernews.com