Waarom WordPress- en pluginupdates geen vinkje zijn, maar noodzaak

Meer dan de helft van alle WordPress-websites (52,8%) draait met minstens één plugin die een bekende, patchbare kwetsbaarheid bevat. Het probleem zit vrijwel nooit in WordPress zelf, maar in de plugins eromheen.

Hoe groot is het verschil tussen core en plugins?

In 2025 werden 11.334 nieuwe kwetsbaarheden gevonden in het WordPress-ecosysteem — 91% daarvan in plugins, tegenover slechts zes gerapporteerde kwetsbaarheden in WordPress-core zelf. Het aantal gemelde pluginkwetsbaarheden steeg in het eerste kwartaal van 2026 met 50% ten opzichte van hetzelfde kwartaal een jaar eerder.

Is dit een theoretisch risico?

Nee. Op 17 juli 2026 bracht het WordPress-beveiligingsteam nog een spoedupdate uit voor een ernstige kwetsbaarheidsketen (bekend als "wp2shell"), waarbij een aanvaller zónder inloggegevens op afstand kwaadaardige code kon uitvoeren via een specifiek HTTP-verzoek. Zulke updates negeren is geen kleine nalatigheid, maar een directe opening voor misbruik.

Wat maakt het risico groter dan mensen denken?

Circa 35% van de plugins in de officiële WordPress.org-repository is al 12 maanden of langer niet bijgewerkt. Daarnaast kregen aanvallers in april 2026 push-toegang tot 25+ plugins via onder andere gecompromitteerde ontwikkelaarsaccounts en de verkoop van plugins aan kwaadwillende partijen — een plugin kan dus ook via de officiële weg alsnog risicovol worden, zonder dat jij iets fout deed.

Kort samengevat

• 91% van de nieuwe WordPress-kwetsbaarheden zit in plugins, niet in WordPress-core.
• Meer dan de helft van alle WordPress-sites draait met een bekende, patchbare kwetsbaarheid.
• Zelfs officiële plugins kunnen achteraf gecompromitteerd raken — actueel houden en monitoren blijft nodig.

Updates, monitoring en back-ups neem ik standaard mee bij WordPress hosting en beheer.

Bronnen: TechTide Solutions — WordPress Security Statistics 2026, NCSC — Ernstige kwetsbaarheden in WordPress Core: installeer updates