WordPress draait bijna de helft van het web en is daarmee het meest aangevallen platform op internet. In 2025 veranderde het dreigingslandschap op een manier waardoor de meeste conventionele beveiligingsstrategieën tekortschoten: het aantal kwetsbaarheden steeg sterk, de tijd tot misbruik kromp tot enkele uren en malware werd beter in het overleven van opschoning.
Dit overzicht gebruikt beveiligingsdata uit 2025 om eigenaren van WordPress- en WooCommerce-sites de echte risico's voor hun sites te laten zien, en de praktische stappen die de gaten dichten.
Hoe erg werden WordPress-kwetsbaarheden in 2025?
11,334+42%
Nieuwe kwetsbaarheden
Gevonden in het WordPress-ecosysteem in 2025, meer dan het jaar ervoor.
4,124Actie nodig
Mitigatie vereist
Ernstig genoeg om actieve mitigatie te vereisen.
1,966Hoge ernst
Risico op massale exploits
Meer problemen met hoge ernst dan de twee voorgaande jaren samen.
Dat is geen geleidelijke trend. Het is een duidelijke versnelling in de aandacht van aanvallers voor WordPress.
Waar de kwetsbaarheden vandaan komen
Plugins91%
Van alle nieuw gemelde kwetsbaarheden.
Thema's9%
De rest van de nieuwe meldingen.
WordPress-core6 problemen
Allemaal met lage prioriteit. De core is het probleem niet — de lagen van derden erbovenop wel.
Zijn premium plugins echt veiliger?
Nee. Premium componenten zijn vaak de grotere blinde vlek. Een gericht onderzoek naar componenten van premium marktplaatsen, waaronder die via Envato worden verkocht, vond:
- Bijna 2.000 geldige meldingen voor premium of freemium componenten — 29% van alle meldingen.
- 76% van de kwetsbaarheden in premium componenten was in echte aanvallen te misbruiken.
- 3× meer bekende misbruikte kwetsbaarheden dan gratis componenten.
- 33 kritieke zero-days in premium componenten, tegenover 12 in gratis componenten.
Het is niet zo dat premium plugins slordiger worden gebouwd. Onderzoekers hebben beperkt toegang tot betaalde code, dus kijken er minder mensen naar. Minder controle betekent minder bewustzijn van risico, niet minder risico.
Hoeveel werden gepatcht vóór openbaarmaking?
Slechts 54%. De overige 46% werden openbaar gemaakt voordat de developer een fix uitbracht, waardoor aanvallers vaak de details in handen kregen voordat site-eigenaren iets konden installeren. Plugin-updates alleen kunnen uw beveiligingsstrategie niet zijn als bijna de helft van de openbaar gemaakte lekken nog geen patch heeft.
Hoe snel aanvallers na openbaarmaking toeslaan
Sneller dan de meeste updateschema's. Voor de meest aangevallen kwetsbaarheden was de gewogen mediane tijd van openbaarmaking tot actief misbruik vijf uur, en ongeveer de helft van de kwetsbaarheden met grote impact werd binnen 24 uur misbruikt — precies wanneer de meeste beheerders het nog niet weten of nog niet hebben gepatcht.
Wat het meest wordt misbruikt
Gebrekkige toegangscontrole stond in 2025 bovenaan de lijst. Het is lastig te verdedigen omdat de aanvallen eruitzien als normaal gedrag van ingelogde gebruikers, zonder duidelijke injectiestrings die een traditionele firewall kan onderscheppen. Andere veel misbruikte categorieën:
- Stored cross-site scripting zonder authenticatie
- Bestandsupload zonder authenticatie
- Omzeiling van autorisatie
- Privilege-escalatie
- PHP-objectinjectie
WooCommerce-plugins stonden in de top tien van aangevallen doelwitten, waaronder een privilege-escalatie uit 2023 in WooCommerce Payments die nog altijd wordt misbruikt op ongepatchte webwinkels.
Hoe goed houden standaard hostingverdedigingen stand?
Niet goed genoeg. Penetratietests bij verschillende hostingproviders toonden aan dat standaardopstellingen, inclusief interne WAF's en Cloudflare, slechts 26% van de WordPress-exploitpogingen blokkeerden — en slechts 12% bij bekende misbruikte kwetsbaarheden. Generieke WAF-regels gaan redelijk goed om met generieke aanvallen, maar missen de WordPress-specifieke categorieën achter het meeste echte misbruik.
Wat er gebeurt nadat een site is gecompromitteerd
Waarom malware nu moeilijker te verwijderen is
Aanvallers injecteren steeds vaker code in legitieme core-, plugin- of themabestanden in plaats van losse kwaadaardige bestanden te plaatsen. Omdat het basisbestand legitiem is, markeren scanners die op verwijderen zijn gebaseerd het inconsistent of missen ze het — en het verwijderen ervan breekt de site. Opschonen betekent nu het fragment chirurgisch verwijderen uit een verder geldig bestand.
Er is een seizoenspatroon
Kwaadaardige bestandsuploads verdrievoudigden bijna in november en december 2025. Q4 combineert piekverkeer met een dunne bezetting, waardoor aanvallers minder kans lopen snel te worden ontdekt. Webwinkels met feestdagenacties zitten in de risicovolste periode van het jaar, met de minste mensen beschikbaar om te reageren.
De meest actieve malwarefamilies in 2025
OntwijkingspatroonTik om te openen
Selectieve contentlevering
Campagnes zoals Japanse SEO-spam, jgalls en Parrot TDS tonen verschillende bezoekers verschillende content: spam aan crawlers van zoekmachines, phishing-redirects aan mensen en schone pagina's aan eigenaren en scanners. Parrot TDS herkent nu ook crawlers voor AI-training. Vaak komt u er pas achter wanneer klanten klagen of het organische verkeer instort.
Persistentie in het geheugen
Lock360 draait in het servergeheugen, niet in bestanden. Schoon index.php of .htaccess op en het proces schrijft de kwaadaardige code er direct weer in. De cyclus gaat door tot het geheugenproces wordt beëindigd — iets wat de meeste standaardscanners niet kunnen.
Uploader-infrastructuur
Uploader-scripts verdubbelden bijna in juni 2025 en bleven op een hoog niveau. Hiermee kunnen aanvallers naar believen nieuwe payloads plaatsen, zodat een site die van één infectie is opgeschoond opnieuw kan worden geïnfecteerd via een slapende uploader die is blijven staan.
Hoe het landschap eruitziet richting 2026
AI-ondersteunde ontwikkeling versnelt de productie van maatwerkplugins: bureaus genereren functionaliteit op aanvraag en combineren met AI gebouwde React-front-ends met een WordPress-backend. Daarmee reikt het aanvalsoppervlak verder dan core, plugins en thema's, tot maatwerkcomponenten, JavaScript-packages en PHP-afhankelijkheden die standaard WordPress-scanners niet kunnen beoordelen.
Dezelfde AI-tools waarmee sites sneller worden gebouwd, helpen aanvallers ook om zelfstandig zwakke plekken te vinden en te misbruiken.
En de Europese Cyber Resilience Act dwingt commerciële pluginleveranciers om formele programma's voor het melden van kwetsbaarheden op te zetten. De meeste hebben nog niet de middelen om grote aantallen meldingen te verwerken, waardoor de kloof tussen het vinden van een lek en het bestaan van een patch groter dreigt te worden.
Wat eigenaren van webwinkels nu moeten doen
Waar staat uw webwinkel?0 van 6 aanwezig
Vink aan wat uw winkel vandaag al op orde heeft.
Vraag een gratis audit aanConclusie over WordPress-beveiliging in 2026
De basis is niet veranderd: houd software actueel, beperk het aantal plugins en gebruik sterke inloggegevens. Wat wel is veranderd, is dat dit op zichzelf niet meer genoeg is.
Exploits volgen binnen enkele uren. Malware is gebouwd om standaard opschoning te overleven. Premium plugins dragen verborgen risico's. En AI-gegenereerde componenten blijven het aanvalsoppervlak vergroten.
Effectieve beveiliging in 2026 betekent geautomatiseerde mitigatie die in de eerste uren na openbaarmaking in werking treedt, detectie op serverniveau die geïnjecteerde en geheugenresidente bedreigingen vindt, en helder inzicht in elk onderdeel van de site. Behandel beveiliging als een continu proces, niet als een opruimactie nadat er iets is misgegaan.
