Versie controleren
In het dashboard van WordPress ziet u onder Updates welke versie er draait. Staat er 7.1.4 of hoger, dan is dit lek gedicht. Heeft u geen toegang, vraag het dan vandaag nog aan uw websitebouwer of hostingpartij.
Cybersecurity · 3 november 2026
WordPress dicht lek tijdens het bijwerken: controleer of uw site op 7.1.4 staat
WordPress heeft op 28 oktober versie 7.1.4 uitgebracht. Die dicht onder meer een lek waarmee een aanvaller zonder in te loggen code op de webserver kan uitvoeren. Volgens beveiligingsbedrijf Wordfence begonnen de eerste aanvallen kort na de update. WordPress is het meest gebruikte systeem voor websites van ondernemers, dus de kans is groot dat dit ook over uw site gaat.
28 oktoberWordPress brengt versie 7.1.4 uit
Geen inlog nodigDe aanvaller voert code uit op de webserver
14 uurZo lang probeerden aanvallers het bij sommige sites
Tot en met 4.7Ook oudere versies krijgen de oplossing
Kort
Log in op uw WordPress-site of vraag het uw websitebouwer: staat de site op versie 7.1.4 of nieuwer? Sites met automatische updates krijgen hem vanzelf, maar controleer het. Staat de site nog op een oudere hoofdversie, vraag dan of die ook is bijgewerkt en plan de overstap naar de nieuwste versie.
Wat er speelt
Een lek dat alleen open staat terwijl de site bijwerkt
Het lek is bijzonder: het zit niet in de website zelf, maar in het moment waarop WordPress zichzelf bijwerkt.
Hoe het werkt
Bij een volledige update pakt WordPress de nieuwe bestanden uit in een map die vanaf internet bereikbaar is en waarvan de naam te voorspellen is. Daar staat ook het installatieprogramma tussen. Roept een aanvaller dat precies op het goede moment aan, dan kan hij eigen code op de server laten draaien.
Wat de aanvallers doen
Wordfence zag de eerste aanvallen kort na het verschijnen van de update. Aanvallers riepen het installatieprogramma bij een aantal websites ruim 14 uur lang steeds opnieuw aan, in de hoop een keer raak te schieten tijdens een update. Het venster is klein, maar wie het lang genoeg probeert, kan geluk hebben.
Wat er nog meer is gedicht
Versie 7.1.4 lost ook een aantal lekken op waarmee iemand schadelijke code in pagina's kan zetten, een manier om de site te laten vastlopen en ongeoorloofde toegang tot nog niet gepubliceerde wijzigingen. Het is dus meer dan één fout.
Waarom het u raakt
Overgenomen websites worden gebruikt om bezoekers naar phishing te sturen, malware te verspreiden of klantgegevens uit formulieren te stelen. Google waarschuwt bezoekers dan voor uw site, en uw vindbaarheid zakt weg. Het herstel kost meestal meer dan het onderhoud.
Wat u nu doet
Vier stappen voor uw website
Plugins en thema bijwerken
De meeste WordPress-sites worden niet via WordPress zelf overgenomen, maar via een verouderde plugin of een thema. Werk die tegelijk bij en verwijder plugins die niemand meer gebruikt.
Back-up en bestanden nalopen
Zorg dat er een recente back-up is die buiten de webserver staat. Laat uw hostingpartij of bouwer nagaan of er de afgelopen dagen onbekende bestanden of beheerders zijn bijgekomen. Dan weet u zeker dat er niets is achtergebleven.
Onderhoud vastleggen
Spreek af wie updates installeert en hoe snel. King Kong Web bouwt websites met het onderhoud erbij, en bij SOSO Hosting draait uw site op servers die wij bijhouden. Met onze Security Check ziet u wat er van buitenaf zichtbaar is.
Vragen
Wat ondernemers ons hierover vragen
Mijn site werkt automatisch bij. Moet ik dan nog iets doen?
Controleer het één keer. Automatische updates staan niet op elke site aan, en soms mislukken ze stil, bijvoorbeeld door een plugin of door de rechten op de server. In het dashboard ziet u binnen een minuut welke versie er draait.
Hoe weet ik of mijn website op WordPress draait?
Vraag het uw websitebouwer. Vaak ziet u het ook aan het inlogadres: eindigt dat op /wp-admin, dan is het WordPress. Ongeveer vier op de tien websites wereldwijd draaien erop, waaronder veel sites van ondernemers.
Is mijn site al overgenomen als hij nog gewoon werkt?
Dat valt niet aan de voorkant te zien. Aanvallers houden een site juist werkend, zodat niemand iets merkt. Laat uw hostingpartij of bouwer de bestanden en beheerders nalopen als u twijfelt.
Ook deze week
Ander nieuws over websites
Node2Shell wordt nu actief misbruikt
Het lek in Node.js waarover wij op 25 oktober schreven, wordt inmiddels gebruikt bij aanvallen. Het Amerikaanse CISA en het Italiaanse CSIRT melden dat aanvallers bestanden uploaden om de server over te nemen. Lees in ons eerdere bericht wat u moet nagaan.
Ook Drupal waarschuwt voor misbruik
Drupal, een ander systeem voor websites, waarschuwt voor misbruik van een kritiek lek dat webshops financieel raakt. Draait uw site of webshop op Drupal, vraag uw bouwer dan of de laatste update erop staat.
Bronnen: Security.NL, 30 oktober 2026; WordPress, WordPress 7.1.4, 28 oktober 2026; Wordfence; Security.NL over Node2Shell, 28 oktober 2026, en Drupal, 30 oktober 2026. De uitleg en de maatregelen hierboven zijn van ons.
Weet u wie uw website bijhoudt?
Wij kijken met u mee: op welke versie uw site draait, welke plugins verouderd zijn en of er een back-up is. U krijgt een duidelijk overzicht, zonder verplichtingen.