Op 17 juli 2026 is een van de grootste WordPress-beveiligingslekken van de afgelopen jaren openbaar gemaakt. De kwetsbaarheid, bekend als WP2Shell (CVE-2026-63030 en CVE-2026-60137), maakt het mogelijk om een WordPress-website volledig over te nemen zonder dat een aanvaller hoeft in te loggen.
Voor ondernemers met een WordPress-website is de boodschap duidelijk: controleer vandaag nog of jouw website is bijgewerkt.
Beveiligingsonderzoeker Adam Kues van Searchlight Cyber publiceerde een keten van twee kwetsbaarheden in de WordPress-kern. Door deze te combineren kan een aanvaller via één speciaal HTTP-verzoek volledige toegang krijgen tot een kwetsbare WordPress-website. Vervolgens kunnen malware worden geïnstalleerd, gegevens worden gestolen of kan de website volledig worden overgenomen.
Volgens de eerste onderzoeken is ongeveer 60% van de WordPress-installaties kwetsbaar. Securitybedrijven verwachten dat cybercriminelen de komende uren en dagen actief gaan zoeken naar websites die nog niet zijn bijgewerkt.
Ook het Nationaal Cyber Security Centrum (NCSC) waarschuwt voor snel misbruik van deze kwetsbaarheid. Wachten met updaten is daarom geen verstandig idee.
Controleer direct welke versie jouw website gebruikt.
| WordPress-versie | Kwetsbaar | Update naar |
| 6.9.0 t/m 6.9.4 | WP2Shell + SQL-injectie | 6.9.5 |
| 7.0.0 en 7.0.1 | WP2Shell + SQL-injectie | 7.0.2 |
| 6.8.0 t/m 6.8.5 | SQL-injectie | 6.8.6 |
| 7.1 beta | WP2Shell + SQL-injectie | 7.1 beta2 |
| Ouder dan 6.8 | Niet kwetsbaar voor dit lek, maar sterk verouderd | Upgrade aanbevolen |
Gebruik je een recente WordPress-versie? Dan is de kans groot dat jouw website binnen de kwetsbare groep valt.
Veel ondernemers weten niet dat hun website op WordPress is gebouwd.
Zie je onderaan de website bijvoorbeeld “Powered by WordPress” of gebruik je een website met Elementor, Divi of WooCommerce? Dan draait jouw website vrijwel zeker op WordPress en is het verstandig om direct te controleren of de beveiligingsupdate beschikbaar is.
Twijfel je? Neem dan vandaag nog contact op met je websitebouwer of hostingprovider.
Dan hoef je je over deze beveiligingsupdate geen zorgen te maken.
Websites die onder ons onderhoudscontract vallen, worden wekelijks gecontroleerd en bijgewerkt. Wij houden WordPress, plugins en thema’s actief bij en installeren beveiligingsupdates zodra deze beschikbaar zijn. Daarmee verkleinen we de kans dat jouw website kwetsbaar blijft voor nieuwe beveiligingslekken.
Hoewel geen enkele website volledig veilig kan worden gegarandeerd, is regelmatig onderhoud één van de belangrijkste maatregelen om cyberaanvallen te voorkomen.
Dan ben je zelf verantwoordelijk voor het uitvoeren van updates.
Neem daarom vandaag nog contact op met je webhostingprovider of websitebeheerder en vraag of jouw website direct wordt bijgewerkt naar de nieuwste beveiligingsversie.
Bij kritieke kwetsbaarheden zoals WP2Shell worden vaak al binnen enkele uren na publicatie de eerste geautomatiseerde aanvallen uitgevoerd. Wacht daarom niet af.
Wil je dit soort zorgen in de toekomst voorkomen? Met een onderhoudscontract van IT-ForYou zorgen wij ervoor dat jouw WordPress-website wekelijks wordt gecontroleerd, beveiligingsupdates worden uitgevoerd en de technische gezondheid van je website actief wordt bewaakt.
Wil je zelf controleren of jouw website up-to-date is?
Volg dan deze stappen:
Heb je een webshop of maatwerkwebsite? Maak dan eerst een back-up voordat je de update uitvoert.
Soms is een website afhankelijk van een verouderde plugin of een maatwerk-thema waardoor een directe update niet mogelijk is.
In dat geval adviseren beveiligingsonderzoekers tijdelijk een Web Application Firewall (WAF) in te zetten of de WordPress REST API tijdelijk te beperken. Dit zijn echter noodmaatregelen en geen permanente oplossing.
De enige echte oplossing blijft het installeren van de nieuwste WordPress-beveiligingsupdate.
Controleer regelmatig:
Twijfel je of jouw website is gehackt? Neem dan direct contact op met je websitebeheerder of hostingprovider voordat de schade groter wordt.
Opvallend is dat deze kwetsbaarheid werd ontdekt met behulp van OpenAI’s nieuwste AI-model. Volgens de onderzoeker duurde het ongeveer tien uur om vanuit de WordPress-broncode een werkende exploit te ontwikkelen.
Dat laat zien hoe snel kunstmatige intelligentie het ontdekken van beveiligingslekken versnelt. Waar vroeger maanden onderzoek nodig was, kunnen nieuwe kwetsbaarheden tegenwoordig veel sneller worden gevonden.
Voor ondernemers betekent dit dat regelmatig onderhoud en tijdig updaten belangrijker zijn dan ooit.
De publicatie van WP2Shell laat opnieuw zien hoe belangrijk het is om WordPress goed te onderhouden.
Heb je een onderhoudscontract bij IT-ForYou? Dan controleren wij jouw website wekelijks en voeren wij beveiligingsupdates uit zodra deze beschikbaar zijn.
Heb je geen onderhoudscontract? Neem dan vandaag nog contact op met je hostingprovider of websitebeheerder en laat controleren of jouw website is bijgewerkt naar de nieuwste beveiligingsversie.
Een beveiligingsupdate kost slechts enkele minuten. Het herstellen van een gehackte website kan dagen duren en veel geld kosten.
Voorkomen is nog altijd beter dan genezen.
