Liever sparren over jouw situatie?
In een gratis adviesgesprek kijken we samen wat voor jou het slimst is, zonder verplichtingen.
Op 21 oktober 2026 werden twee kritieke lekken bekend in PHP, de software waar WordPress en de meeste websites op draaien. De websites van de Tweede Kamer en MijnOverheid gingen uit voorzorg offline. Dezelfde dag kwam er een update, maar niet voor iedereen.
In de dagen daarna hebben we de websites van 1.280 Nederlandse mkb-bedrijven nagekeken. Bijna een op de drie (30,5 procent) draait verouderde software. De Telegraaf, Het Parool, De Ondernemer en vakbladen als Advocatie en Automotive Online schreven erover.
Welke versies geen update krijgen
Op 21 oktober kwamen er nieuwe versies van PHP 8.2, 8.3, 8.4 en 8.5. Voor 8.1 en ouder kwam er geen nieuwe versie: PHP zegt zelf dat die versies geen updates meer krijgen. Veel hosters hebben deze keer zelf een noodpatch ingebouwd. Maar bij het volgende lek is het afwachten of dat weer gebeurt.
Ruim een op de drie WordPress-sites draait op PHP 8.1 of ouder (WordPress.org). In Nederland gaat het om honderdduizenden websites. En op 31 december stopt ook de ondersteuning voor PHP 8.2. Vandaag draaien naar schatting ruim 800.000 Nederlandse WordPress-sites op 8.2 of ouder, versies die vanaf 1 januari geen enkele update meer krijgen.
Wat we maten
- 57 procent van de mkb-websites draait op WordPress.
- 44 procent van die WordPress-sites heeft een plugin die minstens een versie achterloopt, 23 procent een plugin die een hele hoofdversie achterloopt.
- 4 procent draait een plugin die WordPress.org om veiligheidsredenen heeft verwijderd. Voor zo'n plugin komt geen update meer.
- 15 procent van de WordPress-sites die hun versie tonen, draait een WordPress-versie die WordPress.org zelf als onveilig aanmerkt.
- 8 procent van alle mkb-sites draait zichtbaar op PHP zonder updates. Van de sites die hun PHP-versie laten zien, is dat ruim een kwart.
Samen heeft 30,5 procent van de mkb-sites minstens één van deze problemen. Dat is een ondergrens: we zagen alleen wat de homepage laat zien.
Elke branche, hetzelfde beeld
In alle twaalf branches draait een vijfde tot ruim een derde van de sites verouderde software. Advocatenkantoren (36 procent), dakdekkers (35 procent), hoveniers (34 procent) en tandartspraktijken (34 procent) scoren het slechtst. Restaurants (21 procent) doen het het best.
Waarom onderhoud het niet meer bijhoudt
Jarenlang kon je wegkomen met een site die werd gebouwd en daarna zelden werd bijgewerkt. Dat verandert nu aanvallers AI gebruiken om lekken sneller te vinden en te misbruiken. Het aantal gemelde lekken in WordPress-plugins en -thema's steeg van 1.382 in 2021 naar 11.334 in 2025. Ongeveer de helft van de zware lekken wordt binnen een dag na bekendmaking misbruikt (Patchstack).
"Grote organisaties hebben een IT-afdeling die zo'n update dezelfde dag doorvoert. Bij de kapper of het administratiekantoor staat de site er vaak nog zoals hij jaren geleden is opgeleverd. Wie hem veilig wil houden, moet steeds WordPress, de plugins en het thema bijwerken, en om de paar jaar ook PHP. Bij een oude site gaat daarbij vaak iets stuk." (Sylvester Bongers, Bureau Imago)
Zelf controleren
Heb je een WordPress-site? Onder Dashboard, Updates zie je welke onderdelen achterlopen. De PHP-versie staat onder Gereedschap, Sitestatus, Info, Server, of in de klantomgeving van je hoster. Staat er 8.2 of lager, vraag je webbouwer of hoster dan wat de route is.
Kom je niet in WordPress of bij je hoster? Laat je webadres dan gratis nakijken via resitenow.nl/php-lek.
Of opnieuw bouwen, zonder WordPress
Je kunt een oude site blijven oplappen. Wij denken dat opnieuw bouwen voor de meeste ondernemers de betere keuze is. Daarom zijn we Resite Now begonnen. We bouwen je bestaande site opnieuw als snelle, statische site, met dezelfde teksten, foto's en webadressen, maar zonder WordPress, plugins en PHP. Je ziet eerst gratis een voorbeeld van je nieuwe site en beslist dan pas.
Over de cijfers
- Steekproef: websites van 1.280 Nederlandse mkb-bedrijven in twaalf branches. Per stad en branche de 30 bedrijven met de meeste Google-reviews (Utrecht, Amsterdam, Rotterdam, Eindhoven, Groningen en Zwolle). Per branche 52 tot 126 sites, met een marge van ongeveer 8 procentpunt.
- Meting 1 (21 oktober): per site één keer de homepage opgevraagd. De PHP-versie komt uit de serverheader die de site zelf meestuurt. 72 procent van de sites toont geen PHP-versie.
- Meting 2 (22 oktober): bij de WordPress-sites de homepage en de openbare readme-bestanden van de plugins die de homepage laadt. Versies vergeleken met de officiële gegevens van WordPress.org. Er is niets getest of aangevallen.
- Verouderde software: PHP zonder updates, een WordPress-versie die WordPress.org als onveilig aanmerkt, een plugin die minstens een versie achterloopt, of een plugin die om veiligheidsredenen is verwijderd.
- Schatting Nederland: SIDN Labs telt ruim 3 miljoen .nl-domeinnamen met een echte website (bedrijfssite, inhoud of webshop). WordPress draait op 70,6 procent van de .nl-sites waarvan het CMS bekend is (W3Techs). Omdat ongeveer een derde van alle sites geen herkenbaar CMS heeft, rekenen we met ongeveer de helft: zo'n 1,4 miljoen WordPress-sites. Daarvan draait 34,2 procent op PHP 8.1 of ouder en 57,5 procent op PHP 8.2 of ouder (WordPress.org, 24 oktober 2026). Dit is een schatting, geen telling.
- Veel hosters hebben voor PHP 7.4, 8.0 en 8.1 zelf een noodpatch ingebouwd, vaak zonder dat het versienummer verandert. Tellingen zien alleen het versienummer, dus ook zulke sites tellen mee.
- Verouderde software betekent niet automatisch dat een site te hacken is. Wel staan er dan updates open die vaak beveiligingsproblemen oplossen.
- Namen van bedrijven delen we niet.