WordPress 7.1.4: waarom je je website nu moet controleren

Heb je een website op WordPress? Dan is er sinds 28 oktober 2026 een belangrijke update: WordPress 7.1.4. Die dicht een reeks beveiligingslekken, waaronder één die aanvallers zonder account kunnen proberen te misbruiken.

Het korte antwoord: draait je website op WordPress, controleer dan vandaag nog of versie 7.1.4 (of de bijgewerkte versie van jouw oudere reeks) echt geïnstalleerd is. Ga er niet blind van uit dat de automatische update zijn werk heeft gedaan. Hieronder lees je wat er speelt en wat je kunt doen.

Wat is er gebeurd?

Op 28 oktober 2026 bracht WordPress versie 7.1.4 uit. Het is een beveiligingsupdate. WordPress zelf raadt aan om je sites meteen bij te werken. Beveiligingsbedrijven die de update hebben bekeken, tellen in totaal 22 kwetsbaarheden die ermee worden opgelost.

De meeste van die lekken zijn zogenoemde stored XSS-lekken. Dat betekent dat iemand kwaadaardige code in een pagina kan verstoppen, die daarna wordt uitgevoerd bij bezoekers of beheerders. Voor de meeste van deze lekken moet een aanvaller wel al een account op je site hebben, bijvoorbeeld als schrijver of redacteur.

Eén lek valt op, omdat er géén account voor nodig is. Het zit in het updateproces van WordPress zelf. Tijdens een update pakt WordPress bestanden tijdelijk uit in een map (wp-content/upgrade). Die map had tot nu toe een voorspelbare naam. Een aanvaller die precies op het juiste moment de juiste bestanden opvraagt, kan in sommige gevallen eigen code laten uitvoeren op je server. In vaktaal heet dat remote code execution: iemand van buitenaf neemt dan in feite de controle over je website over.

Er zitten wel voorwaarden aan. Het tijdvenster is maar een paar seconden, en die tijdelijke map moet vanaf internet bereikbaar zijn. Beveiligingsbedrijf Patchstack noemt het lek daarom in de praktijk lastig te misbruiken. Tegelijk meldde beveiligingsbedrijf Wordfence dat het al binnen negen minuten na het plaatsen van een beschermingsregel de eerste aanvalspogingen zag, en in de eerste 21 uur ruim 18.500 verzoeken die op dit lek leken te mikken. Dat zijn pogingen, geen bevestigde inbraken. Maar het laat zien dat aanvallers er actief naar zoeken.

Volgens de bronnen zitten de lekken in WordPress-versies van 4.7 tot en met 7.1.3. Voor oudere reeksen zijn ook bijgewerkte versies uitgebracht, tot en met 4.7. Draai je nog een versie ouder dan 4.7, dan krijg je geen reparatie meer.

Wat betekent dit voor jou als ondernemer?

Je website is vaak het eerste wat een klant van je ziet. Neemt een aanvaller je website over, dan kan hij er bijvoorbeeld eigen inhoud op zetten of je site onbruikbaar maken. Dat kost vertrouwen en klanten.

Veel WordPress-sites werken zichzelf automatisch bij. Dan staat 7.1.4 er waarschijnlijk al op. Maar niet elke site is zo ingesteld. Beveiligingsexperts raden daarom aan om het altijd even zelf te controleren in plaats van ervan uit te gaan dat het goed is gegaan.

Concrete stappen

1. Controleer je versie. Log in op je WordPress-dashboard en ga naar Dashboard > Updates. Daar zie je welke versie je draait. Staat er 7.1.4, of de nieuwste versie van jouw oudere reeks? Dan zit je goed.
2. Werk bij als dat nog niet is gebeurd. Maak eerst een back-up en klik daarna op bijwerken. Laat je website beheren door een webbouwer of hostingpartij? Vraag dan na of dit gedaan is.
3. Laat de upgrade-map afschermen. Vraag je hostingpartij of webbouwer of de map wp-content/upgrade niet zomaar vanaf internet te openen is. Volgens Patchstack is dat het belangrijkste punt om dit specifieke lek dicht te zetten.
4. Kijk wie er toegang heeft. Veel van de andere lekken vragen om een account. Ruim accounts op van mensen die niet meer bij je bedrijf werken of die geen toegang meer nodig hebben.
5. Let op vreemde zaken. Zie je onbekende beheerders, plug-ins die je niet zelf hebt geïnstalleerd of rare bestanden? Laat je site dan nakijken. Een beveiligingsplug-in of firewall is een goede aanvulling, maar vervangt de update niet.

Wat betekent dit voor websites van Wolkmedia?

Websites van Wolkmedia zijn gebouwd met moderne techniek, geen WordPress, geen PHP. Dit specifieke lek in het updateproces van WordPress raakt die websites dus niet. Er is geen WordPress-dashboard dat bijgewerkt moet worden en er zijn geen plug-ins die achter kunnen lopen.

Dat wil niet zeggen dat een website ooit 100% veilig is. Geen enkele website is onkwetsbaar. Ook bij een moderne website blijven goede wachtwoorden, beperkte toegang en regelmatig onderhoud belangrijk. Maar je hebt wel een stuk minder onderdelen die je zelf in de gaten moet houden.

Hulp nodig?

Weet je niet zeker of jouw WordPress-site al is bijgewerkt, of denk je erover om over te stappen naar een website zonder WordPress en PHP? Neem gerust contact op, dan kijken we vrijblijvend met je mee.