Een WordPress website vraagt doorlopend aandacht. WordPress zelf, je plugins en je thema krijgen regelmatig updates, en een deel daarvan dicht beveiligingslekken die al actief worden misbruikt.
In dit artikel lees je wat WordPress onderhoud in 2026 inhoudt: updates, back-ups, beveiliging, licenties, PHP, uptime en snelheid. Per onderdeel krijg je concrete stappen, en je leest wat je zelf kunt doen en wanneer uitbesteden slimmer is.
Waarom je een WordPress website moet onderhouden
Patchstack, een bedrijf dat kwetsbaarheden in WordPress bijhoudt, telde in 2025 11.334 nieuwe beveiligingslekken in het WordPress-ecosysteem. Dat is 42 procent meer dan in 2024. Volgens Patchstack zat 91 procent daarvan in plugins en 9 procent in thema’s. In WordPress zelf ging het om 6 meldingen.
Aanvallers zoeken geautomatiseerd naar sites met zo’n lek. Bij de lekken die het vaakst werden misbruikt, volgde de eerste aanval volgens Patchstack binnen enkele uren na bekendmaking. Een site die weken niet wordt bijgewerkt, loopt dus echt risico. De gevolgen variëren van spam die via je server wordt verstuurd tot malware, een waarschuwing in Google of een site die plat ligt.
Updates van WordPress, plugins en thema’s
WordPress brengt een paar keer per jaar een grote versie uit. In 2026 waren dat 7.0 in mei en 7.1 in augustus. Daartussen verschijnen beveiligingsupdates. Op 22 september 2026 kwam versie 7.1.2 uit voor een lek waarmee een aanvaller zonder in te loggen in bepaalde gevallen code kon uitvoeren, en op 6 oktober volgde 7.1.3 met zeven beveiligingsfixes.
Officieel ondersteunt WordPress alleen de nieuwste versie. Kleine onderhouds- en beveiligingsupdates van WordPress zelf installeren zich standaard automatisch. Voor plugins en thema’s zet je automatische updates per onderdeel aan; dat kan sinds WordPress 5.5 via de pagina Plugins en via Weergave bij je thema’s.
Zo pak je een updateronde aan:
- Maak een back-up van bestanden en database.
- Lees bij grote updates de changelog, zeker bij je page builder, WooCommerce of je thema.
- Test grote versies eerst op een testomgeving (staging).
- Voer de updates uit en controleer daarna je belangrijkste pagina’s, formulieren en de checkout.
- Gaat er iets mis, zet dan de back-up terug.
Tip: Tijdens een update zet WordPress je site een paar seconden in onderhoudsmodus. Blijft de melding over gepland onderhoud daarna in beeld, dan is een update halverwege gestopt. Meestal lost het verwijderen van het bestand .maintenance in de hoofdmap van je site dat op.
Back-ups die je echt kunt terugzetten
Een back-up bestaat uit twee delen: de bestanden (thema, plugins en uploads) en de database met je teksten, instellingen en bestellingen. Bewaar back-ups ook buiten de server waarop je site draait. Gaat die server mis of wordt je site gehackt, dan heb je anders niets.
Hoe vaak je een back-up maakt, hangt af van hoe vaak er iets verandert. Een webshop met dagelijkse bestellingen wil minstens elke dag een back-up, voor een eenvoudige bedrijfssite is wekelijks vaak genoeg. Bewaar meerdere versies, zodat je ook terug kunt naar een moment van vóór een hack die pas later opvalt. Test daarnaast af en toe of terugzetten echt werkt.
Beveiliging, kwetsbaarheden en licenties
Partijen als Patchstack en Wordfence publiceren dagelijks nieuwe kwetsbaarheden in plugins en thema’s. Beveiligingsplugins en beheertools waarschuwen je als een lek op jouw site voorkomt. Volgens Patchstack had 46 procent van de lekken uit 2025 nog geen oplossing van de ontwikkelaar op het moment dat ze openbaar werden.
Krijg je zo’n melding, dan doe je dit:
- Kijk of er een bijgewerkte versie is en installeer die meteen.
- Is er nog geen oplossing, schakel de plugin dan uit of vervang hem.
- Verwijder plugins en thema’s die je niet gebruikt, want ook uitgeschakelde code kan een risico zijn.
Gebruik daarnaast sterke wachtwoorden, zet tweestapsverificatie aan voor beheerders en maak niet meer beheeraccounts aan dan nodig.
Vergeet ook je licenties niet. Premium plugins en thema’s krijgen alleen updates zolang de licentie geldig is. Verloopt de licentie van bijvoorbeeld je page builder, formulierplugin of beveiligingsplugin, dan mis je ook de beveiligingsupdates. Houd daarom bij welke licenties je hebt en wanneer ze verlopen.
PHP-versie, uptime en snelheid
WordPress draait op PHP, en ook die software heeft een houdbaarheidsdatum. WordPress adviseert PHP 8.3 of hoger. Volgens php.net krijgt PHP 8.1 sinds eind 2025 geen beveiligingsupdates meer, en voor PHP 8.2 stopt dat op 31 december 2026.
Je huidige versie zie je in het dashboard onder Hulpmiddelen, Sitegezondheid. De upgrade regel je bij je hostingpartij, en daarna test je of alle plugins goed blijven werken.
Laat je site daarnaast elke paar minuten controleren door een uptime-monitor. Valt je site uit, dan krijg je direct een melding, vaak nog voordat een klant het merkt.
Snelheid hoort ook bij onderhoud. Google meet de ervaring van bezoekers met de Core Web Vitals: laadsnelheid (LCP), reactiesnelheid (INP, sinds maart 2024 de opvolger van FID) en visuele stabiliteit (CLS). De scores zie je in Google Search Console en PageSpeed Insights. Houd ze op peil door je database op te schonen (oude revisies, spamreacties en verlopen tijdelijke gegevens), afbeeldingen te comprimeren en caching goed in te stellen.
Zelf doen of WordPress onderhoud uitbesteden
Onderhoud bestaat uit twee soorten werk. Contentonderhoud gaat over je teksten, nieuwsberichten, projecten en foto’s. Dat doe je het best zelf, want jij weet wat er speelt.
Een goed gebouwde site is zo ingericht dat je teksten en foto’s aanpast via eenvoudige velden, terwijl het ontwerp intact blijft. Bespreek daarom al vóór de bouw welke onderdelen je zelf wilt beheren.
Technisch onderhoud omvat updates, back-ups, beveiliging, PHP en monitoring. Dat kun je zelf doen als je er tijd voor hebt en weet wat je moet doen als een update iets stukmaakt. Besteed je het uit, vraag dan na:
- Worden updates getest en bij problemen teruggedraaid?
- Waar staan de back-ups, hoe vaak worden ze gemaakt en hoe lang bewaard?
- Wie reageert op beveiligingsmeldingen en op uitval?
- Vallen licenties en PHP-upgrades onder de afspraak?
WordPress onderhoud bij COMMAR
Wij hebben meer dan 150 websites in beheer en nemen het technische onderhoud graag van je over. Wil je weten wat we voor jouw site kunnen doen, kijk dan bij hosting en onderhoud. Twijfel je nog over het fundament van je site, lees dan ook Elementor vs andere WordPress page builders.
