Kort gezegd: Toont uw WordPress-site vreemde inhoud, stuurt ze bezoekers door of is ze plotseling traag, ga dan uit van het ergste en neem nu contact op. Wij nemen het over vanaf het eerste bericht: sporen veiligstellen, toegangen blokkeren, achterdeuren zoeken, de site opschonen en het incident documenteren. Alles op afstand, zonder reistijd.
Verwijder nu niets en zet niets opnieuw op. Wie plugins verwijdert of de back-up terugzet voordat er een kopie is gemaakt, vernietigt de sporen van de inbraak. Bent u getroffen? Bel ons of stuur een bericht via WhatsApp, of gebruik direct Meld uw noodgeval.
Is uw WordPress gehackt?
Een aanval op WordPress valt niet altijd op. Deze tekenen wijzen op een compromittering:
- Bezoekers worden doorgestuurd naar vreemde sites, reclame of nepwebshops, vaak alleen vanaf de telefoon of vanuit zoekmachines
- in Google verschijnen pagina's in uw naam met teksten over farmacie, gokken of in een vreemde taal, zie SEO-spam in de Google-index
- in het dashboard staan beheerders die niemand heeft aangemaakt, of wachtwoorden laten zich plotseling niet meer resetten
- in de map
wp-content/uploadsstaan.php-bestanden die daar niet thuishoren (zo duidt u zulke vondsten) - er verschijnen plugins of thema's die u nooit hebt geïnstalleerd, of ze verdwijnen vanzelf weer
- uw hostingprovider meldt spamverzending, hoge belasting of blokkeert de site
- browser of Google toont een waarschuwing voor uw site
Meer aanwijzingen op serverniveau staan onder Ben ik al gecompromitteerd?.
Wat u nu direct doet
- Zet de site in onderhoudsmodus of haal haar van het netwerk als bezoekers gevaar lopen. Laat de bestanden daarbij ongewijzigd.
- Verwijder niets en deïnstalleer niets. Ook geen plugins die verdacht lijken.
- Laat logboeken veiligstellen: Vraag uw hostingprovider toegangs- en foutlogboeken niet te overschrijven. De vakpers adviseert serverlogboeken vanaf 20-10-2026 te bewaren.
- Verzamel de toegangen: Wie heeft WordPress-beheer, FTP, SSH, hostingpaneel en database? Noteer dat, maar wijzig wachtwoorden pas na overleg en vanaf een schoon apparaat.
- Controleer de mailboxen: Het account dat in WordPress als beheerdersadres is ingesteld, kan worden gebruikt om wachtwoorden te resetten.
- Informeer de betrokkenen: directie, functionaris voor gegevensbescherming en eventueel de verzekeraar.
- Neem contact met ons op voordat u zelf verder ingrijpt.
Hoe helpt PHP SOS bij een gehackte WordPress-site?
- Situatie opnemen: Wij stellen vast wat u ziet, welke plugins en thema's draaien, wie toegang had en waar de server staat.
- Veiligstellen en dichten: Bestanden, database en logboeken worden veiliggesteld, verdachte toegangen geblokkeerd en de site zo nodig afgeschermd.
- Controleren en opschonen: Wij vergelijken de kernbestanden met het origineel (hoe dat werkt, legt dit artikel uit), zoeken achterdeuren in plugins, thema's, uploads en database en verwijderen ze. De aanpak komt overeen met onze dienst Malware en webshells verwijderen.
- Beveiligen en rapporteren: PHP-versie, rechten, beheerdersbescherming en updates worden gecontroleerd. U krijgt een rapport met tijdlijn, bevindingen en aanbevelingen.
WordPress-update tegen PHP2Shell: waarom het niet volstaat
Veel beheerders denken dat met de nieuwste WordPress-versie alles is geregeld. Dat klopt niet. PHP2Shell, dus CVE-2026-109618 en CVE-2026-109619, zit in de PHP-interpreter waarop WordPress draait. Verholpen is het in PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Volgens Dr. Web plant WordPress.org daarvoor geen eigen update. Beslissend is de PHP-runtime op uw server; meer daarover in Waarom een WordPress-update niet helpt en op de pagina WordPress en PHP2Shell.
Evenzo geldt: een PHP-patch verwijdert geen schadelijke code die al is ingebracht. Beide moeten samen worden gecontroleerd.
Achterdeuren in WordPress: waar ze zich verstoppen
Aanvallers leggen toegangen graag neer waar men zelden kijkt: in mu-plugins, in themabestanden zoals functions.php, in afbeeldingsmappen met dubbele bestandsextensie, in de tabel wp_options of in geplande taken van WordPress. Details en controlemethoden vindt u onder Backdoors in WordPress vinden. Na het opschonen moet elke beheerderstoegang worden beveiligd met tweestapsverificatie.
Wordt uw site door Google of een browser als gevaarlijk gemarkeerd, dan nemen wij eerst de oorzaak weg en ondersteunen we daarna bij de herbeoordeling. De aanpak beschrijft Google-waarschuwing verwijderen.
Hoe wij de site weer vrijgeven
Een WordPress-site gaat pas terug op het netwerk als kernbestanden, plugins en thema zijn gecontroleerd, toegangsgegevens en sleutels in de configuratie zijn vernieuwd en er geen verdachte gebruiker meer bestaat. Daarna controleren we de openbare site vanuit het perspectief van een bezoeker, ook vanaf de telefoon, omdat sommige doorverwijzingen alleen daar optreden. Vervolgens adviseren we voor de komende weken een scherpere controle. Een toezegging dat de site nooit meer wordt aangevallen bestaat niet, wel een gedocumenteerde, gecontroleerde toestand.
Wat u ons het best kunt sturen
- het adres van de site en, indien bekend, de hostingprovider
- sinds wanneer en waaraan u iets is opgevallen
- schermafbeeldingen van waarschuwingen, doorverwijzingen of vreemde beheerdersaccounts
- een lijst van de plugins en het thema, voor zover bekend
- de stand van de laatste back-up
Stuur toegangsgegevens alstublieft niet ongevraagd per e-mail; wij stemmen de veilige weg met u af.
Waarom PHP SOS
Wij werken Made in Germany en zijn met ons partnernetwerk van cyberprofessionals al meer dan 25 jaar gespecialiseerd in IT-beveiliging. U hebt één aanspreekpunt dat uw zaak van het eerste bericht tot de afronding begeleidt. Wij werken op afstand in heel Duitsland en Europa, documenteren elke stap en beloven alleen wat houdbaar is: wij werken door tot het incident is afgerond en gedocumenteerd. Kunnen persoonsgegevens getroffen zijn, dan helpt het rapport u ook bij de AVG-melding; de juridische beoordeling blijft bij uw functionaris voor gegevensbescherming. De volledige dienst beschrijft de pagina Website gehackt: noodhulp.
Bent u getroffen? Bel ons. Wij helpen.
Gedraagt uw WordPress-site zich verdacht, wacht dan niet op het volgende alarmsignaal. Neem nu contact op, per telefoon of WhatsApp, dan nemen wij het over vanaf het eerste bericht. Meld nu uw noodgeval
Veelgestelde vragen
Is het genoeg om WordPress en alle plugins bij te werken als de site is gehackt?
Nee. Een update dicht lekken voor de toekomst, maar verwijdert geen achterdeur die al op de server staat. Daar komt bij: het PHP-lek PHP2Shell zit in de PHP-interpreter, niet in WordPress. Volgens berichten plant WordPress.org daarvoor geen eigen update.
Kan ik een oude back-up terugzetten en dan klaar zijn?
Alleen met voorzichtigheid. Wie het tijdstip van de inbraak niet kent, zet mogelijk al besmette bestanden terug. Bovendien blijft de toegangspoort open als niemand die heeft gevonden. Eerst veiligstellen, dan beoordelen, dan herstellen.
Hoe herken ik een onzichtbaar beheerdersaccount in WordPress?
Sommige accounts worden niet in de gebruikerslijst getoond omdat schadelijke code de weergave filtert. Een controle rechtstreeks in de database en een vergelijking met de bekende personen laat meer zien. Dat hoort bij het opschonen, dat wij overnemen.
Waarom verschijnt de schadelijke code na het verwijderen steeds weer?
Dan is er meestal een tweede achterdeur of een mechanisme dat bestanden nalaadt, zoals een geplande taak of gemanipuleerde bestanden in ongebruikelijke mappen. Wie alleen zichtbare symptomen verwijdert, bestrijdt het teken en niet de oorzaak.
Wat kost het als Google mijn WordPress-site als gevaarlijk markeert?
Dat hangt af van omvang en inspanning en is pas na een eerste inschatting te zeggen. Zinvol is eerst de oorzaak weg te nemen en daarna de herbeoordeling door Google aan te vragen.