Een op de drie websites draait verouderde software

Dat blijkt uit metingen van webbureau Bureau Imago bij 1.280 bedrijven. Aanleiding voor de metingen was de bekendmaking van twee kritieke lekken in PHP op 21 oktober. De websites van de Tweede Kamer en MijnOverheid gingen toen uit voorzorg offline. Bureau Imago bekeek in de dagen daarna hoe het er bij het mkb voor staat.

Veel WordPress-sites met achterlopende plugins

Ruim de helft van de onderzochte bedrijven (57 procent) heeft een WordPress-site. Bij 44 procent van die sites loopt minstens één plugin een versie achter, bij 23 procent zelfs een hele hoofdversie. Op 4 procent staat een plugin die WordPress.org om veiligheidsredenen heeft verwijderd, waardoor er geen update meer voor verschijnt. Van de WordPress-sites die hun versie tonen, draait 15 procent een versie die WordPress.org zelf als onveilig aanmerkt. Daarnaast draait 8 procent van alle onderzochte sites zichtbaar op PHP zonder updates. Van de sites die hun PHP-versie laten zien, is dat ruim een kwart. Bijna drie op de vier sites (72 procent) toont die versie niet.

Het einde van de ondersteuning voor PHP 8.2 raakt vooral WordPress-sites. Volgens cijfers van WordPress.org draait 59,6 procent van de WordPress-installaties op PHP 8.2 of ouder. Bureau Imago komt op basis daarvan uit op ruim 800.000 Nederlandse sites en ruim 50 miljoen sites wereldwijd. Het bureau benadrukt dat dit afgeronde schattingen zijn en geen tellingen.

Alle branches scoren vergelijkbaar

In alle twaalf onderzochte branches draait een vijfde tot ruim een derde van de sites verouderde software. Advocatenkantoren (36 procent), dakdekkers (35 procent), hoveniers (34 procent) en tandartspraktijken (34 procent) scoren het slechtst. Kapsalons (32 procent), fysiotherapeuten, elektriciens en accountantskantoren (alle drie 31 procent) volgen daar vlak achter. Restaurants doen het met 21 procent het best. Per branche zijn 52 tot 126 sites gemeten, met een marge van ongeveer 8 procentpunt. Bureau Imago adviseert de branches daarom als groepen te lezen en niet als exacte ranglijst.

Het aantal gemelde lekken in WordPress-plugins en -thema’s steeg volgens beveiligingsbedrijf Patchstack van 1.382 in 2021 naar 11.334 in 2025. Ongeveer de helft van de zware lekken wordt binnen een dag na bekendmaking misbruikt. Volgens Bureau Imago komt daar bij dat aanvallers met AI sneller lekken vinden en misbruiken. Een site die na oplevering nauwelijks wordt bijgewerkt, is daarom volgens het bureau niet meer houdbaar. Grote organisaties met een eigen IT-afdeling voeren updates snel door, terwijl sites van kleine bedrijven vaak ongewijzigd blijven staan. Bijwerken van WordPress, plugins, thema en PHP kan bovendien bij een oude site dingen laten breken.

Bureau pleit voor opnieuw bouwen zonder WordPress

Bureau Imago vindt dat opnieuw bouwen zonder WordPress voor de meeste ondernemers een betere keuze is dan een oude site blijven bijwerken. Het bureau biedt hiervoor zelf een dienst aan, Resite Now. Die bouwt een bestaande WordPress-site met behulp van AI in een paar uur opnieuw als statische site, met dezelfde teksten, foto’s en webadressen. WordPress, plugins en PHP zijn dan niet meer nodig. Een medewerker controleert elke pagina voordat de site live gaat. Ondernemers krijgen eerst een gratis voorbeeld en beslissen daarna.

Ondernemers met een WordPress-site zien onder Dashboard, Updates welke onderdelen achterlopen. De PHP-versie staat onder Gereedschap, Sitestatus, Info, Server, of in de klantomgeving van de hoster. Bij versie 8.2 of lager is het volgens Bureau Imago verstandig de webbouwer of hoster te vragen wat de route is. Wie geen toegang heeft tot WordPress of de hoster, kan het webadres gratis laten nakijken via resitenow.nl/php-lek.

Zo is gemeten

De steekproef bestaat uit de websites van 1.280 mkb-bedrijven in twaalf branches. Per stad en branche zijn de 30 bedrijven met de meeste Google-reviews meegenomen, in Utrecht, Amsterdam, Rotterdam, Eindhoven, Groningen en Zwolle. Op 21 oktober vroeg Bureau Imago van elke site eenmaal de homepage op en las de PHP-versie uit de serverheader. Op 22 oktober volgden bij de WordPress-sites de homepage en de openbare readme-bestanden van de plugins die de homepage laadt. De versies zijn vergeleken met de gegevens van WordPress.org. Er is niets getest of aangevallen. Als verouderd telt PHP zonder updates, een WordPress-versie die WordPress.org als onveilig aanmerkt, een plugin die minstens een versie achterloopt of een plugin die om veiligheidsredenen is verwijderd.

Het bureau noemt de uitkomst een ondergrens: per site zijn gemiddeld vier plugins gemeten, en betaalde plugins en verborgen versies tellen niet mee. Verouderde software betekent bovendien niet automatisch dat een site te hacken is, maar wel dat er updates openstaan die vaak beveiligingsproblemen oplossen. De schatting voor Nederland gaat uit van ruim 3 miljoen .nl-domeinen met een actieve website (SIDN) en een WordPress-aandeel van 70,6 procent bij sites met een bekend CMS (W3Techs). Omdat ongeveer een derde van de sites geen herkenbaar CMS heeft, rekent het bureau met ongeveer 1,4 miljoen WordPress-sites. De wereldwijde schatting gaat uit van ongeveer 217 miljoen actieve websites (afgeleid uit Netcraft, juli 2026), waarvan 39,6 procent op WordPress draait. WordPress.org telt installaties die updates ophalen, dus ook test- en reservesites. Namen van onderzochte bedrijven worden niet gedeeld.