Mkb-websites lopen risico door verouderde software 

30,5 procent van de Nederlandse mkb-bedrijven draait op verouderde software. Hiervan verliezen honderdduizenden websites binnenkort de toegang tot beveiligingsupdates voor hun PHP-versie. Dat blijkt uit onderzoek van webbureau Bureau Imago onder 1.280 mkb-bedrijven, naar aanleiding van twee kritieke kwetsbaarheden in PHP die op 21 oktober bekend werden gemaakt. Uit voorzorg gingen websites wereldwijd offline, waaronder die van de Tweede Kamer en MijnOverheid. 

Verouderde software omvat onder meer PHP-versies zonder updates, verouderde WordPress-installaties en achterlopende of verwijderde plugins. De ondersteuning voor PHP 8.2 stopt op 31 december 2026. Websites die deze versie blijven gebruiken, ontvangen daarna geen reguliere beveiligingsupdates meer en kunnen kwetsbaar blijven voor nieuwe beveiligingsproblemen.

Plugins lopen achter

WordPress, gebouwd op PHP, is het meest gebruikte systeem in de steekproef: 57 procent van de onderzochte bedrijven heeft een WordPress-site. Bij 44 procent van die websites loopt minstens één plugin een versie achter. Bij 23 procent is dat zelfs een volledige hoofdversie. Daarnaast gebruikt 4 procent een plugin die WordPress.org om veiligheidsredenen heeft verwijderd.

Vooral bij kleinere bedrijven blijven updates soms lang liggen. Het bijwerken van oude software kan er bovendien voor zorgen dat een website niet meer goed werkt, bijvoorbeeld doordat bepaalde plugins niet compatibel zijn met een nieuwere PHP-versie. Daardoor stellen organisaties updates mogelijk uit, terwijl hun websites kwetsbaar blijven voor bekende beveiligingsproblemen. 

Het risico neemt toe doordat kwetsbaarheden in plugins en thema’s regelmatig worden gevonden, zeker in een tijdperk waar AI steeds vaker wordt ingezet. Volgens beveiligingsbedrijf Patchstack steeg het aantal gemelde kwetsbaarheden in WordPress-plugins en -thema’s van 1.382 in 2021 naar 11.334 in 2025. Ongeveer de helft van de ernstige kwetsbaarheden wordt binnen een dag na bekendmaking aangevallen.

Alternatief voor WordPress

Bureau Imago stelt dat ondernemers met een verouderde website kunnen overwegen hun site opnieuw te bouwen zonder WordPress. Het bureau biedt hiervoor zelf een dienst aan, Resite Now. Die gebruikt AI om bestaande WordPress-websites om te zetten naar statische websites, waarbij teksten, foto's en webadressen behouden blijven. WordPress, plugins en PHP zijn daarbij niet meer nodig. Volgens het bureau controleert een medewerker de pagina's voordat de nieuwe website live gaat.

Ondernemers kunnen in WordPress onder Dashboard en Updates controleren welke onderdelen achterlopen. De gebruikte PHP-versie is te vinden onder Gereedschap, Sitestatus, Info en Server, of via de klantomgeving van de hostingprovider. Bij PHP 8.2 of ouder adviseert Bureau Imago contact op te nemen met de webbouwer of hostingprovider om te bespreken welke updates nodig zijn.