Een plugin die twee jaar geleden voor het laatst is bijgewerkt, werkt vaak nog gewoon prima. De knoppen doen het, de pagina laadt, niemand klaagt. Precies daarom valt het meestal niet op wanneer een plugin stilletjes verlaten wordt door de maker.

Tot het moment dat er een nieuw beveiligingslek in wordt ontdekt. Bij een actief onderhouden plugin komt er meestal snel een update die het lek dicht. Bij een verlaten plugin verschijnt die update nooit. Het lek blijft daar gewoon staan, open en bekend, want kwetsbaarheden in WordPress-plugins worden vaak publiek gedocumenteerd, en zijn dus ook voor aanvallers te vinden.

Hoe herkent u een verlaten plugin

In het WordPress-dashboard staat bij elke geïnstalleerde plugin wanneer die voor het laatst is bijgewerkt. Een paar signalen die het waard zijn om op te letten:

Geen van deze signalen betekent automatisch gevaar. Sommige plugins zijn simpelweg af, ze doen precies wat ze moeten doen en hebben geen update nodig. Maar zonder actief toezicht weet u het verschil niet tussen “deze plugin is klaar” en “deze plugin is verlaten met een open lek”.

Waarom dit vaak pas achteraf opvalt

Een gehackte website via een verlaten plugin toont zelden meteen zichtbare schade. Vaker wordt de kwetsbaarheid stil misbruikt, voor spam-links, voor het injecteren van code, soms maandenlang onopgemerkt, tot Google de site als onveilig markeert of een hostingpartij ‘m offline haalt.

Dit is precies waarom actieve monitoring meer is dan alleen jaarlijks even kijken. Een site die vandaag veilig is, kan dat over drie maanden niet meer zijn, zonder dat er ook maar iets aan de site zelf is veranderd.

Bij het incident bij Albert Heijn kwam dit terug als les 7: één verouderd onderdeel kan grote gevolgen hebben. Voor uw website is dat de plugin die al maanden geen update kreeg.

Weet u niet zeker welke plugins op uw site verlaten zijn? Neem gerust contact op, dan kijken we samen waar u staat.