Een gehackte WordPress-website is vervelender dan je denkt. Bezoekers worden doorgestuurd naar dubieuze websites, Google markeert je domein als onveilig en je zoekpositie keldert soms binnen dagen. Het goede nieuws: je kunt zelf controleren of je site besmet is en de schade beperken. In deze handleiding loop je stap voor stap door het volledige proces, van voorbereiding tot preventie.
Je hebt geen diepgaande technische kennis nodig voor de eerste stappen. Voor het handmatig doorzoeken van bestanden is enige vertrouwdheid met FTP en phpMyAdmin wel handig. Kom je er niet uit, dan is professionele hulp altijd een optie. Maar laten we beginnen met wat je zelf kunt doen.
Wat je nodig hebt vóór de malwarescan
Voordat je iets aanraakt op je website, zorg je eerst voor een veilige uitgangspositie. Een malwarescan zonder voorbereiding kan ertoe leiden dat je gegevens verliest of dat je later niet meer kunt reconstrueren wat er precies is gebeurd.
Maak als eerste stap een volledige back-up van je website, inclusief alle bestanden én de database. Doe dit zelfs als je weet dat de site besmet is. Een geïnfecteerde website is altijd nog beter dan geen website. Sla deze forensische kopie op buiten je hostingomgeving, bijvoorbeeld op een externe harde schijf of in een aparte cloudomgeving. Dit is niet de back-up waar je straks van terugzet, maar de kopie waarmee je later kunt reconstrueren wat er is misgegaan.
Zorg dat je de volgende zaken bij de hand hebt voordat je begint:
- Beheerderstoegang tot je WordPress-dashboard
- FTP-toegang tot je hostingomgeving, inclusief inloggegevens
- Toegang tot phpMyAdmin of een vergelijkbare databasetool via je hostingpaneel
- Toegang tot Google Search Console om te controleren of Google je site al heeft gemarkeerd als gehackt
Controleer in Google Search Console onder “Beveiligingsproblemen” of er al waarschuwingen staan. Noteer elke URL die wordt gemeld. Zet daarna je website tijdelijk in onderhoudsmodus of beveilig de frontend met serverauthenticatie. Zo voorkom je dat bezoekers tijdens de scan worden doorgestuurd naar phishingpagina’s. Met deze voorbereiding in orde kun je de eigenlijke scan starten.
Scan je WordPress-website met een beveiligingsplugin
Een beveiligingsplugin is de snelste manier om bekende malware op te sporen. De plugin vergelijkt jouw bestanden met een database van bekende kwaadaardige code en geeft aan welke bestanden verdacht zijn. Denk aan het als een antivirusscan voor je website.
De drie meest gebruikte opties zijn Wordfence, Sucuri en MalCare. Ze werken elk net iets anders:
- Wordfence werkt rechtstreeks op je server en heeft meer dan 4 miljoen actieve installaties. De gratis versie biedt dagelijkse scans, een firewall en inlogbeveiliging. Let op: gratis gebruikers ontvangen nieuwe beveiligingsregels met een vertraging van dertig dagen ten opzichte van betaalde gebruikers. Juist in die eerste weken na een nieuwe kwetsbaarheid is het risico het grootst.
- Sucuri leidt al het verkeer via een externe cloudfirewall voordat het je website bereikt. Dat maakt het sterk tegen grootschalige aanvallen, maar vereist een betaald abonnement voor de volledige beveiliging.
- MalCare scant via externe servers, waardoor je eigen website geen prestatieverlies merkt. Na installatie stelt het automatisch een firewall in.
Installeer de plugin van jouw keuze, activeer hem en start een volledige scan. Wordfence en MalCare tonen na de scan een overzicht van verdachte bestanden, gegroepeerd op ernst. Noteer alle gevonden problemen zorgvuldig voordat je iets verwijdert. Houd er rekening mee dat scanners bekende malware goed herkennen, maar verse backdoors of aanpassingen in de database of het .htaccess-bestand soms missen. De plugin is dus een uitstekend startpunt, maar niet het eindpunt.
Controleer serverbestanden en database-inhoud handmatig
Nadat de plugin zijn werk heeft gedaan, is het verstandig om ook zelf door de bestanden te gaan. Malware verstopt zich graag op plekken die automatische scanners overslaan. Met FTP-toegang en een databasetool kun je die plekken zelf controleren.
Bestanden controleren via FTP
Open je FTP-programma en sorteer de bestanden op datum van laatste bewerking. Alles wat na jouw laatste wijziging is aangepast, verdient extra aandacht. Let ook op bestanden met een onlogische datum, zoals het jaar 1970. Drie plekken die bij een opschoonactie vaak worden overgeslagen, zijn:
- Het .htaccess-bestand: aanvallers voegen hier redirects naar phishingsites toe
- De map wp-content/mu-plugins: must-use plugins worden automatisch geladen zonder dat je ze kunt deactiveren
- Server-cronjobs: sommige malware herdownloadt zichzelf na verwijdering via een geplande taak
Zoek in de bestanden naar onleesbare code: lange reeksen letters en cijfers die niet op normale PHP-code lijken. Dat zijn vaak base64-gecodeerde strings. Heb je toegang via SSH, dan kun je gericht zoeken naar PHP-functies als eval, base64_decode, exec of system. Kijk ook in de uploads-map op afbeeldingsbestanden met een verborgen PHP-backdoor.
Database controleren via phpMyAdmin
Malware beperkt zich niet tot bestanden. Een aanzienlijk deel van de actieve WordPress-malware slaat zijn code op in de database, specifiek in de tabel wp_options. Log in bij phpMyAdmin via je hostingpaneel en zoek in die tabel naar rijen met vreemde namen of links naar onbekende websites. Zoek ook in posts en pagina’s naar base64-strings of spamlinks die er niet thuishoren.
Gebruik je WP-CLI, dan kun je met wp core verify-checksums en wp plugin verify-checksums –all elk bestand vergelijken met de officiële versies van WordPress.org. Zo zie je direct welke bestanden zijn gewijzigd of toegevoegd. Volgens beveiligingsspecialisten Deze link opent in een nieuw tabblad is dit een van de betrouwbaarste methoden om gewijzigde corebestanden op te sporen.
Verwijder gevonden malware stap voor stap
Je hebt nu een overzicht van wat er mis is. Nu begint het echte werk: opschonen. Verwijder niet zomaar losse regels code, maar vervang zo veel mogelijk volledige bestanden door schone versies. Dat verkleint de kans op herinfectie aanzienlijk.
- Verwijder verdachte gebruikersaccounts in je WordPress-dashboard onder Gebruikers. Onbekende beheerders zijn een veelvoorkomend teken van een hack.
- Verwijder alle plugins volledig, niet alleen deactiveren. Geïnfecteerde pluginbestanden zijn de meest voorkomende bron van herinfectie. Verwijder ook ongebruikte thema’s.
- Herinstalleer WordPress-core via WP-CLI met wp core download –force. Dit overschrijft alle corebestanden met schone versies.
- Herinstalleer plugins en thema’s vanuit WordPress.org of de officiële ontwikkelaar. Gebruik nooit “nulled” of illegale versies: die bevatten vrijwel altijd verborgen kwaadaardige code.
- Schoon het .htaccess-bestand op en vervang het door een standaard WordPress-.htaccess.
- Verwijder verdachte database-entries via phpMyAdmin, met name in wp_options, wp_posts en wp_postmeta.
- Vernieuw de security keys in wp-config.php zodat gestolen cookies waardeloos worden.
- Wijzig alle wachtwoorden: WordPress-beheerderswachtwoord, FTP-wachtwoorden en het databasewachtwoord.
Controleer na het opschonen het actieve thema handmatig via functions.php, header.php en footer.php. Als Google je site heeft geblokkeerd, vraag dan via Google Search Console een herbeoordeling aan via “Beveiliging en handmatige acties”. Dat proces duurt doorgaans een paar dagen.
Controleer of de website schoon is na het opschonen
Opschonen is één ding, maar verifiëren dat het gelukt is, is minstens zo belangrijk. Sommige malware, zoals de Lock360-malwarefamilie die in 2025 veelvuldig opdook, gebruikt technieken om zichzelf automatisch opnieuw te installeren na verwijdering. Monitoring is daarom geen optionele stap.
Voer de volgende controles uit direct na het opschonen:
- Herhaal de malwarescan met dezelfde plugin als eerder. Er mogen geen nieuwe meldingen zijn.
- Controleer Google Search Console op openstaande beveiligingswaarschuwingen of handmatige acties.
- Controleer blacklists via een tool als Sucuri SiteCheck om te zien of je domein nog op externe lijsten staat.
- Maak een nieuwe, schone back-up van de website nu die malwarevrij is.
Monitor je toegangslogs minimaal twee weken na de opschoning op verdachte verzoeken naar bestanden die je hebt verwijderd. Aanvallers proberen hun backdoor vrijwel altijd opnieuw te bereiken. Bewaar alle logs en documentatie van het incident minimaal een jaar, ook als je die nu niet nodig denkt te hebben. Dat kan later relevant zijn voor juridische doeleinden of een verzekeringsaanvraag.
Voorkom toekomstige malware-infecties op WordPress
Voorkomen is altijd beter dan genezen, zeker als je bedenkt hoe snel aanvallers tegenwoordig te werk gaan. Volgens het Patchstack-rapport over WordPress-beveiliging Deze link opent in een nieuw tabblad was de gemiddelde tijd tot massale exploitatie van ernstige kwetsbaarheden in 2025 slechts vijf uur. Dat betekent dat een update die je een dag uitstelt, je al in gevaar kan brengen. Het NCSC waarschuwde in 2026 meerdere malen voor actief misbruikte kwetsbaarheden in WordPress en riep beheerders op hun sites direct te beveiligen.
De belangrijkste preventieve maatregelen op een rij:
- Houd alles up-to-date: WordPress-core, plugins en thema’s. Verouderde software is de voornaamste oorzaak van hacks.
- Gebruik sterke wachtwoorden en tweestapsverificatie voor alle beheerdersaccounts. Zwakke inloggegevens zijn nog steeds een hoofdoorzaak van WordPress-hacks.
- Installeer een firewall én een malwarescanner. Een firewall blokkeert aanvallen voordat ze je site bereiken; een scanner signaleert schade die er toch doorheen glipt.
- Verwijder ongebruikte plugins en thema’s, ook inactieve. Elke plugin vergroot het aanvalsoppervlak.
- Gebruik alleen officiële plugins en thema’s. Nulled software bevat bijna altijd verborgen kwaadaardige code.
- Kies een betrouwbare hostingprovider met serverfirewalls, malwarescans en serverisolatie. Een gehackte buurwebsite op dezelfde server kan anders ook jouw site raken.
- Controleer de PHP-versie in je hostingpaneel en gebruik bij voorkeur een recente, ondersteunde versie.
Wil je dit structureel goed regelen zonder er zelf voortdurend bovenop te zitten? Bij Stuurlui nemen we WordPress-beveiliging op in elk project, van veilig coderen en code reviews tot pentests en doorlopend beheer. Zo hoef jij je niet bezig te houden met de techniek, maar kun je focussen op wat jij het beste doet.
Een schone WordPress-website begint met de juiste voorbereiding, een grondige scan en consequente opvolging. Gebruik deze handleiding als je checklist, zet preventie structureel op de agenda en schakel tijdig hulp in als je er zelf niet uitkomt.