Van de websites van Nederlandse MKB-bedrijven draait 30,5 procent verouderde software. Dat blijkt uit metingen van webbureau Bureau Imago bij 1.280 bedrijven, gedaan in de dagen na de bekendmaking van twee kritieke PHP-lekken op 21 oktober. Op 31 december stopt de ondersteuning voor PHP 8.2. Het bureau schat dat daarmee ruim 800.000 Nederlandse websites op een PHP-versie zonder updates komen te draaien.
Bureau Imago, een marketing- en webbureau uit Utrecht, hanteert een brede definitie van verouderde software. Daaronder valt een PHP-versie zonder updates, een WordPress-versie die WordPress.org als onveilig aanmerkt, een plugin die minstens één versie achterloopt of een plugin die om veiligheidsredenen uit de WordPress-directory is verwijderd. De steekproef omvat per stad en branche de dertig bedrijven met de meeste Google-reviews in Utrecht, Amsterdam, Rotterdam, Eindhoven, Groningen en Zwolle.
WordPress-plugins lopen achter
Van de gemeten MKB-websites draait 57 procent op WordPress. Bij 44 procent van die sites loopt minstens één plugin een versie achter, bij 23 procent een volledige hoofdversie. Op 4 procent van de WordPress-sites draait een plugin die WordPress.org om veiligheidsredenen heeft verwijderd en waarvoor dus geen updates meer verschijnen. Van de WordPress-sites die hun versienummer tonen, draait 15 procent een versie die WordPress.org als onveilig aanmerkt.
Over alle gemeten sites heen draait 8 procent zichtbaar op een PHP-versie zonder updates. Van de sites die hun PHP-versie prijsgeven, is dat ruim een kwart.
Verschillen per branche
In alle twaalf onderzochte branches draait tussen een vijfde en ruim een derde van de sites verouderde software. De hoogste aandelen meet het bureau bij advocatenkantoren (36 procent), dakdekkers (35 procent), hoveniers en tandartspraktijken (beide 34 procent). Restaurants scoren met 21 procent het laagst. Per branche gaat het om 52 tot 126 sites, met een marge van ongeveer 8 procentpunt. Het bureau geeft zelf aan dat je de uitkomsten als groepen moet lezen en niet als exacte ranglijst.
Einde ondersteuning PHP 8.2
Volgens gegevens van WordPress.org draait 59,6 procent van de WordPress-installaties op PHP 8.2 of ouder. Bureau Imago combineert dat percentage met cijfers van SIDN en W3Techs en komt zo op een schatting van ruim 800.000 Nederlandse WordPress-sites die vanaf 1 januari op PHP zonder updates draaien. Wereldwijd zouden dat er ruim 50 miljoen zijn. Het gaat om afgeronde schattingen en niet om tellingen. WordPress.org telt bovendien ook test- en reserve-installaties mee.
Beveiligingsbedrijf Patchstack meldt dat het aantal gemelde lekken in WordPress-plugins en -thema’s steeg van 1.382 in 2021 naar 11.334 in 2025. Ongeveer de helft van de zware lekken wordt volgens Patchstack binnen een dag na bekendmaking misbruikt.
Methode en beperkingen
Het bureau vroeg per site eenmalig de homepage op en las de PHP-versie uit de serverheader. 72 procent van de sites toont die versie niet. Bij WordPress-sites zijn daarnaast de openbare readme-bestanden opgevraagd van de plugins die de homepage laadt, gemiddeld vier per site. Betaalde plugins en verborgen versies tellen niet mee, waardoor het werkelijke aandeel volgens het bureau hoger ligt. Er is niets getest of aangevallen. Bureau Imago tekent daarbij aan dat verouderde software niet automatisch betekent dat een site kwetsbaar is.
Commercieel belang
Het onderzoek staat niet los van een eigen dienst. Volgens partner Sylvester Bongers voeren grote organisaties updates dezelfde dag door, terwijl sites van kleine ondernemers vaak nog in de staat verkeren waarin ze jaren geleden zijn opgeleverd. Bongers stelt dat het bijhouden van WordPress, plugins, thema’s en PHP bij oudere sites vaak tot problemen leidt. Volgens het bureau gebruiken aanvallers AI om lekken sneller te vinden en te misbruiken. Bongers vindt opnieuw bouwen zonder WordPress voor de meeste ondernemers de betere keuze.
Bureau Imago bracht daarvoor onlangs Resite Now uit. Die dienst zet een bestaande WordPress-site om naar een statische site zonder WordPress, plugins en PHP, met behoud van teksten, foto’s en webadressen. Het bedrijf meldt dat dit met AI in enkele uren gebeurt en dat een medewerker elke pagina controleert voordat die live gaat.
Wil je zelf controleren hoe een WordPress-site ervoor staat, dan vind je achterlopende onderdelen onder Dashboard, Updates. De PHP-versie staat onder Gereedschap, Sitestatus, Info, Server, of in de klantomgeving van de hoster.
