Gisteren werden duizenden Nederlandse websites getroffen door een actief misbruikte PHP-kwetsbaarheid. WordPress-sites stonden bovenaan de lijst: verouderde plugins, PHP-bestanden die van buitenaf werden overschreven, en website-eigenaren die ‘s ochtends wakker werden met een defaced homepage of een site die malware verspreidde naar hun bezoekers.
Het is niet de eerste keer. Het is niet de laatste keer. Maar het is wel een goed moment om serieus te vragen: moet mijn website eigenlijk op WordPress draaien?
Waarom PHP-websites zo kwetsbaar zijn
PHP is een servertaal die al in 1994 werd ontworpen. WordPress — dat er volledig op draait — bouwt daar bovenop met een plugin-architectuur die elke gebruiker in staat stelt om code van derden te installeren. In 2026 zijn er meer dan 60.000 plugins beschikbaar in de officiële repository. Een groot deel daarvan wordt niet meer actief onderhouden.
Het fundamentele probleem: een WordPress-site is een draaiende server-applicatie. Elke PHP-aanvraag voert code uit. Elke verouderde plugin is een potentieel lek. Elke ongepatcht kwetsbaarheid in PHP zelf — zoals die van gisteren — kan worden uitgebuit om bestanden te schrijven, databases te legen of jouw server als springplank te gebruiken voor verdere aanvallen.
De Nederlandse beveiligingsdienst NCSC heeft dit patroon al meerdere keren benoemd: WordPress en PHP zijn verantwoordelijk voor een disproportioneel groot aandeel van alle gehackte Nederlandse websites.
Het echte probleem is architectureel
Je kunt een WordPress-site beveiligen. Wordfence installeren, plugins up-to-date houden, PHP-versie bijhouden, regelmatig backups draaien. Veel hostingpartijen bieden dat standaard aan. En toch gaat het mis — steeds opnieuw.
Dat is geen fout van de eigenaar. Het is een structureel probleem: een dynamische PHP-applicatie heeft een aanvalsoppervlak dat je nooit volledig kunt dichten. Er zijn altijd bestanden die schrijfbaar moeten zijn. Er is altijd een database die van buitenaf bereikbaar is. Er is altijd code van derden die je niet hebt geschreven en niet volledig kunt controleren.
Vergelijk dat met een statische site — gebouwd met Astro of gedeployed via Webflow’s eigen infrastructuur. Er is geen PHP. Er is geen database. Er zijn geen plugins die kwetsbaar kunnen zijn. Er is letterlijk geen aanvalsoppervlak om op in te breken. Een hacker die probeert in te loggen op een WordPress-installatie die er niet is, raakt niets.
Webflow: overstappen zonder technische kennis
Als je een website hebt die je zelf beheert via een CMS — blogposts toevoegen, afbeeldingen aanpassen, pagina’s bijwerken — dan is Webflow de meest directe vervanger voor WordPress.
Je behoudt een volledig visueel CMS. Je kunt nog steeds alles zelf aanpassen zonder code. Maar er draait geen PHP op de server. Webflow host je site op hun eigen CDN-infrastructuur, met automatische SSL en zonder de risico’s die horen bij een zelf-beheerde PHP-installatie.
Wat je wint bij de overstap:
- Geen PHP-kwetsbaarheden — de aanvalslaag bestaat simpelweg niet meer
- Geen plugin-updates die je bij moet houden
- Snellere site — statische bestanden serveren gaat 3–10x sneller dan PHP-gegenereerde pagina’s
- Betere PageSpeed — en daarmee betere Google-ranking
- Professioneler design — Webflow is pixel-for-pixel maakbaar, geen template-compromissen
De prijs: Webflow kost €16–€36 per maand voor hosting. Goedkoper of vergelijkbaar met een managed WordPress-host die probeert je site veilig te houden.
Astro: voor wie maximale controle en performance wil
Voor bedrijven die een langetermijn-investering doen in hun website — en voor wie performance en veiligheid absolute prioriteiten zijn — is Astro de betere keuze.
Astro genereert pure statische HTML. Er is geen runtime, geen database-aanroep, geen PHP. De site bestaat uit bestanden op een CDN. Dat is niet alleen veiliger — het is ook structureel sneller. PageSpeed-scores van 95–100 zijn standaard, niet uitzonderlijk.
Hostingkosten zijn vrijwel nul (Cloudflare Pages, Netlify of Vercel serveren statische bestanden gratis of voor een paar euro per maand). De investering zit in de bouw zelf — maar die doet je eenmalig, en de site die je dan hebt is immuun voor het type aanvallen dat gisteren Nederlandse WordPress-sites platlegde.
Hoe verloopt een overstap in de praktijk?
Een WordPress-site migreren naar Webflow of Astro is geen kleine klus, maar het is ook geen jaren werk. Afhankelijk van de complexiteit van je site geldt ruwweg:
| Type site | Migratietijd | Resultaat |
|---|---|---|
| Eenvoudige brochuresite (5–10 pagina’s) | 1–2 weken | Sneller, veiliger, beter design |
| Site met blog (10–50 posts) | 2–4 weken | Blog in Webflow CMS of Astro content collections |
| Complexe site met formulieren, integraties | 4–8 weken | Maatwerk per functie |
Wat je niet meeneemt: de veiligheidsrisico’s. Wat je wel meeneemt: alle content, alle SEO-waarde (als de URL-structuur klopt), en je eigen beheerrechten.
Is dit het juiste moment?
Na een beveiligingsincident is de drempel om in te grijpen lager dan normaal. De kosten van niets doen zijn net zichtbaar geworden — een gehackte site, downtime, reputatieschade, soms ook GDPR-meldplicht als er klantdata betrokken is.
Maar eigenlijk is het altijd het juiste moment. De vraag “moet ik overstappen van WordPress?” heeft voor de meeste bedrijven al een jaar of twee een duidelijk antwoord: ja. De PHP-hack van gisteren maakt dat antwoord alleen duidelijker.
Ik migreer WordPress-sites naar Webflow en Astro. Bekijk mijn projecten of neem contact op voor een eerste gesprek over jouw situatie.
Lees ook:
