WordPress 7.1.4: moet je je website nu bijwerken?

Even eerlijk vooraf

Stand van 2026-10-30. Dit artikel is gebaseerd op de officiële aankondiging van WordPress.org van 28 oktober 2026. Nieuws over beveiliging verandert: er kunnen aanvullende fixes of nieuwe versies verschijnen. Kijk bij twijfel altijd op WordPress.org zelf.

Twee dingen vooraf. Er is geen reden voor paniek: voor de meeste sites is bijwerken een kwestie van één klik, of het is al automatisch gebeurd. En een update maakt je site niet ineens veilig. Hij dicht de lekken die in deze release staan, niet die in je plugins, je thema of je hosting.

Wat 7.1.4 oplost

WordPress noemt in de aankondiging twaalf beveiligingsproblemen en één certificaat-update. In gewone taal:

• Een zwakte in het updateproces zelf. Tijdens het bijwerken kon die leiden tot remote code execution: iemand van buitenaf die code op je server laat draaien. Gemeld door Umut Bayram.
• Acht meldingen over stored XSS. Onder meer in blok-markup, het Categorieën-blok, de Playlist- en afbeeldingsblokken, de blokken voor paginering van reacties, de Customizer, de Interactivity API, verzoeken om privacygegevens te verwijderen en speciaal opgebouwde gebruikersnamen. Twee daarvan zijn gemeld door Anthropic.
• Een stored denial of service in de Interactivity API. Daarmee kan een pagina onbruikbaar worden gemaakt.
• Niet-gepubliceerde Customizer-wijzigingen konden worden gevonden door bezoekers die niet ingelogd zijn.
• Notities konden worden gelezen door gebruikers met rechten die geen toegang hadden tot het bewerken van het bericht waar de notitie bij hoort.
• Een update van de meegeleverde rootcertificaten, vanwege de intrekking van eMudhra.

Stored XSS betekent dat er kwaadaardige code in je website wordt opgeslagen, die later wordt uitgevoerd in de browser van iemand die de pagina bekijkt. Dat kan een bezoeker zijn, maar ook jij als beheerder terwijl je bent ingelogd. Daarom is het geen lek dat je kunt negeren omdat je site 'alleen een visitekaartje' is.

De aankondiging noemt geen CVE-nummers en geen ernstscores per lek. Ik ga die dus ook niet invullen.

Wie het raakt

Iedereen met een website of webshop op WordPress. Ook een WooCommerce-webshop draait op WordPress, dus die valt hier ook onder.

• Draai je 7.1.x? Dan moet je naar 7.1.4.
• Draai je een oudere hoofdversie? WordPress zet de fixes als service terug naar alle oudere takken die nog beveiligingsfixes krijgen, op dit moment tot en met versie 4.7. Die backports zijn nog in de maak en verschijnen zodra ze klaar zijn. WordPress herinnert er in dezelfde aankondiging aan dat alleen de nieuwste versie actief wordt ondersteund.
• Test je al met de bètaversie van 7.2? WordPress 7.2 Beta 3 bevat alle relevante fixes. De definitieve 7.2 staat gepland voor 8 december.

Draait je site nog op een versie van jaren terug, dan is dit een goed moment om je af te vragen waarom. Vaak is de reden een plugin of thema dat niet meer wordt bijgewerkt en een update blokkeert.

Zo check je je versie

Dit kost je twee minuten:

1. Log in op je WordPress-dashboard (meestal jouwdomein.nl/wp-admin).
2. Ga naar Dashboard → Updates. Staat daar dat je de nieuwste versie hebt en is dat 7.1.4, dan ben je klaar met deze stap.
3. Staat er een update klaar, klik dan op Nu bijwerken (in het Engels: Update Now). Zo omschrijft WordPress het zelf in de aankondiging.
4. Ondersteunt je site automatische achtergrondupdates, dan begint de update vanzelf. Kijk na een dag of dat ook echt gebeurd is.

Een paar praktische punten voordat je klikt:

• Zorg voor een recente back-up. De meeste hostingpartijen maken die dagelijks, maar controleer of dat bij jou zo is.
• Heb je een webshop? Plaats na de update zelf een testbestelling, of loop in elk geval de winkelwagen en de betaalpagina door.
• Kun je niet inloggen of zie je het menu Updates niet? Dan heb je waarschijnlijk geen beheerdersrechten, of beheert je hosting of bouwer de updates. Ga dan door naar de volgende sectie.

Wat je je hosting of bouwer vraagt

Heb je geen toegang, of wil je het niet zelf doen, stuur dan een kort bericht. Hoe concreter je vraagt, hoe concreter het antwoord. Bijvoorbeeld:

• Draait mijn website al op WordPress 7.1.4? Zo nee, wanneer wordt dat gedaan?
• Staan automatische updates voor beveiligingsreleases aan op mijn site?
• Is er vóór de update een back-up gemaakt, en hoe lang worden back-ups bewaard?
• Worden plugins en het thema ook bijgewerkt, en wie controleert daarna of de site nog werkt?

Krijg je geen antwoord, of blijkt niemand verantwoordelijk te zijn? Dan weet je ook iets: je website heeft op dit moment geen beheerder. Dat is het echte probleem, groter dan deze ene update.

Draait je site op WordPress, dan draait hij ook op PHP. Eerder deze maand speelde daar ook een lek. Wat je daarvoor navraagt, staat in mijn stuk over het PHP-lek van oktober 2026. Het is handig om beide vragen in één bericht te stellen.

Wat je beter niet doet

• Wachten tot 7.2 in december. Dat is ruim een maand met bekende, openbaar beschreven lekken op je site.
• Halsoverkop drie extra beveiligingsplugins installeren. Elke plugin is extra code die zelf ook bijgewerkt moet worden. De update van WordPress zelf is de fix voor deze lekken.
• Updaten zonder back-up. Meestal gaat het goed, maar als een oude plugin breekt, wil je terug kunnen.
• Aannemen dat je site na de update veilig is. 7.1.4 dicht deze lekken in WordPress zelf. Verouderde plugins, zwakke wachtwoorden en accounts van oud-medewerkers blijven risico's.
• De releasenotes van iemand anders voor waar aannemen. Lees bij twijfel de aankondiging op WordPress.org zelf.

Zie je nu al vreemde pagina's of een waarschuwing in Google, of kom je zelf niet meer in je site? Dan kan er meer aan de hand zijn dan een ontbrekende update. Wat je dan eerst doet, staat in website gehackt: dit doe je eerst, met de stappen van Google, het NCSC en WordPress.

Wie doet de updates structureel?

WordPress brengt regelmatig beveiligingsreleases uit, en plugins nog veel vaker. Elke keer dezelfde vraag stellen, of het zelf bijhouden, kost tijd. Daarom is het slimmer om één keer vast te leggen wie wat doet: WordPress-updates, plugin-updates, back-ups en de controle daarna.

Dat onderhoud is geen bijzaak in de kosten van een WordPress-site. In wat een WordPress-website écht kost in 2026 reken ik uit wat hosting, plugins, security en onderhoud per jaar optellen. Merk je daarbij dat je site ook traag is, dan helpt het stappenplan voor een trage WordPress-site.

Overweeg je een nieuwe website, vraag dan bij elke offerte expliciet hoe updates en beveiliging na de livegang geregeld zijn, en wat dat per maand kost. Bij een complete bedrijfssite van Klyo bespreken we dat vooraf, zodat je bij het volgende beveiligingsbericht weet wie je moet bellen. Wil je eerst weten hoe je huidige site ervoor staat, draai dan de gratis site-scanner.

Conclusie

• WordPress 7.1.4 verscheen op 28 oktober 2026 en is een beveiligingsrelease; WordPress raadt aan direct bij te werken.
• De update dicht onder meer een lek in het updateproces dat kan leiden tot remote code execution, acht meldingen over stored XSS en een denial of service in de Interactivity API.
• Check je versie via Dashboard → Updates en klik op Nu bijwerken, of kijk of de automatische update al is doorgevoerd.
• Oudere versies krijgen de fixes via backports (tot en met 4.7), maar die zijn nog onderweg en alleen de nieuwste versie wordt actief ondersteund.
• Geen toegang? Vraag je hosting of bouwer of 7.1.4 is doorgevoerd, of automatische updates aanstaan en of er een back-up is.
• Na de update is je site niet automatisch veilig: plugins, thema, PHP en accounts vragen ook onderhoud. Leg vast wie dat doet.

Veelgestelde vragen

Moet ik mijn WordPress-site meteen updaten naar 7.1.4?

Ja, WordPress raadt zelf aan om direct bij te werken omdat 7.1.4 een beveiligingsrelease is. De update verscheen op 28 oktober 2026 en dicht onder meer een lek in het updateproces en meerdere stored XSS-lekken. Maak vooraf een back-up en controleer na afloop of je site nog goed werkt.

Hoe zie ik welke WordPress-versie mijn website gebruikt?

Log in op je dashboard via jouwdomein.nl/wp-admin en ga naar Dashboard → Updates. Daar staat welke versie je draait en of er een update klaarstaat. Zie je dat menu niet, dan heb je geen beheerdersrechten of beheert je hosting of bouwer de updates.

Wordt WordPress 7.1.4 automatisch geïnstalleerd?

Als je site automatische achtergrondupdates ondersteunt, begint de update volgens WordPress vanzelf. Die automatische updates kunnen echter zijn uitgezet door je hosting, een plugin of je bouwer. Controleer daarom een dag later in het dashboard of je echt op 7.1.4 zit.

Ik draai een oudere WordPress-versie, krijg ik deze fixes ook?

WordPress zet de beveiligingsfixes terug naar alle oudere takken die nog fixes krijgen, op dit moment tot en met versie 4.7. Die backports waren bij de aankondiging nog in de maak en verschijnen zodra ze klaar zijn. Alleen de nieuwste versie wordt actief ondersteund, dus bijwerken naar 7.1.4 is de veiligste route.

Is mijn website veilig nadat ik WordPress 7.1.4 heb geïnstalleerd?

Niet automatisch. De update dicht de lekken in WordPress zelf die in deze release genoemd worden. Verouderde plugins en thema's, een oude PHP-versie, zwakke wachtwoorden en ongebruikte beheerdersaccounts blijven aparte risico's die je ook moet bijhouden.

Bronnen

• WordPress 7.1.4 – WordPress News — WordPress.org
• Security — WordPress.org
• Updating WordPress — WordPress.org
• Nationaal Cyber Security Centrum — Nationaal Cyber Security Centrum