---
title: "Plugin: wat het is en wat een WordPress-plugin doet"
description: "Een plugin is een uitbreiding die je aan software zoals WordPress toevoegt om er een nieuwe functie bij te krijgen."
canonical: https://www.keurigonline.nl/begrippenlijst/plugin
last_modified: 2025-12-18
---
[Terug naar begrippenlijst](https://www.keurigonline.nl/begrippenlijst)
# Plugin
Een plugin is een uitbreiding die je aan software zoals WordPress toevoegt om er een nieuwe functie bij te krijgen.
Actueel: [PHP-lek PHP2Shell (session.upload\_progress): status en wat je moet doen](https://www.keurigonline.nl/blog/php-kwetsbaarheid-session-upload-progress)
Een plugin is een stuk software dat je aan een programma toevoegt, zodat het iets kan wat het zelf niet kan. Bij websites gaat het bijna altijd over WordPress: met een plugin krijg je een contactformulier, een webshop zoals WooCommerce of caching met LiteSpeed Cache, zonder zelf te programmeren. De officiële pluginbibliotheek van WordPress telt meer dan 76.000 gratis plugins.
Technisch is een WordPress-plugin een map met PHP-bestanden in wp-content/plugins. Via zogenoemde hooks haakt de plugin in op vrijwel alles wat WordPress doet, van het opbouwen van een pagina tot het opslaan van een bericht. Daardoor draait de code van elke actieve plugin bij elk bezoek mee, met dezelfde rechten als WordPress zelf.
Hoe minder plugins, hoe beter dus. Eén slecht geschreven plugin kan elke paginaweergave seconden kosten, en een lek in één plugin is een lek in je hele site. Volgens Patchstack zat in 2025 91 procent van de 11.334 nieuw gevonden kwetsbaarheden rond WordPress in plugins, tegen maar 6 in WordPress zelf. Extra riskant zijn verlaten plugins die niemand meer bijwerkt. WordPress.org waarschuwt als een plugin niet getest is met de laatste drie grote versies van WordPress, en sluit plugins met een beveiligingsprobleem.
Op je hosting houd je het overzicht in het WordPress-dashboard onder Plugins. Zet automatische updates aan, wat sinds WordPress 5.5 per plugin kan, en verwijder plugins die je niet gebruikt, want ook een uitgeschakelde plugin staat nog op de server. Is je site traag, schakel plugins dan één voor één uit of zoek de boosdoener met de plugin Query Monitor. Kun je door een kapotte plugin niet meer inloggen, hernoem dan in DirectAdmin via Bestandsbeheer de map wp-content/plugins tijdelijk naar plugins-uit.
## Geschiedenis
WordPress kreeg zijn pluginsysteem in versie 1.2 uit mei 2004. De aankondiging beloofde dat plugins voortaan konden inhaken op bijna elke actie van WordPress ([WordPress News](https://wordpress.org/news/2004/05/heres-the-beef/)). Die architectuur met hooks bestaat nog steeds en verklaart waarom er nu tienduizenden plugins zijn.
Belangrijke mijlpalen:
- **2004:** WordPress 1.2 introduceert de nieuwe pluginarchitectuur
- **2018:** WordPress.org waarschuwt voortaan bij plugins die niet getest zijn met de laatste drie grote versies ([Plugin Handbook](https://developer.wordpress.org/plugins/wordpress-org/alerts-and-warnings/))
- **2020:** WordPress 5.5 maakt automatische updates per plugin mogelijk ([WordPress 5.5](https://wordpress.org/news/2020/08/eckstine/))
- **2025:** Patchstack telt 11.334 nieuwe kwetsbaarheden, 91 procent in plugins ([Patchstack](https://patchstack.com/whitepaper/state-of-wordpress-security-in-2026/))
## Bronnen
1. **WordPress.org** - [Plugin Handbook: Introduction to Plugin Development](https://developer.wordpress.org/plugins/intro/)
2. **WordPress.org** - [WordPress Plugins directory](https://wordpress.org/plugins/)
3. **WordPress.org (2018)** - [Plugin Handbook: Alerts and Warnings](https://developer.wordpress.org/plugins/wordpress-org/alerts-and-warnings/)
4. **Patchstack (2026)** - [State of WordPress Security in 2026](https://patchstack.com/whitepaper/state-of-wordpress-security-in-2026/)
5. **Wikipedia** - [WordPress](https://en.wikipedia.org/wiki/WordPress)
## Gerelateerde artikelen
Beveiliging 22 okt 2026
[Het PHP-lek van 21 oktober: wat we deden en waarom we online bleven](https://www.keurigonline.nl/blog/php-lek-terugblik)
In dit artikel blikken we terug. Wat hebben we gedaan, welke keuzes hebben we gemaakt, en waarom hebben we onze servers niet offline gehaald, terwijl andere hosters dat wel deden? Alle updates zoals we ze die dagen publiceerden, staan in [ons eerdere artikel over het lek](https://www.keurigonline.nl/blog/php-kwetsbaarheid-session-upload-progress). Wil je de techniek tot op de configuratieregel, met versies, commando's en hoe je een PHP-build zelf controleert? Lees dan [onze technische deepdive](https://www.keurigonline.nl/blog/php-lek-cve-2026-109618-deepdive).
## Wat er aan de hand was
Het ging om CVE-2026-109618 en CVE-2026-109619. De fouten zitten in de manier waarop PHP uploads verwerkt, in het onderdeel `session.upload_progress`. Dat gebeurt nog voordat de code van een website aan de beurt is. Een plugin of beveiligingsplugin in je site houdt zo'n aanval dus niet tegen\[1\].
De update stond gepland voor woensdag 21 oktober om 16:00 uur. Normaal blijven de details tot dat moment geheim. Dit keer gingen er kort na de aankondiging al technische details en een aanvalstool rond. Wachten tot 16:00 uur was dus geen optie: vóór de update moest er al iets gebeuren.
Blog 21 okt 2026
[PHP-lek PHP2Shell (session.upload\_progress): status en wat je moet doen](https://www.keurigonline.nl/blog/php-kwetsbaarheid-session-upload-progress)
~~Draai je een webwinkel, klantportaal of ander softwarepakket met persoonsgegevens of klantdata? Weeg dan zelf af of je die tot de update van het internet haalt. Het Europese CERT-EU adviseert hetzelfde: overweeg applicaties die vanaf internet bereikbaar zijn af te schermen tot er een fix is\[5\].~~
~~Let op: een onderhoudsmodus in WordPress of een andere plugin beschermt hier niet, want die draait zelf ook op PHP. Scherm je site daarom af voordat PHP aan de beurt is, bijvoorbeeld door in je .htaccess alleen je eigen IP-adres toe te laten. Wil je hulp daarbij? Neem contact met ons op.~~
## Hoe het begon
Op 20 oktober kondigde het PHP-securityteam een beveiligingsrelease aan voor twee kritieke kwetsbaarheden, allebei met een CVSS v4.0-score van 9,2. Online staan ze inmiddels bekend als PHP2Shell. De release verscheen op 21 oktober om 14:00 UTC, 16:00 uur Nederlandse tijd. Welke versies geraakt waren en welke de fix bevatten, publiceerde php.net pas bij de release zelf[\[1\]](https://www.php.net/archive/2026.php#2026-10-20-1).
Hosting 2 sep 2026
[Pakket Start krijgt dezelfde technische mogelijkheden als Plus en Pro](https://www.keurigonline.nl/blog/pakket-start-krijgt-dezelfde-technische-mogelijkheden-als-plus-en-pro)
Daarvoor hebben we [KeurigOnline skills](https://github.com/KeurigOnline/keurigonline-skills) gemaakt: open-source skills voor Claude Code, Codex, Cursor en elke andere agent die het SKILL.md-formaat ondersteunt. Installeren is één commando. Daarna zeg je gewoon: *publiceer dit op mijn KeurigOnline-pakket*.
### Zo werkt het
1. **Installeer de skill.** In Claude Code: `/plugin marketplace add KeurigOnline/keurigonline-skills` gevolgd door `/plugin install keurigonline@keurigonline`. Voor Codex, Cursor en andere agents: `npx skills add KeurigOnline/keurigonline-skills`.
2. **Zeg wat je wilt.** Bijvoorbeeld: "Publiceer deze site op mijn KeurigOnline-pakket. Gebruikersnaam janjansen, server cl08.keurigonline.nl, domein example.nl." Gebruikersnaam en servernaam staan in je welkomstmail.