Pluginnaam	WordPress-plugin
Type kwetsbaarheid	Databasebeveiligingskwetsbaarheden
CVE-nummer	N/B
Urgentie	Informatief
CVE-publicatiedatum	2026-05-07
Bron-URL	N/B

Dringend: Wat elke WordPress-site-eigenaar moet doen na een nieuw openbaar kwetsbaarheidsrapport

Auteur: WP-Firewall Beveiligingsteam
Datum: 2026-05-07
Trefwoorden: WordPress, beveiliging, kwetsbaarheid, WAF, incidentrespons, verharden

Opmerking: Een recent, handmatig samengesteld kwetsbaarheidsrapport is openbaar gepubliceerd in een bekende WordPress-kwetsbaarheidsdatabase. In deze post leggen we uit wat zo'n rapport betekent voor uw site, hoe aanvallers deze problemen doorgaans misbruiken, en - het belangrijkste - de concrete stappen die u nu moet nemen om uw WordPress-sites te beschermen. Deze richtlijn is geschreven vanuit het perspectief van WP-Firewall, een professionele WordPress-beveiligingsprovider.

Samenvatting

Wanneer er een nieuw kwetsbaarheidsrapport verschijnt in een openbare WordPress-kwetsbaarheidsdatabase, versnelt dit de tijdlijn voor aanvallers en site-eigenaren. Onderzoekers publiceren technische details om verdedigers en leveranciers te informeren, maar aanvallers volgen ook die feeds en ontwikkelen vaak binnen enkele dagen - soms uren - na publicatie exploitcode.

Als u WordPress-sites beheert, beschouw elk dergelijk openbaar rapport als een uitvoerbaar beveiligingsincident totdat het tegendeel is bewezen. Prioriteer de volgende onmiddellijke acties:

• Controleer of uw installaties de getroffen component (plugin/thema/core) en versie gebruiken.
• Als dat zo is, pas dan onmiddellijk de officiële patch of update van de leverancier toe. Als er geen patch beschikbaar is, pas dan tijdelijke mitigaties toe.
• Plaats een Web Application Firewall (WAF) regel voor de getroffen eindpunten - virtueel patchen koopt tijd.
• Voer een gerichte malware- en inbraakscan uit; controleer logs en IOC's.
• Als u vermoedt dat er een compromis is, isoleer de site, draai de inloggegevens en volg de stappen voor incidentrespons.

Deze post legt uit waarom dit belangrijk is, wat aanvallers doen, hoe WP-Firewall helpt, en een praktische checklist om risico's te verminderen. Lees verder voor tactische stappen en advies op lange termijn.

---

Waarom u aandacht moet besteden aan openbare kwetsbaarheidsrapporten

Een openbaar kwetsbaarheidsrapport bevat doorgaans:

• De kwetsbare component (plugin, thema of kernbestand)
• Aangetaste versie bereik
• Kwetsbaarheidstype en ernst (vaak met een CVSS-score)
• Een proof-of-concept (PoC) of reproductiestappen (kan in het begin zijn weggelaten)

Waarom dit belangrijk is:

• Aanvallers gebruiken openbare rapporten om exploit-scripts of geautomatiseerde scanners te schrijven.
• Kwetsbaarheden in veelgeïnstalleerde componenten schalen snel; een enkele exploit kan duizenden sites targeten.
• Niet alle site-eigenaren of hostingproviders passen snel patches toe. Niet-gepatchte sites blijven hooggewaardeerde doelwitten.

Kortom: een openbaar rapport creëert een hoog-risico venster tussen publicatie en universele patching. Jouw taak is om je blootstelling tijdens dat venster te verminderen.

---

Typische kwetsbaarheidsclasses en impact in de echte wereld

Openbare rapporten onthullen vaak een van verschillende klassen van problemen. Het begrijpen ervan helpt bij het prioriteren van mitigaties:

• Remote Code Uitvoering (RCE): Hoogste impact. Een aanvaller voert willekeurige code uit op jouw server. Exploits worden vaak aan elkaar gekoppeld om persistentie en gegevensdiefstal te verkrijgen.
• Geauthenticeerde Privilege Escalatie: Een aanvaller met een laag-privilege account voert admin-niveau acties uit.
• SQL-injectie (SQLi): Aanvallers extraheren database-inhoud of manipuleren gegevens.
• Cross-site scripting (XSS): Kan worden gebruikt om admin-sessies over te nemen of phishing-inhoud te leveren.
• CSRF (Cross-Site Request Forgery): Kan een geauthenticeerde admin dwingen om acties uit te voeren.
• Bestandsupload/Willekeurige Bestandswrite: Leidt tot backdoors of defacements.
• Onbeperkte Bestandsinclusie / LFI/RFI: Kan serverbestanden onthullen of leiden tot RCE.
• SSRF / Open Redirect / Informatieonthulling: Kan interne diensten of gevoelige gegevens blootstellen.

Ernst en exploiteerbaarheid variëren, maar openbare onthulling verhoogt de waarschijnlijkheid van exploitatie. Behandel kritieke of hoog-ernstige problemen als urgent.

---

Hoe aanvallers openbare onthullingen exploiteren - een typische tijdlijn

1. Onderzoeker publiceert een rapport (openbare database of blog van de onderzoeker).
2. Binnen enkele uren: “Proof-of-concept” code kan worden gedeeld in privé-aanvallersgemeenschappen.
3. Binnen 24–72 uur: Geautomatiseerde scanners en exploit-scripts verschijnen.
4. Binnen enkele dagen: Massale exploitatiepogingen treffen het internet, gericht op bekende versie-strings of plugin-slugs.
5. Weken tot maanden later: Persistente botnets en malwarefamilies exploiteren dezelfde vector op niet-gepatchte sites.

Gezien deze tijdlijn moet defensieve actie onmiddellijk en geprioriteerd zijn.

---

Onmiddellijke checklist van 30–60 minuten voor site-eigenaren

Als je leert dat een publieke kwetsbaarheid software beïnvloedt die je gebruikt, doe dan het volgende onmiddellijk:

1. Inventariseer en identificeer de getroffen sites
   • Zoek op alle sites naar de plugin/thema slug en geïnstalleerde versie.
   • Controleer de inventarissen van de opdrachtregel of het beheerdashboard als je meerdere sites onderhoudt.
2. Bevestig blootstelling
   • Als de gerapporteerde getroffen versie jouw versie dekt, behandel de site dan als blootgesteld.
   • Als je het niet zeker weet, ga ervan uit dat het blootgesteld is totdat het tegendeel is bewezen.
3. Maak een noodback-up
   • Maak een snapshot van bestanden en database voordat je wijzigingen aanbrengt (gebruik je hosting-snapshot of WP-back-up).
   • Label de back-up met datum/tijd en de kwetsbaarheidsidentifier.
4. Pas de patch of update van de leverancier onmiddellijk toe (aanbevolen)
   • Geef de voorkeur aan officiële updates. Update de plugin/thema/core eerst op staging als dat mogelijk is, daarna op productie.
   • Als de leverancier een patch heeft uitgebracht, pas deze dan toe.
5. Als er geen patch beschikbaar is, verzacht dan met een (of meer) van:
   • De kwetsbare plugin of thema onmiddellijk uitschakelen.
   • Beperk de toegang tot kwetsbare eindpunten met IP-toegangsbeheer voor beheerderspagina's.
   • Blokkeer exploitpatronen met je WAF (virtuele patching).
   • Verwijder of verhard risicovolle functies (bestandsuploads, admin-ajax eindpunten).
6. Versterk admin toegang
   • Handhaaf sterke wachtwoorden en roteer admin-accounts.
   • Roteer onmiddellijk de inloggegevens voor administratieve gebruikers, FTP, database, API-sleutels als je een exploit vermoedt.
7. Scan op compromitteringsindicatoren.
   • Voer een volledige malware- en integriteitsscan van de site uit.
   • Zoek naar nieuw gewijzigde bestanden, web shells, verdachte cron-invoeren en ongeautoriseerde admin-accounts.
8. Monitorlogboeken
   • Controleer webserverlogs, PHP-FPM-logs en WP-Firewall-logs op verdachte verzoeken rond de tijd dat de kwetsbaarheid werd gepubliceerd.
   • Zoek naar grote POST-verzoeken, ongebruikelijke user-agents en herhaalde pogingen naar specifieke eindpunten.
9. Communiceer
   • Als je klantensites beheert, informeer dan belanghebbenden en toon de stappen die je onderneemt.

Deze stappen kopen tijd en verkleinen je aanvalsvlak terwijl je wacht op een officiële patch of een langdurige oplossing ontwikkelt.

---

Virtuele patching en de rol van een WAF.

Wanneer een patch nog niet beschikbaar is, is een goed afgestelde Web Application Firewall (WAF) een van de beste manieren om live sites te beschermen. Virtuele patching blokkeert exploitpogingen aan de rand zonder de applicatiecode te wijzigen.

Hoe virtuele patching werkt:

• Onderzoekers of WAF-leveranciers creëren handtekeningen die exploitpayloads en kwaadaardige verzoeken detecteren.
• Handtekeningen kunnen gebruik maken van verzoekpaden, parameter namen, specifieke payloadpatronen, headeranomalieën of gebruikspatronen.
• Goede WAF-regels zijn nauwkeurig, minimaliseren valse positieven terwijl ze bekend exploitverkeer blokkeren.

Voorbeeld (conceptueel) ModSecurity-stijl regel om een kwaadaardig bestandsuploadpatroon te blokkeren:

# Blokkeer verdachte PHP-bestandsuploadpogingen naar /wp-content/uploads/"

Opmerking: Test altijd regels voordat je ze breed uitrolt om legitiem verkeer niet te blokkeren.

WP-Firewall biedt:

• Beheerde regelupdates afgestemd op WordPress-aanvalspatronen.
• Onmiddellijke virtuele patching van nieuw onthulde kwetsbaarheden om sites te beschermen terwijl patches worden verspreid.
• Granulaire blokkering opties en toestemmingslijsten om functionaliteit niet te verstoren.

Virtuele patching is geen vervanging voor updates van de leverancier — het is een tijdelijke oplossing om het risico te verminderen tijdens de periode van hoge blootstelling.

---

Hoe effectieve tijdelijke WAF-regels te schrijven (praktische richtlijnen)

Als je zelf WAF-regels beheert, volg dan deze principes:

• Richt je op het minimale aanvalsvlak:
  • Blokkeer specifieke eindpunten of parameter namen die in het openbare rapport worden genoemd.
  • Blokkeer identificeerbare exploit payload patronen in plaats van brede handtekeningen.
• Gebruik toestemmingslijsten voor beheerdersinterfaces:
  • Beperk de toegang tot /wp-admin en /wp-login.php op basis van IP waar zakelijke vereisten dat toelaten.
• Beperk risicovolle eindpunten:
  • Beperk de snelheid van eindpunten zoals inloggen, wachtwoord reset en bestand upload handlers.
• Gebruik positieve beveiligingsregels voor bestand uploads:
  • Sta alleen bekende veilige extensies toe en controleer MIME-type versus extensie mismatches.
• Maak gebruik van gelaagde controles:
  • Combineer pad-, header- en payloadcontroles om valse positieven te verminderen.
• Gebruik logging met hoge gedetailleerdheid voor monitoring:
  • Verzamel logs gedurende enkele uren om het gedrag van de regel te valideren voordat je agressief blokkeert.
• Uitrol- en terugrolplan:
  • Voer wijzigingen eerst uit op een subset van het verkeer en schaal vervolgens op.
  • Houd een gemakkelijke terugrolroute aan in het geval van valse positieven die gebruikers beïnvloeden.

Onthoud: grove regels kunnen legitieme functionaliteit breken. Gebruik staging en geleidelijke uitrol.

---

Verifieer en test leverancierspatches veilig.

Zodra de leverancier een patch vrijgeeft:

• Test de patch in een staging-omgeving met realistisch verkeer en actieve plugins.
• Verifieer of de patch daadwerkelijk de kwetsbaarheid oplost (als een patchopmerking onvoldoende is).
• Voer regressietests uit—functioneel, plugincompatibiliteit en prestaties.
• Rol uit naar productie tijdens lage verkeersvensters indien mogelijk.
• Monitor logs en WAF-metrics na implementatie voor onverwachte veranderingen.

Als de patch niet achterwaarts compatibel is of kritieke functionaliteit breekt, overweeg:

• De leverancier te contacteren voor een hotfix of tijdlijn.
• Virtuele patching te gebruiken terwijl je compatibiliteit onderhandelt.
• Terugrollen naar snapshots van voor de exploit als compromittering is bevestigd.

---

Incidentrespons als u een compromis vermoedt

Als je tekenen van compromittering vindt (onbekende admin-gebruikers, web shells, ongewoon uitgaand verkeer), volg dan deze incidentrespons triage:

1. Isoleren
   • Neem de site offline of serveer een statische onderhoudspagina indien nodig.
   • Beperk de toegang tot admin-gebieden en ontkoppel integraties die mogelijk inloggegevens lekken.
2. Bewijsmateriaal bewaren
   • Bewaar logs en server snapshots voor forensische analyse.
   • Overschrijf logs niet door diensten onnodig opnieuw te starten.
3. Bevatten
   • Draai alle inloggegevens (admin-gebruikers, database, FTP/SFTP, API-sleutels) om.
   • Deactiveer alle plugins/thema's die niet essentieel zijn.
4. Uitroeien
   • Verwijder kwaadaardige bestanden die zijn gedetecteerd; zorg ervoor dat je de persistentiemechanismen zoals cronjobs en backdoors begrijpt.
   • Herinstalleer de WordPress-kern en plugins vanuit vertrouwde bronnen wanneer mogelijk.
5. Herstellen
   • Herstel indien nodig vanaf een schone back-up.
   • Pas patches en verharding toe.
6. Acties na het incident
   • Voer een root cause analysis (RCA) uit.
   • Rapporteer aan belanghebbenden, en als persoonlijke gegevens zijn blootgesteld, volg dan de meldingsverplichtingen bij datalekken die van toepassing zijn op jouw regio.

WP-Firewall kan helpen met containment (WAF-blokkades), detectie (gedetailleerde logs en scanning) en opruiming (malwareverwijderingshulpmiddelen beschikbaar in betaalde plannen).

---

Langdurige verhardingsstappen (bovenop onmiddellijke mitigatie)

Om de veerkracht te vergroten en de kans op toekomstige incidenten te verkleinen, implementeer het volgende:

• Houd een nauwkeurige inventaris bij van alle plugins, thema's en WordPress-versies in jouw omgeving.
• Verwijder ongebruikte plugins en thema's. Deactiveer en verwijder ongebruikte code.
• Handhaaf het principe van de minste privileges:
  • Beperk admin-capabele accounts.
  • Gebruik aangepaste rollen spaarzaam en controleer mogelijkheden.
• Pas updates regelmatig toe:
  • Gebruik een staging-omgeving en geautomatiseerde update-schema's voor kleine releases waar veilig.
• Versterk bestandsmachtigingen:
  • Vermijd wereld-schrijfbare mappen en volg best-practice bestandsbezit.
• Beveilig wp-config.php:
  • Verplaats het uit de webroot wanneer mogelijk; gebruik omgevingsspecifiek geheimenbeheer.
• Schakel bestandsbewerking in wp-admin uit door toe te voegen aan wp-config.php:

<?php;

• Versterk REST en AJAX eindpunten:
  • Vereis capaciteitscontroles en nonces voor acties die gegevens wijzigen.
• Implementeer gecentraliseerde logging en SIEM-integratie:
  • Verzamel toegang- en foutlogs, WAF-logs en PHP-logs voor correlatie.
• Gebruik 2FA voor alle bevoorrechte accounts.
• Beperk inlogpogingen en blokkeer verdachte IP's.
• Blokkeer of beperk XML-RPC tenzij expliciet nodig.

Deze stappen verminderen het aanvalsvlak en maken exploitatie moeilijker, zelfs wanneer er een zero-day verschijnt.

---

Beste praktijken voor ontwikkelaars om kwetsbaarheden te voorkomen

Als je plugins of thema's bouwt, houd je dan aan veilige coderingspraktijken:

• Valideer en saniteer alle invoer (vertrouw nooit op client-side invoer).
• Gebruik capaciteitscontroles voor alle acties die gevoelige gegevens wijzigen of blootstellen.
• Gebruik nonces voor statusveranderende acties die vanuit de browser komen.
• Escape uitvoer correct op basis van context (attribuut, HTML, JS).
• Gebruik voorbereide instructies voor databasequery's — vermijd directe stringconcatenatie in SQL.
• Beperk bestandsbewerkingen en valideer bestandsnamen, extensies en MIME-typen strikt.
• Vermijd eval(), unserialize() van onbetrouwbare gegevens en dynamische inclusies van externe inhoud.
• Implementeer logging voor anomalieën en voeg context toe voor forensische analyse.
• Gebruik geautomatiseerde statische analyse en afhankelijkheidsscanning tijdens CI/CD.
• Pas veilige standaardinstellingen toe en documenteer verwachte toestemmingsmodellen.

Kwetsbaarheden worden vaak geïntroduceerd door kleine vergissingen. Discipline en geautomatiseerd testen verminderen die risico's.

---

Prioriteren van patches: hoe te beslissen wat eerst te repareren

Wanneer meerdere kwetsbaarheden bestaan in plugins en thema's, prioriteer dan op basis van:

• Exploiteerbaarheid: Is de kwetsbaarheid op afstand en zonder authenticatie uit te buiten?
• Impact: Kan het leiden tot RCE, gegevensexfiltratie of privilege-escalatie?
• Blootstelling: Is de kwetsbare component openbaar toegankelijk (bijv. toegankelijke REST-eindpunten)?
• Verspreiding: Hoeveel sites (of bedrijfskritische sites) gebruiken de component?
• Zakelijke impact: Welke gegevens of diensten zouden worden beïnvloed door een compromis?

Begin met niet-geauthenticeerde, hoog-impact kwetsbaarheden in veelgebruikte componenten. Gebruik uw inventaris en CVSS-achtige scoring om te triageren.

---

Monitoring en dreigingsinformatie

Een openbaar kwetsbaarheidsrapport zou hogere monitoring voor meerdere dagen moeten activeren. Aanbevolen monitoringstappen:

• Verhoog de WAF-loggevoeligheid voor de getroffen eindpunten.
• Houd toezicht op verhoogde scans of brute-force pogingen (plotselinge pieken).
• Let op ongebruikelijke uitgaande verbindingen vanaf uw server.
• Stel waarschuwingen in voor het aanmaken van nieuwe beheerdersgebruikers, bestandswijzigingen of wijzigingen in geplande taken.
• Abonneer u op gerenommeerde beveiligingsfeeds en kwetsbaarheidsdatabases (beheerde diensten doen dit vaak voor u).

WP-Firewall integreert dreigingsinformatie feeds en biedt geprioriteerde waarschuwingen voor hoog-risico evenementen.

---

Praktische voorbeelden — hypothetische aanval en mitigatie

Voorbeeld aanvalsscenario:

• Kwetsbare plugin voorbeeld-slider heeft een niet-geauthenticeerde bestand upload kwetsbaarheid in ajax-handler.php.
• Openbaar rapport vermeldt versies ≤ 1.4.2 als kwetsbaar; PoC toont een multipart POST naar /wp-admin/admin-ajax.php?action=upload_slide met een bestand parameter.

Onmiddellijke mitigaties:

• Update voorbeeld-slider naar gepatchte versie.
• Als patch niet beschikbaar is: schakel de plugin of blokkering uit admin-ajax.php?action=upload_slide via WAF-regel.
• Voeg een regel toe om verzoeken met geüploade bestandsnaamextensies zoals .php, .phtml, .phar, of payload-handtekeningen te blokkeren.

Voorbeeld WAF-regel (conceptueel):

# Blokkeer specifieke admin-ajax uploads voor example-slider"

Implementeer dergelijke regels zorgvuldig en test ze.

---

Hoe WP-Firewall helpt — onze praktische mogelijkheden

Als beveiligingsprofessionals die met WordPress-sites werken, is dit hoe we klanten ondersteunen tijdens en na openbare kwetsbaarheidsmeldingen:

• Snelle virtuele patching: We leveren beheerde WAF-regels afgestemd op de exploitpatronen van het openbare rapport, die sites onmiddellijk beschermen.
• Beheerde scanning en detectie: We scannen op indicatoren van compromittering en bieden geprioriteerde herstelstappen.
• Automatische update-aanbevelingen: We identificeren welke sites getroffen versies draaien en bieden begeleide patch-workflows.
• Incidentondersteuning: We bieden procedurele begeleiding voor containment, bewijsbehoud en herstel.
• Prestatie-geoptimaliseerde bescherming: Onze WAF is geconfigureerd om de latentie te minimaliseren terwijl kwaadaardig verkeer wordt geblokkeerd.
• Rapportage en zichtbaarheid: We geven site-eigenaren duidelijke dashboards met aanvalstijdlijnen en geblokkeerde pogingen.

We combineren geautomatiseerde tools met menselijke analyse om luidruchtige valse positieven te vermijden en om uw site functionerend te houden terwijl deze beschermd is.

---

Bescherm je site vandaag — Gratis WP-Firewall Basisplan

Krijg onmiddellijke, beheerde bescherming voor uw WordPress-sites met het Basis (Gratis) plan van WP-Firewall. Het omvat een enterprise-grade beheerde firewall, onbeperkte bandbreedte, een webapplicatiefirewall (WAF), malware-scanning en mitigatie voor OWASP Top 10-risico's — alles wat u nodig heeft om de blootstelling te verminderen tijdens het kritieke venster na een openbare kwetsbaarheidsrapportage. Meld u nu aan en krijg virtuele patching en monitoring voor uw site zonder kosten: https://my.wp-firewall.com/buy/wp-firewall-free-plan/

(Als u automatische malwareverwijdering, IP-blacklist-/whitelist-controles, maandelijkse rapporten of virtuele patching met toegewijde ondersteuning nodig heeft, overweeg dan om te upgraden naar onze Standaard of Pro-plannen.)

---

Post-exploitatie zorgen en langdurige opruiming

Als een aanvaller de kwetsbaarheid heeft misbruikt voordat deze is gepatcht, is de opruiming complexer:

• Identificeer persistentie mechanismen:
  • Web shells, ongeoorloofde geplande taken, gewijzigde thema's/plugins.
• Herbouwen vanuit bekende goede bronnen:
  • Vervang core, plugins en thema's door verse kopieën van vertrouwde repositories.
• Valideer de gegevensintegriteit:
  • Controleer op ongeoorloofde databasewijzigingen (gebruikers, inhoud, bestellingen).
• Overweeg een volledige serverherbouw als je een diepere compromittering vermoedt.
• Voer een grondige controle van toeganglogs uit om de reikwijdte en tijdlijn te bepalen.

Zelfs na opruiming, monitor zorgvuldig gedurende weken — aanvallers proberen vaak dezelfde vectoren opnieuw.

---

Gecoördineerde openbaarmaking en verantwoordelijkheden van leveranciers

Voor auteurs van plugins/thema's en leveranciers zou een openbare openbaarmaking een incidentproces moeten activeren:

• Erken het rapport en geef een ETA voor oplossingen.
• Bied mitigaties en tijdelijke richtlijnen aan als patches vertraging oplopen.
• Publiceer gedetailleerde patchnotities en aanbevolen upgradepaden.
• Meld gebruikers via dashboards, e-mail (als ze zich hebben aangemeld) en kwetsbaarheidsadviezen.
• Als de component niet is gecontroleerd of een geschiedenis van kwetsbaarheden heeft, overweeg dan een beveiligingsreview.

Een snelle en transparante reactie van de leverancier vermindert massale exploitatie en herstelt vertrouwen.

---

Conclusie — behandel openbare kwetsbaarheidsrapporten als urgent

Openbare kwetsbaarheidsrapporten veranderen de balans tussen aanvaller en verdediger binnen enkele uren. Je beste verdediging is voorbereiding: inventaris, snelle updates, virtuele patching, sterke WAF-regels, monitoring en een herhaalbaar incidentresponsplan. Gebruik deze stappen om het risico onmiddellijk te verminderen en je houding in de loop van de tijd te versterken.

Als je meerdere sites beheert of klantomgevingen beheert, zijn gecentraliseerde bescherming en beheerde virtuele patching kosteneffectief — en in veel gevallen het verschil tussen een snelle mitigatie en een lange, pijnlijke herstelperiode.

Het beschermen van WordPress is een continu proces. Blijf waakzaam, houd software up-to-date en maak virtueel patchen onderdeel van je incidentenhandleiding.

---

Als je hulp wilt bij het implementeren van een van de bovenstaande stappen — van snel virtueel patchen tot incidentrespons — kan het WP-Firewall-team beheerde diensten, gedetailleerde herstelplannen en proactieve monitoring bieden. Voor onmiddellijke bescherming op een enkele site biedt ons Basis (Gratis) plan beheerde WAF-bescherming, malware-scanning en mitigatie van OWASP Top 10-risico's: https://my.wp-firewall.com/buy/wp-firewall-free-plan/