Beveiligingsmelding - Backdoor in plugins van Essential Plugin / WP Online Support
Op 7 april 2026 heeft het WordPress.org Plugins Team alle plugins van uitgever Essential Plugin (voorheen WP Online Support) permanent gesloten vanwege een aangetroffen backdoor. Het gaat om meer dan 30 plugins. Gebruik je een van deze plugins op je website? Dan moet je actie ondernemen.
Wat is er aan de hand
In versie 2.6.7 van de plugins is in augustus 2025 een module toegevoegd die contact maakt met een externe server. Deze module is in april 2026 gebruikt om PHP code te injecteren in het wp-config.php bestand van getroffen websites. De geïnjecteerde code serveert verborgen SEO spam aan zoekmachines, zonder dat dit zichtbaar is voor bezoekers of beheerders van de site.
WordPress.org heeft via een geforceerde update naar versie 2.6.9.1 het uitgaande verkeer van de plugin uitgeschakeld. De eventuele injectie in wp-config.php blijft echter staan en moet handmatig opgeruimd worden.
Lijst met getroffen plugins
De slug staat tussen haakjes en komt overeen met de naam van de map onder wp-content/plugins/
- Accordion and Accordion Slider (
accordion-and-accordion-slider) - Album and Image Gallery Plus Lightbox (
album-and-image-gallery-plus-lightbox) - Audio Player with Playlist Ultimate (
audio-player-with-playlist-ultimate) - Blog Designer for Post and Widget (
blog-designer-for-post-and-widget) - Countdown Timer Ultimate (
countdown-timer-ultimate) - Featured Post Creative (
featured-post-creative) - Footer Mega Grid Columns (
footer-mega-grid-columns) - Hero Banner Ultimate (
hero-banner-ultimate) - HTML5 VideoGallery Plus Player (
html5-videogallery-plus-player) - Meta Slider and Carousel with Lightbox (
meta-slider-and-carousel-with-lightbox) - Popup Anything on Click (
popup-anything-on-click) - Portfolio and Projects (
portfolio-and-projects) - Post Category Image with Grid and Slider (
post-category-image-with-grid-and-slider) - Post Grid and Filter Ultimate (
post-grid-and-filter-ultimate) - Preloader for Website (
preloader-for-website) - Product Categories Designs for WooCommerce (
product-categories-designs-for-woocommerce) - Responsive WP FAQ with Category (
sp-faq) - SlidersPack – All in One Image Sliders (
sliderspack-all-in-one-image-sliders) - SP News And Widget (
sp-news-and-widget) - Styles for WP PageNavi – Addon (
styles-for-wp-pagenavi-addon) - Ticker Ultimate (
ticker-ultimate) - Timeline and History Slider (
timeline-and-history-slider) - Woo Product Slider and Carousel with Category (
woo-product-slider-and-carousel-with-category) - WP Blog and Widgets (
wp-blog-and-widgets) - WP Featured Content and Slider (
wp-featured-content-and-slider) - WP Logo Showcase Responsive Slider and Carousel (
wp-logo-showcase-responsive-slider-slider) - WP Responsive Recent Post Slider (
wp-responsive-recent-post-slider) - WP Slick Slider and Image Carousel (
wp-slick-slider-and-image-carousel) - WP Team Showcase and Slider (
wp-team-showcase-and-slider) - WP Testimonial with Widget (
wp-testimonial-with-widget) - WP Trending Post Slider and Widget (
wp-trending-post-slider-and-widget)
Wat te doen
Volg de handleiding Malware verwijderen of laat de Malware professioneel door ons verwijderen;
https://support.hoasted.com/article/457-stappenplan-malware-verwijderen-wordpress
Wat doen wij vanuit Hoasted
We monitoren server side op verdachte uitgaande verbindingen en op aanpassingen aan systeembestanden. Daarnaast blijven wij proactief mails versturen bij het detecteren van een van deze plugins en verwijderen wij de kwaadaardige code die verbinding kan maken met de backdoor.