WordPress kwetsbaarheid FunnelKit: 30.000 webshops in gevaar

Beveiligingsbedrijf Sansec waarschuwt dat criminelen actief misbruik maken van een kwetsbaarheid in de WordPress-plugin FunnelKit om creditcardgegevens te stelen van webshops die draaien op WooCommerce. Volgens Security.NL, dat hier op 18 mei 2026 over berichtte, heeft bijna 30.000 webshops de beschikbare beveiligingspatch nog niet geïnstalleerd en loopt daarmee nog steeds risico.

Wat is FunnelKit?

FunnelKit is een plugin die bovenop WooCommerce wordt gebruikt, het populaire hulpmiddel waarmee je een WordPress-website omzet in een webshop. Volgens Security.NL is FunnelKit actief op meer dan 40.000 webshops. Let op: WooCommerce zelf wordt hier niet als kwetsbaar beschreven. Het probleem is specifiek voor FunnelKit.

Hoe werkt de aanval?

Volgens Sansec, zoals geciteerd door Security.NL, stelt de kwetsbaarheid aanvallers in staat om kwaadaardige scripts te injecteren op de betaalpagina van een getroffen webshop. Wanneer een klant zijn of haar creditcardgegevens invult bij het afrekenen, onderschept het script die gegevens en stuurt deze rechtstreeks naar de criminelen. De klant merkt niets ongewoons, en de winkeleigenaar heeft mogelijk geen idee dat dit gebeurt.

Wat is de huidige situatie?

Er is een beveiligingsupdate beschikbaar, FunnelKit versie 3.15.0.3, die de kwetsbaarheid verhelpt. Volgens Security.NL, op basis van cijfers van WordPress.org, hadden meer dan 11.000 webshops de update op het moment van berichtgeving al geïnstalleerd. Dat betekent dat ongeveer 29.000 webshops nog op de kwetsbare versie draaiden en per 18 mei 2026 nog steeds risico liepen.

Gebruik je een WooCommerce-webshop en maak je gebruik van FunnelKit, dan is het controleren van je pluginversie en direct updaten de belangrijkste stap die je nu kunt zetten. Praktische stappen vind je in onze beveiligingschecklist voor kleine ondernemingen en onze gids over kwetsbare WordPress-plugins.

Wat betekent dit voor jouw webshop?

Als jouw webshop gebruikmaakt van FunnelKit, kunnen de betaalgegevens van je klanten gevaar lopen totdat je hebt geüpdatet naar versie 3.15.0.3 of hoger. Op grond van de AVG ben je als verwerkingsverantwoordelijke verplicht om persoonsgegevens, waaronder betaalgegevens, adequaat te beveiligen. Bij een datalek kan er een meldplicht gelden bij de Autoriteit Persoonsgegevens. Al je plugins up-to-date houden is een van de eenvoudigste en meest effectieve manieren om zowel je klanten als je onderneming te beschermen.