Backdoor (achterdeur)

De term dekt twee situaties. In de eerste zit de achterdeur er vanaf het begin in: een ongedocumenteerde functie, toegevoegd door de maker of door iemand die zijn distributieketen heeft gekaapt. MITRE rekent dit tot de verborgen functionaliteit (CWE-912). In de tweede, die op websites het vaakst voorkomt, plaatst de aanvaller de achterdeur zelf na een inbraak, zodat hij toegang houdt, ook als het oorspronkelijke lek wordt gedicht. Het MITRE ATT&CK-framework beschrijft dit mechanisme om binnen te blijven onder webshells (T1505.003).

Hoe een backdoor werkt

Een backdoor wacht op een verzoek van zijn maker: een aanroep van een specifiek bestand, een geheime parameter, een bepaalde cookie. Dan voert hij uit wat hij ontvangt, of opent hij een complete interface om door de bestanden te bladeren, de database te bevragen en e-mails te versturen. Hij wil vooral niet gezien worden: een bestandsnaam die op een WordPress-bestand lijkt, versleutelde of gecodeerde code, en alleen actief met het juiste wachtwoord.

Veelvoorkomende vormen op WordPress

• een los PHP-bestand, vaak in wp-content/uploads of tussen de bestanden van de core;
• een paar regels in de functions.php van het thema, in een plugin of in een bestand in wp-content/mu-plugins, een map waarvan de plugins automatisch worden geladen;
• een onopvallend beheerdersaccount, soms verborgen in de lijst met Gebruikers;
• een geplande WP-Cron-taak die de code opnieuw installeert als die verdwijnt;
• een plugin die al bij de bron besmet is: gekraakte kopieën (zie ons artikel over "nulled" thema's en plugins) of, zeldzamer, een gecompromitteerde officiële versie, zoals Rank Math PRO 3.0.123 in oktober 2026.

Dat laatste geval is een supply-chain-aanval: de site heeft niets fout gedaan, hij heeft gewoon een update geïnstalleerd.

Voor WordPress: een backdoor opsporen

Bestanden vergelijken met de originelen is de betrouwbaarste methode. Met WP-CLI:

wp core verify-checksums
wp plugin verify-checksums --all
wp user list --role=administrator --fields=ID,user_login,user_registered
wp cron event list
find wp-content/uploads -name "*.php"

De controle van plugins werkt alleen voor plugins uit de officiële directory; installeer betaalde plugins opnieuw vanaf de site van de maker. Een PHP-bestand in de mediamap is bijna altijd verdacht.

Hoe je je beschermt

• Beperk de schrijfrechten in de mappen van de site, zoals MITRE aanbeveelt, en schakel de bestandseditor uit met DISALLOW_FILE_EDIT.
• Installeer nooit een plugin van twijfelachtige herkomst.
• Ga er na een hack van uit dat er achterdeuren zijn geplaatst: installeer de core en de plugins opnieuw, loop accounts en geplande taken na, en wijzig alle wachtwoorden en de sleutels in wp-config.php.

WP Masquerade Pro helpt sporen te vinden, maar vervangt geen opschoning: de integriteitscontrole van de core meldt gewijzigde bestanden en onbekende PHP-bestanden in wp-admin en wp-includes, en het activiteitenlogboek registreert het aanmaken van accounts en het installeren van plugins. Het herkent geen gecompromitteerde plugin en is geen anti-malwaretool.