Als de inbreker tot buiten de omgeving van de klant is doorgedrongen is er naast het lek in het CMS nog een lek geëxploiteerd waar de klant geen invloed op kon hebben en dat dus ook niet zijn verantwoordelijkheid kan zijn. Via een bericht op security.nl eerder deze week las ik dat de automatische updatefunctie van Wordpress vereist dat de Wordpress-files eigendom zijn van de user waaronder de webserver draait en door die user overschreven kunnen worden. Zodra je twee of meer Wordpress-sites op dezelfde server plaatst (onder hetzelfde webserver-proces of onder verschillende processen die met dezelfde user draaien) geeft een lek in de ene site de aanvaller toegang tot de andere sites. Wordpress stelt dan ook dat op shared hosts de Wordpress-files geen eigendom van de webserver moeten zijn. Is dit (of iets vergelijkbaars) de situatie? Dan is wat mij betreft de klant verantwoordelijk voor de schade aan zijn eigen site en de provider voor de schade aan de andere sites. De provider heeft dan nog ernstiger ...