140.000 webwinkels kwetsbaar door Magento-lek
Een ernstig beveiligingslek in de webwinkelsoftware Magento zorgt ervoor dat 140.000 webwinkels het risico lopen om te worden gehackt, zo waarschuwt het Nederlandse hostingbedrijf Byte. De kwetsbaarheid werd in februari door de ontwikkelaars gepatcht, maar onderzoek van Byte op 14 april laat zien dat 60% van de webwinkels die op Magento draait nog steeds een kwetsbare versie gebruikt. Dat komt neer op 140.000 webwinkels.
Er zijn nog geen aanvallen waargenomen, maar als er een exploit verschijnt verwacht Byte dat alle kwetsbare webwinkels binnen 48 uur zullen worden gehackt. Om webwinkels te helpen is er een website online verschenen die meldt of de webshop kwetsbaar is of niet. Daarnaast krijgen beheerders het advies om de update te installeren. Volgens een medewerker van beveiligingsbedrijf Check Point op Reddit zal het bedrijf volgende week meer details over de kwetsbaarheid openbaar maken, maar geen exploitcode. Wel stelt de werknemer dat het om een zeer ernstig lek gaat.
Volkskrant https://shoplift.byte.nl/scan/www.volkskrant.nl/shop/admin
AD https://shoplift.byte.nl/scan/www.ad.nl/shop/admin
Parool https://shoplift.byte.nl/scan/www.parool.nl/shop/admin
True :) Maar /shop hacken = alle cookies uitlezen. En misschien draait /shop wel op dezelfde servers als hun CMS.
"als er een exploit verschijnt verwacht Byte dat alle kwetsbare webwinkels binnen 48 uur zullen worden gehackt"
Wat een onzin. Kijk eens hoeveel CMS software outdated is met bekende exploits, die nog steeds niet gehackt zijn. Ja, er zal als er een makkelijke exploit is ongetwijfeld misbruik van gemaakt worden, en als niemand patched zullen er uiteindelijk veel sites besmet raken maar alle sites binnen 48 uur, waar haal je het vandaan.
"als er een exploit verschijnt verwacht Byte dat alle kwetsbare webwinkels binnen 48 uur zullen worden gehackt"
Wat een onzin. Kijk eens hoeveel CMS software outdated is met bekende exploits, die nog steeds niet gehackt zijn. Ja, er zal als er een makkelijke exploit is ongetwijfeld misbruik van gemaakt worden, en als niemand patched zullen er uiteindelijk veel sites besmet raken maar alle sites binnen 48 uur, waar haal je het vandaan.
Nog nooit van Drupageddon gehoord zeker? Toen had je ongeveer 7 uur om je Drupal site te patchen en anders was je de klos.
Met automatische scans en aanvallen kunnen hackers zoiets bereiken.
Drupageddon? Wat was uiteindelijk het resultaat? Honderdduizenden gehackte websites? Niets meer van gehoord.
Wat een FUD onzin en angsthazerij. Het feit dat de kans bestaat betekent niet dat het ook gebeurt.
Beter je hoofd erbij houden en rustig patchen dan zo in de paniek te schieten en paniek te zaaien.
Wat ik kwalijk vind is dat in mijn beleving Magento niet echt adequaat gereageerd heeft op het probleem. Ja, er was een patch, maar de enige echt zichtbare vorm van communicatie die ik tegenkwam was 1 twitter berichtje in februari. Die kun je makkelijk missen. Pas deze week, na het bericht van Byte, verschijnt er ineens een melding in de beheerconsole van Magento. Dat had ook in februari kunnen gebeuren natuurlijk - dat valt veel meer op dan een twitterbericht wat makkelijk kan verdwijnen in de hoeveelheid berichten die je via Twitter van Magento krijgt.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
