De zeer populaire webshopsoftware Magento waarschuwt webwinkels voor een ernstig beveiligingslek waar vorige maand al een patch voor verscheen. Via de kwetsbaarheid kan een ongeauthenticeerde aanvaller kwaadaardige code op de website uitvoeren en zo de webshop overnemen.

Webshops die de beveiligingsupdate nog niet hebben geïnstalleerd wordt aangeraden de patch zo snel als mogelijk te installeren en webwinkels die dit al wel hebben gedaan moeten een aanvullende controle uitvoeren. De kans bestaat namelijk dat aanvallers de webshop al voor de installatie van de update hebben gecompromitteerd.

Op 8 oktober verscheen de "Magento 2.3.3 en 2.2.10 Security Update" die 56 kwetsbaarheden verhelpt in Magento Commerce 2.3.1, Magento Commerce 2.3.2 en niet ondersteunde versies van Page Builder, zoals Page Builder Beta. Eén van de beveiligingslekken is op een schaal van 1 tot en met 10 wat betreft de impact met een 10 beoordeeld. Via dit lek kan een aanvaller op afstand willekeurige code uitvoeren. Hoewel de update al een maand beschikbaar is ziet het Magento Security Team zich genoodzaakt om webwinkels op de patch te wijzen.

De afgelopen maanden wisten criminelen via beveiligingslekken in Magento op duizenden webwinkels kwaadaardige code te plaatsen die creditcardgegevens van klanten stal. Updates voor de aangevallen kwetsbaarheden waren wel beschikbaar, maar niet door de beheerders van de webshops geïnstalleerd. Ook via de in oktober verholpen beveiligingslekken kunnen aanvallers kwaadaardige code toevoegen die creditcardgegevens steelt.

Het alleen installeren van de update is niet voldoende. Webwinkels die dit al hebben gedaan krijgen het advies om de veiligheid van hun website te controleren en te bevestigen dat die niet voor de upgrade is gecompromitteerd. "Het installeren van de hotfix of upgraden beschermt je shop tegen toekomstige aanvallen, maar verhelpt niet de gevolgen van een eerdere aanval", aldus het Magento Security Team.