Adobe rolt laatste Magento 1-beveiligingsupdates uit voor 90.000 webwinkels
Adobe heeft de laatste beveiligingsupdates uitgerold voor webwinkelsoftware Magento 1, wat inhoudt dat meer dan 90.000 tot 99.000 webwinkels geen patches meer zullen ontvangen. Nieuw ontdekte kwetsbaarheden zullen niet meer door het softwarebedrijf worden verholpen. Daardoor lopen webwinkels die van Magento 1 gebruik blijven maken groter risico op aanvallen.
Er zijn twee versies van Magento 1 in omloop, namelijk Magento Commerce en Magento Open Source. Volgens meetwebsite SimilarTech zijn er ruim 99.000 webshops die van Magento 1 gebruikmaken. Built With komt uit op zo'n 90.000 websites. In het verleden zijn kwetsbaarheden in Magento geregeld door criminelen gebruikt om kwaadaardige code aan websites toe te voegen om zo persoons- en creditcardgegevens van klanten te stelen.
Ook de laatste beveiligingsupdates voor Magento Commerce 1 en Magento Open Source 1 verhelpen twee kwetsbaarheden waardoor dit mogelijk is. Het gaat om PHP Object Injection waardoor een aanvaller willekeurige code kan uitvoeren en stored cross-site scripting waarmee een aanvaller gevoelige informatie kan stelen. In het geval van deze twee kwetsbaarheden moet een aanvaller wel al over beheerdersrechten beschikken om er misbruik van te maken.
In april werden webwinkels nog door creditcardmaatschappij Visa op het einde van de ondersteuning van Magento 1 gewezen. Volgens het bedrijf zijn webwinkels die van Magento 1 gebruik blijven maken niet meer compliant met de Payment Card Industry Data Security Standards (PCI DSS), een internationale beveiligingsstandaard waarin wordt omschreven hoe er met betaalkaartgegevens van klanten moet worden omgegaan. Webwinkels die PCI-compliant willen blijven krijgen van Visa het advies om te migreren naar een platform dat nog wel wordt ondersteund met beveiligingsupdates.
TheYOSH
Het bovenstaande geldt zeer zeker voor alle op PHP gebaseerde CMS met Word Press voorop.
Dat geldt ook voor Magento, maar in iets geringere mate ook voor Drupal.
Magento sites kunt u checken op onveiligheid hier: https://www.magereport.com/
Mijn reactie op dergelijk nieuws wordt derhalve zeer eentonig. Wat je ook schrijft, het helpt geen zier. Geen ene moer.
Voor Internet veiligheid is de eindgebruiker of de "Internet-bladeraar" in heel veel gevallen volledig op zichzelf teruggeworpen. "Gebruik Internet veilig en besef vooral dat een ander het niet voor je zal doen.
Zelfs niet je eigen overheid". De goeden zoals Willem de G, Sucuri team leden, JS Foundation niet te na gesproken.
Maar die doen het met een commerciele intentie. Niet om de gemeenschapo belangeloos te helpen,
zoals qualified malware removers e.d., bevlogenen, die hopen op navolging.
Het is net als met dat dropmerk: "Het zou verboden moeten worden".
Maar helaas, pindakaas en tegenwoordig zit die ook nog vol eco-laakbare palmolie".
Gebruik een goede script- en ad-blocker en een url-sanitizer onder alle omstandigheden.
Hou de vizieren gesloten. Ik strijd al veertien jaar voor een betere website security. Nu jullie nog.
Letterlijk duizenden 3rd party cold recon website scans geanalyseerd. Resultaten????
Waardering????? -...... en het wordt je ook nog soms nog niet eens in dank afgenomen.
luntrus
Of zit het toch allemaal iets anders in elkaar.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
