WordPress forceert beveiligingsupdate op 5 miljoen WooCommerce-sites
Vanwege een kritieke kwetsbaarheid in WooCommerce heeft WordPress besloten om op meer dan 5 miljoen webwinkels een beveiligingsupdate te installeren. Volgens de ontdekker van het beveiligingslek wordt er actief misbruik van gemaakt. WooCommerce is een plug-in om van WordPress-sites een webwinkel te maken. De plug-in is op meer dan 5 miljoen WordPress-sites geïnstalleerd.
Een kritieke kwetsbaarheid in WooCommerce maakt het mogelijk voor ongeauthenticeerde aanvallers om toegang tot de database van de webwinkel te krijgen. Ook de plug-in WooCommerce Blocks, die op 200.000 websites is geïnstalleerd, bleek kwetsbaar te zijn. De ontwikkelaars van WooCommerce hebben voor beide plug-ins beveiligingsupdates ontwikkeld. Die worden nu door WordPress.org automatisch geïnstalleerd bij alle websites die van de plug-ins gebruikmaken.
Volgens de onderzoeker die de kwetsbaarheid ontdekte wordt er actief misbruik van gemaakt. Verdere details zijn op dit moment nog onbekend. WooCommerce laat in een blogposting weten dat het onderzoek naar het beveiligingslek en of er data van webwinkels is gestolen nog gaande is. Zodra er meer informatie bekend is zal dit worden gedeeld. Securitybedrijf Wordfence meldt dat het vanaf verschillende ip-adressen aanvallen heeft gezien.
Op een dag weet iemand de push request van wordpress.org over te nemen en dan spreken we over een van de grootste cms exploits ooit.
En ik kan niet wachten tot die dag aanbreekt wordt prachtig leedvermaak. Ondertussen blijven wij lekker in de releases de code verwijderen die wordpress.org deze macht geeft. Er komt geen update op onze infrastructuur zonder dat we deze eerst zelf auditten. Hoe gevaarlijk enig lek ook zou zijn er zijn gewoon procedures die gevolgd moeten worden en het loggen ervan.
Inferieure PHP-stack rommel leidt tot dit soort paniekacties als er weer eens iets misgaat. Normaliter is het 'update NU of je bent de klos' maar dat ging blijkbaar niet snel genoeg, zodat men nu als nieuw middel het gedwongen updaten inzet.
- Dat er kan gekeken worden wie-wat heeft gekocht.
- Er kan gekeken worden naar omzet, of er dus een paar extra man op de site gezet moet worden.
- Er kan gekeken worden naar de contactadressen
- Er kan gekeken worden naar de actieve plugins
- Er kan gekeken worden naar kortingen
Goed dat WordPress dit geforceerd heeft, zo worden de meeste mensen beschermd die geen enkel idee hebben wat er allemaal mogelijk is.
Ik heb de updates enkele dagen geleden direct doorgevoerd, na gekeken te hebben of dat goed gaat :)
Zoals de eerste reactie al aangeeft, het kan namelijk verkeerd gaan.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Netwerk Security Engineer
Luchtverkeersleiding Nederland
Als Netwerk Security Engineer ontwerp en optimaliseer je onze technische netwerk- en beveiligingsinfrastructuur. Je stuurt tech-nische veranderingen aan op basis van de gestelde architectuur kaders en helpt mee met de uitvoering ervan. Ben jij een gedreven professional met passie voor netwerk-beveiliging? Dan is deze functie als Netwerk Security Engineer bij Luchtverkeersleiding Nederland (LVNL) iets voor jou!
Lead Network Security Engineer
Luchtverkeersleiding Nederland
Word Lead Network Security Engineer bij LVNL. Ontwerp en implementeer security-oplossingen die de luchtverkeersleidings-systemen veilig houden. Solliciteer nu en draag bij aan onze cyberweerbaarheid! Als Lead Network Security Engineer bij LVNL ben je verantwoordelijk voor het ontwerpen, implementeren en optimaliseren van de netwerkbeveiliging die cruciaal is voor de veilige en efficiënte werking van het luchtverkeersleidingssysteem in Nederland.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?