WordPress forceert UpdraftPlus-update op 2,8 miljoen websites
WordPress heeft op 2,8 miljoen websites die gebruikmaken van de UpdraftPlus-plug-in een beveiligingsupdate geïnstalleerd. Via de kwetsbaarheid kan een aanvaller toegang tot databaseback-ups krijgen, die gebruikersnamen en gehashte wachtwoorden kunnen bevatten.
UpdraftPlus is een plug-in voor het maken van back-ups van WordPress-sites naar de cloud. Zo is het mogelijk om direct een back-up in bijvoorbeeld Dropbox of Google Drive op te slaan. Een kwetsbaarheid in de plug-in maakt het mogelijk voor gebruikers met een account, waaronder het allerlaagste subscriber-niveau, om back-ups van de website te downloaden.
De kwetsbaarheid, aangeduid als CVE-2022-0633, werd gevonden door securitybedrijf Jetpack. De ontwikkelaars van UpdraftPlus werden op 14 februari over het probleem ingelicht en kwamen op 16 februari met versie 1.22.3 waarin het probleem is verholpen. Vervolgens werd door WordPress tot "forced auto-updates" besloten.
UpdraftPlus is op meer dan drie miljoen websites geïnstalleerd. Uit cijfers van WordPress blijkt dat zo'n 2,8 miljoen websites de update inmiddels hebben ontvangen. Het komt zelden voor dat WordPress een update geforceerd uitrolt. Vorig jaar deed het dit onder andere voor lekken in een WooCommerce-plug-in en de Jetpack-plug-in.
Dit gaat ver (forced auto-updates) maar ik zie eigenlijk ook geen andere manier om die PHP scriptkiddies bij de les te houden. Het is meestal code and forget bij die lui dus je hoeft er niet echt op te rekenen dat ze zelf updates op tijd installeren (als ze dat überhaupt al zouden kunnen). Soms gaat het uitstellen van patches of er zelfs niet van bewust zijn, ten koste van onze persoonlijke informatie, omdat de boel dan gehackt wordt.
Juist die mentaliteit heeft ervoor gezorgd dat WP-plugins zo'n ramp zijn. Iedereen denkt het beter te weten en schrijft zelf iets nieuws met alle kinderziektes van dien. Vervolgens wordt het vergeten en blijft de code vol lekken circuleren in de community.
Kijk eens naar hoe bijvoorbeeld Drupal dat totaal anders aanpakt. Support vanuit het core team voor een groot aantal plugins die bovendien verifieerbaar goed worden onderhouden. Je kunt ook zien hoeveel gebruikers er zijn en hoeveel bugs er open staan en opgelost zijn.
Juist die mentaliteit heeft ervoor gezorgd dat WP-plugins zo'n ramp zijn. Iedereen denkt het beter te weten en schrijft zelf iets nieuws met alle kinderziektes van dien. Vervolgens wordt het vergeten en blijft de code vol lekken circuleren in de community.
Kijk eens naar hoe bijvoorbeeld Drupal dat totaal anders aanpakt. Support vanuit het core team voor een groot aantal plugins die bovendien verifieerbaar goed worden onderhouden. Je kunt ook zien hoeveel gebruikers er zijn en hoeveel bugs er open staan en opgelost zijn.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
