WordPress-sites aangevallen via zerodaylek in BackupBuddy
Aanvallers maken zeker sinds 26 augustus gebruik van een zerodaylek in de plug-in BackupBuddy voor het aanvallen van WordPress-sites. BackupBuddy is een plug-in voor het beheer van back-ups en maakt het eenvoudig om back-ups lokaal of in de cloud op te slaan.
De optie om back-ups lokaal op te slaan bevat een kwetsbaarheid (CVE-2022-31474) waardoor een ongeauthenticeerde aanvaller elk bestand op de server kan downloaden. Bij de nu waargenomen aanvallen downloaden aanvallers onder andere bestanden zoals wp-config.php, passwd en .accesshash. De informatie in deze bestanden is te gebruiken om de WordPress-site verder te compromitteren. Sinds 2 september is er een update (versie 8.7.5) die het probleem verhelpt.
BackupBuddy claimt dat het sinds 2010 één miljoen WordPress-sites beschermt. Securitybedrijf Wordfence vermoedt dat het aantal actieve installaties rond de 140.000 ligt. Aanvallers maken inmiddels op grote schaal misbruik van de kwetsbaarheid, waarbij Wordfence naar eigen zeggen al zo'n vijf miljoen aanvallen heeft waargenomen. Eigenaren van een gecompromitteerde website wordt aangeraden om hun databasewachtwoord te resetten, alsmede WordPress-salts en andere secrets in wp-config.php.
Precies, hou es op om altijd Wordpress af te zeiken.
Wat een gel..... Het zijn de plugins niet het systeem zelf.
Klaag je ook zo als een Android app lekt en dan zeggen dat Android rotzooi is.
Het zou een commerciële keuze van het Wordpress team kunnen zijn. Die werken ook niet voor de kat zijn viool, dan snap ik als geen ander want dat doe ik zelf ook niet. Met uitzonderingen, maar die staan niet in mijn folder.
Met ophangen van brandblussers, defibrilators en verbandkastjes zou je eigenlijk nooit geld moeten willen verdienen. Dat hoort gewoon standaard in je pakket te zitten, ongeacht of het gratis is of helemaal niet.
Daarbij het niet volledig patchen en updaten maakt van een veilige, veelal gelikt gebouwde site snel een kwetsbare.
Niet een kwestie van CMS an sich maar slechte maintanance procedures.
Mooi gebouwd door developers voor heel wat flappies en later door onkunde knullig de grond in geholpen en dan rijp voor the hall of shame.
luntrus
Wordpress staat en valt met plugins.
Of dat nou een eigen ontwikkelde plugin is of een externe plugin.
Het zou een commerciële keuze van het Wordpress team kunnen zijn. Die werken ook niet voor de kat zijn viool, dan snap ik als geen ander want dat doe ik zelf ook niet. Met uitzonderingen, maar die staan niet in mijn folder.
Met ophangen van brandblussers, defibrilators en verbandkastjes zou je eigenlijk nooit geld moeten willen verdienen. Dat hoort gewoon standaard in je pakket te zitten, ongeacht of het gratis is of helemaal niet.
WordPress migreren is een eitje. Gewoon via SSH van de ene naar de andere plek schieten en dan een search & replace uitvoeren. Er is geen enkele noodzaak tot het gebruik van plugins. Echter is dit net als messen slijpen. Het is een vak en vraagt expertise om tot een goed resultaat te komen. Dat is ook waarom het veelal fout gaat. Het team achter BackupBuddy maakt ook een van de belangrijkste beveiligingsplugins voor WordPress; iThemes Security Pro.
Backups moet je vooral op hostingniveau regelen. Dan heeft de website daar geen extra code voor nodig en hoeft de website niet te vertragen om de backup te maken. Scheelt een berg.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
