WordPress-sites aangevallen via zerodaylek in BackupBuddy
Aanvallers maken zeker sinds 26 augustus gebruik van een zerodaylek in de plug-in BackupBuddy voor het aanvallen van WordPress-sites. BackupBuddy is een plug-in voor het beheer van back-ups en maakt het eenvoudig om back-ups lokaal of in de cloud op te slaan.
De optie om back-ups lokaal op te slaan bevat een kwetsbaarheid (CVE-2022-31474) waardoor een ongeauthenticeerde aanvaller elk bestand op de server kan downloaden. Bij de nu waargenomen aanvallen downloaden aanvallers onder andere bestanden zoals wp-config.php, passwd en .accesshash. De informatie in deze bestanden is te gebruiken om de WordPress-site verder te compromitteren. Sinds 2 september is er een update (versie 8.7.5) die het probleem verhelpt.
BackupBuddy claimt dat het sinds 2010 één miljoen WordPress-sites beschermt. Securitybedrijf Wordfence vermoedt dat het aantal actieve installaties rond de 140.000 ligt. Aanvallers maken inmiddels op grote schaal misbruik van de kwetsbaarheid, waarbij Wordfence naar eigen zeggen al zo'n vijf miljoen aanvallen heeft waargenomen. Eigenaren van een gecompromitteerde website wordt aangeraden om hun databasewachtwoord te resetten, alsmede WordPress-salts en andere secrets in wp-config.php.
Precies, hou es op om altijd Wordpress af te zeiken.
Wat een gel..... Het zijn de plugins niet het systeem zelf.
Klaag je ook zo als een Android app lekt en dan zeggen dat Android rotzooi is.
Het zou een commerciële keuze van het Wordpress team kunnen zijn. Die werken ook niet voor de kat zijn viool, dan snap ik als geen ander want dat doe ik zelf ook niet. Met uitzonderingen, maar die staan niet in mijn folder.
Met ophangen van brandblussers, defibrilators en verbandkastjes zou je eigenlijk nooit geld moeten willen verdienen. Dat hoort gewoon standaard in je pakket te zitten, ongeacht of het gratis is of helemaal niet.
Daarbij het niet volledig patchen en updaten maakt van een veilige, veelal gelikt gebouwde site snel een kwetsbare.
Niet een kwestie van CMS an sich maar slechte maintanance procedures.
Mooi gebouwd door developers voor heel wat flappies en later door onkunde knullig de grond in geholpen en dan rijp voor the hall of shame.
luntrus
Wordpress staat en valt met plugins.
Of dat nou een eigen ontwikkelde plugin is of een externe plugin.
Het zou een commerciële keuze van het Wordpress team kunnen zijn. Die werken ook niet voor de kat zijn viool, dan snap ik als geen ander want dat doe ik zelf ook niet. Met uitzonderingen, maar die staan niet in mijn folder.
Met ophangen van brandblussers, defibrilators en verbandkastjes zou je eigenlijk nooit geld moeten willen verdienen. Dat hoort gewoon standaard in je pakket te zitten, ongeacht of het gratis is of helemaal niet.
WordPress migreren is een eitje. Gewoon via SSH van de ene naar de andere plek schieten en dan een search & replace uitvoeren. Er is geen enkele noodzaak tot het gebruik van plugins. Echter is dit net als messen slijpen. Het is een vak en vraagt expertise om tot een goed resultaat te komen. Dat is ook waarom het veelal fout gaat. Het team achter BackupBuddy maakt ook een van de belangrijkste beveiligingsplugins voor WordPress; iThemes Security Pro.
Backups moet je vooral op hostingniveau regelen. Dan heeft de website daar geen extra code voor nodig en hoeft de website niet te vertragen om de backup te maken. Scheelt een berg.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime
Ben jij er klaar voor om de leiding te nemen in het bevorderen van de regionale samen-werking in de strijd tegen gedigitaliseerde criminaliteit en cybercrime? Samen met collega's, politie en regionale en landelijke partners? Dan is de dynamische rol van Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime bij het Regionaal Samenwerkingsverband Integrale Veiligheid (RSIV) jouw op het lijf geschreven!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.