Laten we even normaal doen.

Het is natuurlijk goed dat beveiligingsbedrijven zoals Wordfence kwetsbaarheden opsporen en publiceren — dat is hun taak. Maar de toon van het artikel wekt weer de bekende sfeer van paniek en sensatie, zonder dat er ruimte is voor wat gezond verstand.

Ja, er zit een serieus lek in het Alone-theme, en ja, dat moet opgelost worden. Maar we hebben het hier over een betaald niche-thema dat op ongeveer negenduizend websites draait. Dat is in de WordPress-wereld, waarin miljoenen websites draaien, een relatief klein aandeel. Alsof de hele online wereld op springen staat.

Bovendien: dit is een kwetsbaarheid waarvoor al op 16 juni een patch is uitgebracht. Wie nu – op 30 juli – nog niet heeft geüpdatet, is óf niet technisch onderlegd, óf onverschillig over de staat van hun website. En daar zit precies het probleem: het grootste risico is niet de kwetsbaarheid zelf, maar de laksheid van beheerders die updates negeren.

Ook de timing is opvallend: Wordfence maakte op 14 juli de details openbaar, twee weken nadat de patch uit was. Dat is netjes. Maar dan duurt het blijkbaar maar twee dagen voordat de aanvallen beginnen? Dat betekent dus dat kwaadwillenden óók gewoon lezen wat er online staat en vervolgens misbruik maken van mensen die hun updates niet op orde hebben. Het zegt vooral iets over hoe belangrijk het is om gewoon je onderhoud te doen.

Dus nee, dit is geen reden tot paniek. Dit is een reden om je software up-to-date te houden. Niet pas als het in het nieuws komt, maar altijd. Dat is geen “cybersecurity magic”, dat is gewoon normaal beheer. En als je als organisatie te weinig kennis of capaciteit hebt om dat goed te doen, moet je je afvragen of je überhaupt je communicatie via een eigen website moet willen voeren.

Er is een kwetsbaarheid, er is een patch, en er is luiheid. Alleen dat laatste vormt een structureel probleem.

Het volgende probleem blijft voortduren
Diegenen die de beslissingen moeten nemen, patchen niet uit valse zuinigheid.
Dus later zit de uiteindelijke rekening onder in de zak.
Die het wel zien en willen patchen en upgraden, doen er vaak niet toe qua beleid.

14 juli is een stuk meer dan 2 weken na 16 juni. 12 juli (begin van grootschalige exploit) is dan weer twee dagen voor 14 juli (public disclosure).

Ik vind verder de toon van het artikel gewoon feitelijk, zie niet hoe het een FUD-zaaiend artikel is.