Op vrijdagavond ruimen de meeste mensen hun bureau op. Wij brachten de avond en een deel van de nacht door met het bijwerken van alle websites van onze klanten. Drie nachten later deden we het opnieuw, op serverniveau, deze keer rond drie uur ’s nachts.
Twee kritieke lekken in vier dagen. Geen enkele klant hoefde er een vinger voor uit te steken. De meesten vernamen het pas toen ze maandagochtend ons interventierapport lazen.
Wat er vrijdag gebeurde
Er werd een kwetsbaarheid in de kern van WordPress openbaar gemaakt. Niet in een obscure plug-in die zes jaar geleden werd gedownload: in WordPress zelf, bij een standaardinstallatie.
Het lek, wp2shell gedoopt, laat een onbekende toe om zonder account en zonder wachtwoord code uit te voeren op uw server, door enkele verzoeken te versturen. Van daaruit leest hij uw database, haalt hij uw contacten binnen, installeert hij een achterdeur en wacht hij rustig af.
WordPress draait wereldwijd op zowat 500 miljoen websites. Zo’n kritiek lek in de kern, zonder enige voorwaarde vooraf, zien we hooguit eens om de vijf of zes jaar.
WordPress heeft wel geprobeerd de automatische update op alle sites af te dwingen. Het probleem, en dat is de paradox van het verhaal, is dat die geforceerde update geruisloos mislukt op degelijk gebouwde professionele installaties: installaties met versiebeheer, installaties met vergrendelde bestandsrechten, installaties waarvan de automatische updates bewust uitgeschakeld werden om te vermijden dat een patch op zondag een site in productie breekt.
Met andere woorden: hoe professioneler uw site gebouwd is, hoe minder het automatische vangnet u beschermt. Er moet iemand achter staan.
Wat er vannacht gebeurde
Hetzelfde liedje, maar een verdieping lager. Deze keer treft het lek NGINX, de webserver die de pagina’s aflevert voor het overgrote deel van onze hostingomgevingen. Kriticiteitsscore: 9,2 op 10.
In het beste geval gaat de site plat. In het slechtste geval neemt een aanvaller de server over. En de getroffen versies gaan terug tot 2011, wat betekent dat zowat iedereen blootgesteld was.
De onderzoeker die het lek ontdekte, publiceert zijn aanvalscode over drie weken. De race is begonnen: tussen het moment waarop een patch uitkomt en het moment waarop de geautomatiseerde aanvallen starten, zitten vandaag nog maar enkele dagen. Soms enkele uren.
Onze servers zijn vannacht naar een gepatchte versie overgeschakeld. Niet tijdens het volgende onderhoudsvenster. Vannacht.
Het is een dienst die wij al onze klanten aanbieden.
Waarom het niet beter wordt
In twee maanden tijd werden in NGINX drie kritieke lekken van hetzelfde type gevonden. Een groot lek in de kern van WordPress, iets wat al jaren niet meer gebeurd was. Dat ritme is geen toeval.
Artificiële intelligentie is gevreesd goed geworden in één welbepaalde oefening: miljoenen regels code lezen en daarin opsporen wat niet klopt. Een audit waar een expert vroeger drie weken over deed, gebeurt vandaag in één nacht. Dat is uitstekend nieuws voor beveiligingsonderzoekers. Het is precies hetzelfde uitstekende nieuws voor aanvallers, die dezelfde tools gebruiken.
Twee heel concrete gevolgen voor de komende maanden. Het aantal kritieke lekken zal toenemen, ook in software die we al vijftien jaar solide waanden. En de tijd tot grootschalig misbruik zal nog verder krimpen.
Maandelijks onderhoud heeft in die context geen zin meer. Wekelijks evenmin. Wat een site vandaag beschermt, is een team dat de beveiligingsmeldingen continu opvolgt, in dertig seconden weet welke servers getroffen zijn, en de toestemming en de competenties heeft om om drie uur ’s nachts in te grijpen in een productieomgeving.
Wat u echt riskeert
Het argument duikt vaak op: “mijn site is een uithangbord, er valt niets te stelen”. Dat is een inschattingsfout.
Een gehackte site dient bijna nooit om uw bedrijf rechtstreeks aan te vallen. Hij dient om oplichtingspagina’s te hosten onder uw domeinnaam, om spam te versturen vanaf uw adres, om uw bezoekers naar iets anders door te sturen. Resultaat: uw domein wordt door Google als gevaarlijk gemarkeerd, uw commerciële mails belanden in de spam bij uw eigen klanten, en daarna duurt het weken om de situatie recht te trekken.
En dan is er het datalek. Uw database bevat uw abonnees, uw contactformulieren, soms cv’s of offertes. Onder de AVG hebt u 72 uur om de Gegevensbeschermingsautoriteit op de hoogte te brengen. Maar niet de boete doet het meeste pijn. Wel de mail die u aan uw klanten moet schrijven om hen te melden dat hun gegevens op straat liggen.
Een reputatie bouwt u op in twintig jaar en verliest u in één weekend.
Dat is het echte vak van een hostingprovider
Wij verkopen geen schijfruimte. Die verkoopt iedereen voor vier euro per maand, en voor die prijs staat niemand ’s nachts voor u op.
Wat wij verkopen, is een team dat op vrijdagavond de beveiligingsmeldingen leest. Dat de exacte inventaris kent van wat er op elke server draait, zonder te moeten gaan kijken. Dat een patch test voordat het die in productie zet, omdat een blind toegepaste patch een site net zo zeker kan breken als een aanval. En dat bereid is een nacht op te offeren wanneer de situatie het vereist.
Vijfentwintig jaar hosting van pers- en mediasites heeft ons één eenvoudig ding geleerd: beveiliging is geen product dat u eenmalig koopt. Het is menselijke tijd, continu betaald, van mensen die weten waar ze naar kijken. Naarmate AI het ontdekken van lekken versnelt, wordt die menselijke tijd het meest bepalende onderdeel van hosting. En het enige dat niet te automatiseren valt.
Weet u niet wie uw sites dit weekend heeft bijgewerkt, dan is de kans groot dat niemand het gedaan heeft.
We bekijken het samen met u
Wij bieden een gratis audit van uw huidige installatie aan: de versies die werkelijk in gebruik zijn, de mate van blootstelling, eventuele sporen van een inbraak, en wat er prioritair moet gebeuren. Vrijblijvend, en ook als u bij uw huidige dienstverlener blijft.
Schrijf ons op info@artwhere.eu of bel +32 475 29 31 46.
Veelgestelde vragen
Hoe weet ik of mijn site getroffen is? Controleer uw WordPress-versie via Dashboard, Updates. Is die lager dan 7.0.2 of 6.9.5, dan bent u blootgesteld. Ga er niet van uit dat de automatische update gelukt is: in veel gevallen mislukt die geruisloos.
Ik heb een firewall, volstaat dat? Nee. Een firewall verkleint het risico zolang u nog niet gepatcht hebt, maar herstelt de kwetsbare code niet. Het is een pleister voor enkele uren, geen oplossing.
Mijn site draaide het hele weekend op een kwetsbare versie. Wat nu? Bijwerken en daarna controleren. Een site die al gehackt is, blijft gehackt na de patch: u moet de beheerdersaccounts, de kernbestanden van WordPress en de geplande taken controleren. Die controle is niet optioneel.
Ik ben geen klant van ArtWhere, kunt u mij toch helpen? Ja. We beginnen altijd met een audit van de bestaande situatie, en we zeggen u eerlijk of een overname al dan niet verantwoord is.
Neem contact op
ArtWhere, digitale innovatie