Recente kwetsbaarheden in Joomla-extensies waarvan bedrijfseigenaren op de hoogte moeten zijn
Als u een Joomla-site beheert, waren de afgelopen maanden een zware periode voor de beveiliging van extensies.
Er zijn onlangs ernstige kwetsbaarheden gemeld in verschillende veelgebruikte Joomla-extensies, en dit zijn alleen degene die de krantenkoppen haalden; er zijn er veel meer. Sommige hiervan waren niet-geauthenticeerd, wat betekent dat een aanvaller geen login of wachtwoord nodig had om ze te misbruiken. Als een van deze bekend klinkt omdat u of uw ontwikkelaar ze jaren geleden heeft geïnstalleerd en er daarna nooit meer naar heeft omgekeken, dan is dat precies het probleem.
Welke extensies waren getroffen
Een paar die u bij naam moet kennen:
- Gridbox
- JCE
- SP Page Builder
- EasyStore
- PageBuilderCK
Dit is verre van een volledige lijst: er worden regelmatig nieuwe kwetsbaarheden in extensies gemeld, en juist daarom is up-to-date blijven belangrijker dan elke afzonderlijke kwetsbaarheid proberen bij te houden.
U kunt de technische details van elk van deze opzoeken in de National Vulnerability Database als u het volledige verslag wilt. Waar wij het hier over willen hebben, is de vraag die er echt toe doet als u geen ontwikkelaar bent: is mijn site getroffen en wat doe ik eraan?
Waarom het patchen van de extensie niet genoeg is
Hier komt het deel dat zelden duidelijk wordt gezegd. Een kwetsbare extensie is maar de helft van het probleem. Veel extensieontwikkelaars brengen nog steeds patches uit voor Joomla 3, wat echt aardig van hen is, omdat Joomla 3 zelf al een tijd geen officiële ondersteuning meer krijgt. Maar juist daar zit het risico verborgen: het patchen van de extensie patcht niet het platform eronder. De kern van Joomla 3 krijgt geen beveiligingsupdates meer van het Joomla-team, dus zelfs met volledig gepatchte extensies blijft de basis zelf blootgesteld aan alles wat er in de kern wordt gevonden.
Dat is de echte risicoversterker: een extensiepatch repareert één deur, maar een niet-ondersteunde kern laat elke andere deur van het huis onbewaakt.
Weet u niet zeker of uw Joomla-site risico loopt?
Wij kunnen uw geïnstalleerde extensies controleren, bevestigen welke versies zijn getroffen en zo nodig veilig patchen of upgraden. Getest en geverifieerd, zonder downtime.
Vraag een gratis site-audit aan
"Maar ik heb beveiligingsregels in mijn .htaccess-bestand"
Dit is een veelvoorkomende misvatting die we direct willen aanpakken. Veel site-eigenaren geloven dat regels op serverniveau in .htaccess, zoals het blokkeren van bepaalde bestandstypen, het beperken van maptoegang en het blokkeren van veelvoorkomende aanvalspatronen, genoeg zijn om hen te beschermen. Ze helpen, maar ze stoppen niet wat deze recente kwetsbaarheden daadwerkelijk misbruiken.
De meeste van deze fouten werken via de applicatie zelf: een formulierinzending, een uploadveld voor bestanden, een functie in het beheerpaneel, iets waarmee de extensie bezoekers of ingelogde gebruikers laat werken. Uw .htaccess-bestand staat vóór de server, niet binnen de applicatielogica, dus het kan niets zien of stoppen dat via een legitiem ogend verzoek naar een legitieme functie binnenkomt. De kwetsbaarheid zit niet in hoe bezoekers uw site bereiken, maar in wat er gebeurt zodra een specifiek stuk code wordt uitgevoerd. Geen enkele serverhardening schrijft die code om.
Daarom is patchen belangrijker dan verdedigende regels. Een patch verhelpt de daadwerkelijke fout. Een .htaccess-regel probeert alleen te raden welke verzoeken gevaarlijk kunnen zijn, en geavanceerde exploits zijn er juist op gebouwd om niet gevaarlijk te lijken.
Wat u echt moet doen
Als u niet weet welke extensies uw site draait of welke versie ze hebben, is dat het eerste dat u moet uitzoeken, voordat u zich zorgen maakt over een specifieke kwetsbaarheid. Daarvoor hebben we een gratis tool gebouwd: JC System Report is een kleine Joomla-extensie die u installeert en eenmalig uitvoert, en die een volledige diagnostische momentopname van uw site genereert, inclusief elke extensie en de versie ervan. Er hoeven geen inloggegevens met iemand te worden gedeeld: u downloadt gewoon het rapport en ziet precies waar u staat.
Als dat rapport laat zien dat u op een oude Joomla 3- of vroege Joomla 4-kern zit, is dat het diepere probleem dat het oplossen waard is, niet alleen de afzonderlijke extensie. Een verouderde kern betekent dat elke toekomstige fix tegen dezelfde muur oploopt als deze.
Vraag een gratis site-audit aan
Upgraden naar Joomla 5 of 6 dicht die kloof voorgoed in plaats van u één extensie tegelijk te laten patchen terwijl de basis blootgesteld blijft.
Klaar om het beveiligingslek voorgoed te dichten?
Wij upgraden uw Joomla-kern en extensies naar de nieuwste veilige versies, volledig getest in staging voordat er iets live gaat. Vaste prijs, zonder downtime.
Vraag een gratis site-audit aan →Veelgestelde vragen