Drupal dicht ernstig beveiligingslek met noodpatch

De makers van het Drupal-platform brengen morgen een additionele noodpatch uit voor een zeer ernstige kwetsbaarheid. Dit lek werd op 28 maart al gepatcht. De update van 28 maart heeft blijkbaar niet alle problemen kunnen verhelpen, aangezien op 25 april een aanvullende noodpatch ter beschikking wordt gesteld.

Iedereen die de patch van 28 maart pas na 10 april heeft geïnstalleerd, moet er volgens deskundigen van uitgaan dat hij is gehackt. Beheerders van een Drupal-website wordt aangeraden om de update die morgen uitkomt, zo snel mogelijk te installeren. Er zou een reëel risico zijn dat websites die niet zijn gepatcht, al binnen enkele uren na het verschijnen van de noodpatch worden aangevallen.

Botnet

Het gaat om een beveiligingslek waarvan kwaadwillenden gebruik kunnen maken om een Drupal-website volledig over te nemen. Onderzoekers van securitybedrijf 360 Netlab wezen er onlangs op dat gehackte Drupal-sites door een botnet worden gebruikt voor DDoS-aanvallen en om cryptovaluta te delven.

Drupal 7.x, 8.4.x en 8.5.x

De noodpatch komt morgen beschikbaar tussen 18:00 en 20:00 uur Nederlandse tijd. Deze update is bedoeld voor Drupal 7.x, 8.4.x en 8.5.x. Ruim een miljoen websites maken gebruik van deze versies van het Drupal-platform. Er is geen database-update nodig voor deze noodpatch. Drupal is een opensource-contentmanagementsysteem en contentmanagementframework voor het beheer van websites en weblogs.

Aanmelden voor onze nieuwsbrief