Draait uw bedrijfswebsite op WordPress? Dan is er deze week reden om even te kijken. Het Nationaal Cyber Security Centrum waarschuwt dat een lek in WordPress actief wordt misbruikt. Het gaat om alle versies van 4.7 tot en met 7.1.3, en dat is vrijwel elke WordPress-site die de afgelopen weken niet is bijgewerkt.
Wat er aan de hand is
WordPress bracht op 28 oktober versie 7.1.4 uit, een beveiligingsupdate met meerdere reparaties. De belangrijkste zit in het updateproces zelf. Tijdens het bijwerken ontstaat een kort moment waarin een aanvaller van buitenaf, zonder in te loggen, code op de server kan laten uitvoeren. Lukt dat, dan heeft hij in feite de website in handen.
Op 4 november meldde het NCSC dat aanvallers dit lek al gebruiken. De kans dat het bij een willekeurige site lukt is volgens het NCSC klein, maar de schade is groot als het wel gebeurt. Daarnaast repareert 7.1.4 een aantal lekken waarmee kwaadaardige code in pagina’s kan worden geplaatst.
Waarom dit ook uw bedrijf aangaat
Veel ondernemers zien de website als iets van het reclamebureau, niet als onderdeel van de ICT. Maar een overgenomen website wordt snel een probleem voor het hele bedrijf:
- Bezoekers krijgen een nagemaakte inlogpagina of een besmet bestand te zien, met uw naam erboven.
- Google zet een waarschuwing bij uw site in de zoekresultaten, en dan blijft het verkeer weg.
- Gegevens uit het contactformulier, zoals namen en telefoonnummers, kunnen op straat komen. Dan heeft u ook met de AVG te maken.
- Mail die via de website wordt verstuurd, kan worden misbruikt voor spam, waardoor uw gewone mail vaker in de ongewenste map belandt.
Wat u vandaag kunt doen
- Kijk welke versie u draait. Log in op uw WordPress-beheer. Op het dashboard en onder Updates staat het versienummer. Staat daar 7.1.4 of hoger, dan is dit lek gedicht.
- Werk bij als dat nog niet is gebeurd. Maak eerst een back-up, werk dan de plug-ins en het thema bij, en daarna WordPress zelf. Controleer na afloop of de site er nog goed uitziet en of het contactformulier werkt.
- Vertrouw niet blind op automatische updates. WordPress kan beveiligingsupdates zelf installeren, maar dat staat lang niet overal aan en het gaat ook niet altijd goed. Een update die stilletjes is mislukt, merkt u pas als het te laat is.
- Weet wie verantwoordelijk is. Is de site jaren geleden door een bureau of een kennis gebouwd? Vraag dan na of iemand hem nog bijhoudt. Vaak blijkt van niet.
- Ruim op. Plug-ins en thema’s die u niet gebruikt, zijn extra deuren die open kunnen staan. Wat niet nodig is, kan weg.
Wat als u denkt dat het al mis is
Ziet u onbekende beheerders in WordPress, pagina’s die u niet hebt gemaakt, of meldt een klant dat uw site ergens anders naartoe stuurt? Zet dan niet zelf van alles om, maar laat het eerst onderzoeken. Een snelle reparatie die de oorzaak laat zitten, komt meestal binnen een paar weken terug.
Hoe wij dit aanpakken
Voor websites in ons onderhoud werken wij WordPress, plug-ins en thema’s elke week bij, met eerst een back-up en daarna een controle of alles nog werkt. Bij een lek als dit kijken wij dezelfde dag of de update er staat. Lees meer over website-onderhoud of over hoe wij ICT-beheer voor het MKB regelen.
Weet u niet zeker hoe uw website ervoor staat? Bel 0548-541219 of vraag een gratis consult aan. Wij kijken mee en zeggen eerlijk wat er nodig is.