Lekke Open source CMS systemen

Abonnees die content management systemen (cms'en) zoals Joomla en Drupal gebruiken, zorgen voor de nodige hoofdbrekens bij hosting-aanbieders. Een deel van de klanten vergeet namelijk om de security-updates voor de systemen te installeren en veronachtzaamt de beveiliging.

Misbruik

Hosting-aanbieder Digitalus heeft naar eigen zeggen behoorlijke last van de lekken in de applicaties van klanten. Kwaadwillenden kunnen de lekken misbruiken door vanaf de getroffen servers spam te versturen en denial of service (DoS) aanvallen uit te voeren of door er phishing-sites onder te brengen. "Het probleem speelt al langer, maar recent heeft onze abuse-afdeling het erg druk gekregen met het oplossen van alle problemen", vertelt Gerwin Krist van Digitalus.

Oplossingen

Om de problemen het hoofd te bieden, past de provider deze week de php-instellingen op zijn servers aan. "Op een deel van de servers hebben we de veranderingen al doorgevoerd en dat werpt meteen zijn vruchten af. Het installeren van bots en dergelijke is door de aanpassingen zo goed als uitgesloten", aldus Krist.

Ook roept Digitalus klanten via een nieuwsbrief op om de nieuwste versies van applicaties zoals Joomla, Drupal en Mambo te installeren. "Mensen zijn zich vaak niet goed bewust van de risico's die ze lopen als ze een webapplicatie installeren", licht Krist toe.

Gehackt

Bij het Rotterdamse D-Hosting kunnen ze daar over mee praten. Van de klanten van D-Hosting gebruikt 10 tot 20 procent Joomla. Eerder deze maand werd een aantal Joomla-sites bij de provider gehackt, omdat enkele klanten slordig waren geweest met de beveiliging van het cms.

"Joomla is gewoon makkelijk om te draaien voor veel mensen", legt Peter Jonkers van D-Hosting uit. "Ze hoeven niet zelf te programmeren, het is gratis en in een handomdraai geïnstalleerd. Dat spreekt mensen aan, maar vaak hebben ze niet de achtergrond om de veiligheids-issues te snappen."

Open Source Update problematiek

"Als de site eenmaal draait, vergeet de klant bijvoorbeeld om de security-updates op te halen. Het gevolg is dat veel gebruikers een oude versie draaien. Ook gebeurt het dat klanten dat hun installatie niet goed afronden. Vervolgens zitten ze met een probleem."

Het is nodig om de klanten 'op te voeden', meent Jonkers. "Het is een kwestie van er continu achteraan lopen. Als er security-updates zijn voor Joomla, melden we dat. En we zorgen voor goede back-ups voor het geval het misgaat."