Lek in de NextGen Gallery en Ninja Forms plugins?

Dat lek hebben we voor je gedicht!

Afgelopen week kregen we een alarmerend bericht binnen: er was een kritisch beveiligingslek gevonden in een populaire WordPress plugin, genaamd NextGen Gallery. Omdat deze plugin op ruim 800.000 WordPress sites werd gebruikt, was natuurlijk de kans erg groot dat deze plugin ook op WordPress sites van onze klanten geïnstalleerd was. Even later kwam een soortgelijke waarschuwing binnen voor de Ninja Forms plugin. Tijd voor actie dus!

Wat is de NextGen Gallery plugin, en hoe erg was het lek?

De NextGen Gallery is een populaire WordPress plugin om een fotogallerij te maken en tonen op een WordPress site, en wordt veel gebruikt om foto's en afbeeldingen op een mooie manier te presenteren aan bezoekers. Het gevonden lek gaf hackers en kwaadwillenden de mogelijkheid om bestanden te uploaden naar de WordPress site zonder ingelogd te zijn. Via zo'n geüpload bestand konden ze dan volledige toegang verkrijgen tot de website, en alle data op de website inzien of de website bijvoorbeeld aanpassen. Ook kunnen ze je hostingpakket inzetten voor het versturen van spam en het uitvoeren van aanvallen op het internet. Al met al een serieus lek dus. Meer informatie over dit lek kun je vinden op deze blogpost van WordFence.

We hebben updates voor alle klanten doorgevoerd

Gezien de ernst van het lek, hebben we besloten om snel actie te ondernemen. We hebben op al onze hostingservers een scan uitgevoerd naar alle WordPress sites die een lekke versie van de NextGen plugin geïnstalleerd hadden. Vervolgens hebben we de plugin geüpdatet voor al deze sites, zodat deze sites niet meer kwetsbaar zijn voor het gevonden lek. Zo hebben we voorkomen dat hackers en kwaadwillenden een groot aantal sites zouden kunnen misbruiken.

Ook lek in Ninja Forms plugin gedicht

Nadat we klaar waren met het updaten van NextGen Gallery, kregen we al snel een melding van een ander ernstig lek in een andere plugin, de Ninja Forms plugin. Ook deze plugin hebben we op al onze servers - waar mogelijk - doorgevoerd.

Houd je WordPress sites en plugins up-to-date

Natuurlijk kunnen we niet alle plugins in de gaten houden op gevonden beveiligingslekken. Het is daarom belangrijk dat je je website altijd up-to-date houdt. Niet alleen WordPress zelf, maar dus ook alle gebruikte plugins en thema's die zijn geïnstalleerd. Zet het bijvoorbeeld in je agenda dat je dit elke 1 of 2 maanden doet, of regel met je websitebouwer dat updates regelmatig voor je worden gedaan.