Drupal: Som udgangspunkt er dit website hacket, hvis du ikke patchede hurtigt

Omfanget af hackerangreb på websites, der bruger CMS-systemet Drupal, kan være langt mere omfattende end hidtil antaget ifølge udviklerne bag systemet.

Den 15. oktober kom det frem, at en kritisk SQL-sårbarhed i Drupal gjorde muligt for hackere at få adgang til at køre forespørgsler på databaserne og få adgang til fortrolige oplysninger.

Det udnyttede en hacker blandt andet til at få adgang til en række websites under Mediehuset Ingeniøren, heriblandt Version2.dk og Ing.dk, der begge kører på Drupal.

Det har været sparsomt med udmeldinger fra andre virksomheder, der kører på systemet, men noget tyder dog på, at Mediehuset Ingeniøren ikke er den eneste Drupal-bruger, der er blevet ramt.

Samtlige websites, der ikke patchede systemet inden for syv timer, er som udgangspunkt blevet kompromitteret – også selvom, systemet nu er blevet opdateret. Det oplyser Drupal-holdet.

Det skyldes, at hackerne kan have efterladt bagdøre i koden, som kan udnyttes selv efter opdateringen.

Især brugere, der har installeret deres Drupal-løsning gennem web-hoteller kan være i farezonen, da disse installationer normalt ikke bliver opdateret automatisk, når de først er lagt ind på serveren. Ligeledes kan virksomheder, der selv hoster Drupal-løsningen, være ramt, hvis de har ventet med at installere sikkerhedsopdateringen til efter den 16. oktober klokken et om natten, dansk tid. Kun i de få tilfælde, hvor web-hosten selv har ansvar for at opdatere applikationer som Drupal – og har gjort det i tide – kan man vide sig mere sikker.

Er det ikke tilfældet, bør man enten gå tilbage til en backup fra før den 15. oktober eller installere systemet helt forfra ifølge Drupal-holdet.

Læs advarslen fra Drupal.