Joomla är den näst mest använda (efter WordPress) mobilvänlig CMS (web content management system). Dock olik den mest populära utgivna platformen WordPress så har inte Joomla någon automatisk säkerhetsuppdatering som standard. Av den anledningen måste användare uppdatera de utdaterade versionerna själva när uppdateringar släpps. Det nuvarande problemet är att Joomla versionerna som startar från 3.4.4 till 3.6.3 måste uppdateras, anledningen för detta handlar inte om något förebyggande. Syftet med dessa uppdateringar är att lösa sårbarheter med säkerheten, vilket redan äventyrats. Faktum är att attackerna har varit ganska vilda, såhär säger IT-säkerhetsutgivaren Sucuri:
[…] because of the sharp increase [in attacks], it’s our belief that any Joomla! site that has not been updated is most likely already compromised.
De två kritiska sårbarheterna upptäckta förra veckan är följande: CVE.2016-8870, tillåter registreringen på en hemsida trotts att registreringen gjorts otillgänglig – och sedan CVE-2016-8869 som tillåter en attackerare att registrera sig till en hemsida med förhöjda behörigheter. Båda dessa sårbarheter fixas i Joomla senaste version som redan släppts.
Användare som kör versioner mellan 3.4.4 till 3.6.3 måste uppdatera dessa versioner till versionen 3.6.4 så snabbt de kan. Den senaste versionen av Joomla CMS tar bort den gamla koden. Dessutom så lagar det den tredje kritiska sårbarheten CVE-2016-9081. Användare bör ha fått ett e-postmeddelande av Joomla som informerar om släppet av uppdateringen. Om du använder dig av Joomla men inte utfört uppdateringen än, kontrollera då inboxen (inte skräpposten bara då det kan ge större problem) av din e-post efter några meddelanden skickat av Joomla.
Om du lämnar dessa sårbarheter otäppta så kan du riskera följande. Din hemsida kan utsättas för attacker som kan ge fatala konsekvenser på inte bara hemsidan, den kan även användas som ett verktyg till att attackera miljontals andra hemsidor. Din hemsida kan inkluderas in i ett botnet, på så sätt kan virus spridas genom att skicka skräppost eller makabra DDos (Distributed Denial of Services) attacker.
Källor: nakedsecurity.sophos.com, securityweek.com.
