1De uitdaging
De afgelopen jaren kwamen er meerdere kritieke Magento-kwetsbaarheden, zoals CosmicSting en SessionReaper. Voor een webshopeigenaar zijn de risico’s concreet:
- Aanvallers kunnen de webshop overnemen of klantaccounts.
- Malware verstopt in externe extensies kan code op de server uitvoeren.
- Frauduleuze ’hack orders’ worden gebruikt om de backend aan te vallen.
- Bots en agressieve crawlers belasten de server en vervuilen de analytics.
Wat er gebeurt na een bekendmaking
Publiceert Adobe of een securityonderzoeker een kritieke kwetsbaarheid, dan begint de klok te lopen. Geautomatiseerde scans volgen snel, en elke ongepatchte webshop is een doelwit. Wat telt, is hoe snel een fix, of een tijdelijke mitigatie, op elke webshop live staat.
2Onze aanpak
We behandelen beveiliging als onderdeel van onderhoud, niet als apart project: monitoren, snel patchen en dichtzetten wat aanvallers het eerst proberen.
Noodpatches
Out-of-band patches voor kritieke kwetsbaarheden, zoals SessionReaper en CosmicSting, uitgerold over klantwebshops.
Mitigatie zonder patch
Is er nog geen officiële patch, zoals bij PolyShell, dan werken we met de hostingpartner aan mitigatie tot er een fix is.
Bescherming tegen hack orders
Een maatwerk module die frauduleuze ’hack orders’ blokkeert die gebruikt worden om de Magento-backend aan te vallen.
Hardening en botcontrole
Tweestapsverificatie, sessielimieten voor de admin, reCAPTCHA op formulieren, HSTS en Cloudflare om bots en agressieve crawlers te filteren.
3Het resultaat
Wordt er een kritieke kwetsbaarheid bekend, dan hoeven onze klanten de advisory niet zelf te lezen. Patches en mitigaties gaan live in het hele portfolio, en na bekendmakingen van malware in externe extensies controleren we de geraakte webshops op gecompromitteerde bestanden.
Het dagelijkse werk, van admin-hardening tot botcontrole, maakt elke webshop een lastiger doelwit voordat de volgende bekendmaking komt.
Ook op onze onderhoudslijst: de EU-herroepingsknop, inmiddels live op meerdere klantwebshops.
?Veelgestelde vragen over Magento-beveiliging
Hoe snel moet een security-patch erop?
Bij kritieke kwetsbaarheden zo snel mogelijk. Geautomatiseerde aanvallen beginnen vaak kort na een openbare bekendmaking.
Wat als er nog geen officiële patch is?
Vaak is er een tijdelijke mitigatie, bijvoorbeeld een kwetsbaar pad blokkeren op serverniveau. Die passen we samen met de hostingpartner toe tot de officiële fix er is.
Wat zijn hack orders?
Orders die door scripts worden geplaatst als eerste stap van een aanval, met als doel rechten te krijgen en bestanden op de server te zetten. We blokkeren ze met een maatwerk module.
Maakt Cloudflare Magento veilig?
Het helpt, door bots en aanvallen te filteren voordat ze de server bereiken. Het vervangt patchen niet, daarom doen we allebei.
