Дупка в Magento с оценка 10 влезе в каталога на атакуваните, а срокът за закърпване е три дни

CISA даде на федералните агенции в САЩ три дни да закърпят дупката в Magento. За двата пробива в Windows от същия ден срокът е четиринайсет.

Вписване в каталога значи, че атаките не са теория, а краткият срок показва колко бърза CISA. При тази дупка това се усеща още повече, защото Adobe сама пише, че знае за експлоатация.

За който държи магазин на Magento

Не отлагай за понеделник. Дупка, която не иска вход и стига до изпълнение на код, е най-тежкият вид, който може да сполети онлайн магазин. Нападателят не чука на вратата. Не му трябва нито акаунт, нито действие от твоя страна.

Adobe пуска хотфикс специално за тази уязвимост, отделно от редовните издания. Приложи го, после погледни логовете от последните дни за нещо, което не разпознаваш. Ако магазинът е при доставчик, който го поддържа, питай го днес дали е минал.

На нападателя не му трябва акаунт. Трябва му само незакърпен магазин.

Останалите три

N-central е инструмент, с който доставчици управляват чужди мрежи, и затова всяка дупка в него е по-голяма от себе си. Има и нюанс: на 6 септември N-able пише, че няма потвърдени атаки. Два дни по-късно CISA казва обратното. Това е разлика във времето и в това кой какво е видял, не непременно противоречие.

Двата пробива в Windows искат нападателят вече да е вътре. Те не отварят вратата. Превръщат влезлия гост в собственик на машината, затова са любими като втора стъпка, след като някой е влязъл по друг път.

Редът е ясен: магазинът днес, N-central днес, Windows с месечното обновяване, само че този месец без отлагане.

Визуалът към статията е генериран код-арт, без чужди изображения.