Een lek in de Magento 2-software van Adobe wordt op dit moment actief misbruikt door aanvallers. Slachtoffers moeten echter ook in de spiegel kijken, aangezien een patch al anderhalf jaar beschikbaar is.
Het is niet omdat een kwetsbaarheid een score van 9,8 heeft en dus kritiek is, dat je moet patchen. Dat dachten toch verschillende eigenaars van webshops die draaien op Adobe Magento 2. Die software bleek in februari van 2022 onderhevig aan een bug die aanvallers relatief eenvoudig kunnen uitbuiten tijdens het uitchecken op een webshop. Adobe lanceerde een patch, maar sommige gebruikers negeerden die en krijgen nu het deksel op de neus.
Russische origine
Volgens Akamai viseren criminelen de kwetsbaarheid al sinds het begin van dit jaar. Hackers kunnen vervolgens data zoals betaalstatistieken stelen. Ze installeren ook een webshell en registreren die als een Magneto-component onder de naam GoogleShoppingAds, die er legitiem uitziet. Akamai ziet sporen die sterk suggereren dat de aanvallers uit Rusland komen.
De aanval toont vooral aan hoe moeilijk en belangrijk patchen is. Eigenaars van webwinkels die de kritieke kwetsbaarheid vorig jaar niet hebben aangepakt, krijgen nu met de gevolgen te maken. Aanvallers van hun kant weten dat een kwetsbaarheid ook jaren na de ontdekking nog relevant kan zijn, precies omdat er nog zoveel mensen laks omspringen met hun patch-beleid.