Den 15/10 2014 uppdagades ett allvarligt säkerhetshål i den öppna källkodslösningen Drupal. Säkerhetshålet möjliggjorde injektion av skadlig kod via SQL-kommandon (SQL injection). En säkerhetsuppdatering publicerades i samband med detta (Drupal 7.32).

En kort tid efter att säkerhetshålet blev allmänt känt så startade automatiserade attacker avsedda att utnyttja denna sårbarhet. Attackerna har pågått i tystnad, utan att lämna specifika spår på hackade sidor. Det har skett i sådan stor omfattning att Drupal igår gick ut med separat information om detta:

Drupal Core – Highly Critical – Public Service announcement – PSA-2014-003

Rent konkret innebär detta att alla som kör Drupal och som inte uppgraderade till Drupal 7.32 några timmar efter att den säkerhetsuppdateringen släpptes kan vara hackade utan att de har märkt något. Det enda sättet att vara säker på att man inte är hackad är att återställa en backup från den 15/10 (eller tidigare).

Vi har ett antal kunder hos oss som kör Drupal. Dessa meddelas just nu, via ett särskilt e-postutskick, om detta säkerhetshål. Vi vill göra allt i vår makt för att våra kunders hemsidor inte ska vara/bli hackade.

Säkerställ/återställ Drupal som kund hos oss

Om du inte var väldigt snabb med att uppdatera till Drupal 7.32 eller känner dig osäker på om din hemsida är hackad eller inte, följ då dessa instruktioner för att säkerställa din Drupal-sida hos oss.

1. Återställ din hemsida

Alla kunder med ett webbhotellspaket hos oss kan enkelt återställa en tidigare backup av sin hemsida via FTP. För att göra det, logga in på ditt FTP-konto hos oss och klicka dig in under ”BACKUP” > ”homedir”. Välj där den backup som ligger närmast i tiden till den 15/10 (eller tidigare).

Placera filerna från backupen under mappen ”www” (eller motsvarande mapp, om du har installerat Drupal någon annanstans) i hemkatalogen för ditt FTP-konto. Det kan vara en bra idé att ladda ner hela den tidigare backupen till din dator.

2. Återställ din databas

Vår kundtjänst kan (kostnadsfritt) återställa en tidigare backup av din databas. Skapa ett ärende i vår kundtjänst där du anger vilken databas som ska återställas samt från vilket datum du återställer din hemsida (via FTP). Vi återställer då en backup av databasen från en tid så nära återställningen av din hemsida som möjligt.

Notera att det är rätt så många som kör Drupal hos oss och att det kan ta lite tid att återställa din databas. Det kan även vara viss tidskillnad mellan backuperna av hemsidor och databaser. Återställningarna av dessa databasbackuper har dock hög prioritet hos oss och vi gör vårt yttersta för att ge svar så snabbt som möjligt.

3. Uppgradera din Drupal-sida

Så snart din sida är återställd från en tidigare backup, uppgradera den då direkt till den senaste versionen av Drupal (7.32 i skrivande stund). Instruktioner för detta finns här: Upgrading from previous versions, Drupal.org

Avslutningsvis, om du använder en äldre version av Drupal (6.x) och känner att det är ett för stort projekt att uppgradera till Drupal 7 så kan vi tipsa om vår tidigare guide till hur man flyttar från Drupal till WordPress.

Med WordPress ingår bl a automatiska säkerhetsuppdateringar (av mindre versioner) och WordPress är enklare att uppgradera än Drupal. Med det sagt: Om du kör Drupal och trivs med det, fortsätt så! Vi gillar och använder båda dessa system. 🙂

Om du har några frågor om detta, lämna då gärna en kommentar här nedan eller kontakta vår kundtjänst.