CMS-Schwachstellen-Monitoring für Drupal, Joomla, PrestaShop und Magento.
Relvato liest, welches CMS deine Site nutzt und wie viel von seiner Version von außen sichtbar ist, und gleicht sie mit bekannten Sicherheitslücken im Kern und mit den Daten des Supportendes ab. Auf der Site musst du nichts installieren.
- ✓Welches CMS die Site nutzt: Drupal, Joomla, PrestaShop oder Magento
- ✓Wie viel von der Version von außen sichtbar ist: das genaue Release, nur die Hauptversion oder nichts
- ✓Genaues Release: jede bekannte Sicherheitslücke im Kern, die es betrifft, mit dem Release, das sie behebt
- ✓Nur die Hauptversion (Drupal ab 8 zeigt nur „Drupal 10“, Magento zeigt „2.4“): die Sicherheitsmeldungen des letzten Jahres für diese Reihe und das Release, auf dem du sein solltest
- ✓Versionen nach ihrem Supportende wie Drupal 7, Joomla 3 und 4 oder Magento 1, immer gemeldet
- ✓Eine Firewall-Sperre wird als „konnte nicht laufen“ gemeldet, nie als sauberes Ergebnis
Ein CMS-Kern mit veröffentlichter Lücke ist eines der ersten Dinge, nach denen Angreifer suchen, und eine Version nach ihrem Supportende bekommt gar keine Sicherheitsupdates mehr: Drupal 7, Joomla 3 und 4 und Magento 1 gehören dazu. Ohne Plugin sagt dir das auf der Site niemand. Relvato schaut von außen und sagt nur, was es wirklich sieht: jede Sicherheitsmeldung mit ihrem Fix, wenn das genaue Release sichtbar ist, und das Release, auf dem du sein solltest, wenn nur die Hauptversion sichtbar ist. Du nutzt WordPress? Dann nimm das Schwachstellen-Monitoring: Es liest deine Plugins, Themes und WordPress selbst von innen.
- Liest deine Startseite so, wie ein Browser sie lädt, und sucht die Spuren, die jedes CMS hinterlässt: das Generator-Tag, die Antwort-Header, die Pfade seiner Skripte und Stylesheets.
- Fragt höchstens eine öffentliche Datei ab, die mit dem CMS ausgeliefert wird, und nur, wenn sie mehr von der Version zeigt: Joomlas /administrator/manifests/files/joomla.xml, /CHANGELOG.txt von Drupal 7 oder Magentos /magento_version. Nur lesende Anfragen, sonst nichts.
- Gleicht die Version mit bekannten Sicherheitslücken im Kern aus OSV.dev, der NVD und dem Joomla! Security Centre ab, und mit den Daten des Supportendes von endoflife.date. Ein genaues Release wird Meldung für Meldung abgeglichen; ist nur die Hauptversion sichtbar, bekommst du das Release, auf dem du sein solltest; ist keine Version sichtbar, die neuesten Releases.
DatenquelleOSV.dev (GitHub Advisory Database, CC BY 4.0, and the Drupal Security Team's database), NVD (National Vulnerability Database), Joomla! Security Centre, endoflife.date
Auf welchen Sites funktioniert er?
Auf Drupal-, Joomla-, PrestaShop- und Magento-Sites (Adobe Commerce), von außen, ohne dass du etwas installierst. Auf einer Site, die keines der vier nutzt, meldet er, dass er nicht zutrifft. WordPress-Sites haben ihren eigenen Schwachstellen-Monitor, der Plugins, Themes und WordPress selbst von innen liest, deshalb wird dieser dort nicht angeboten.
Deckt er meine Module und Erweiterungen ab?
Nein. Drupal-Module, Joomla-Erweiterungen, PrestaShop-Module und Magento-Extensions zeigen ihre Versionen von außen nicht, deshalb deckt dieser Monitor nur den CMS-Kern ab. Halte deine Erweiterungen im Admin-Bereich deines CMS aktuell.
Warum heißt es „stell sicher, dass du auf … bist“ statt „angreifbar“?
Weil oft nur die Hauptversion sichtbar ist. Drupal ab 8 zeigt auf der Seite nur „Drupal 10“, und Magentos /magento_version zeigt nur „2.4“. Daraus kann Relvato ein altes 10.x-Release nicht vom neuesten unterscheiden, also behauptet es nie, die Site sei angreifbar. Stattdessen kommt eine Warnung, zum Beispiel: „3 Sicherheitsmeldungen aus dem letzten Jahr betreffen einige 10.x-Releases – stell sicher, dass du auf 10.6.20 oder neuer bist“. Ist das genaue Release sichtbar (Joomlas Manifest-Datei, die CHANGELOG.txt von Drupal 7), wird jede Meldung, die es betrifft, als Problem gemeldet, mit dem Release, das sie behebt. Ist gar keine Version sichtbar, wie bei PrestaShop ab 1.7, bekommst du einen Hinweis auf die neuesten Releases, ohne Behauptung.
Und Versionen nach ihrem Supportende?
Die werden immer gemeldet, sobald die Version oder die Versionsreihe sichtbar ist, weil sie keine Sicherheitsupdates mehr bekommen: Drupal 7, Joomla 3 und 4, Magento 1, mit der Version, auf die du aktualisieren solltest. Die Daten des Supportendes kommen von endoflife.date; das von Magento 1 (30. Juni 2020) ist fest hinterlegt. PrestaShop steht nicht auf endoflife.date, deshalb sagt Relvato dazu nichts zum Supportende.
Was, wenn meine Firewall Relvato blockiert?
Antwortet die Startseite mit einer Sperre (HTTP 401, 403 oder 429) oder einer Bot-Schutz-Seite, wird der Lauf als „konnte nicht laufen“ gemeldet, nie als sauber. Wird nur die eine CMS-Datei verweigert, geht Relvato nach dem, was die Startseite gezeigt hat. Damit Relvato durchkommt, erlaube seine Anfragen in deiner Firewall.
Woher kommen die Schwachstellendaten?
Von OSV.dev (die GitHub Advisory Database und die Datenbank des Drupal Security Teams), der NVD und dem Joomla! Security Centre, zusammengeführt, wo sie dieselbe Meldung beschreiben, und jeden Tag aktualisiert. Die Daten des Supportendes kommen von endoflife.date. Jeder Fund verlinkt seine Sicherheitsmeldung. Hinweis der NVD (im Original): „This product uses the NVD API but is not endorsed or certified by the NVD.“
Muss ich beweisen, dass mir die Site gehört, und wie oft läuft er?
Ja: Er listet bekannte Lücken in der Software einer Site auf, deshalb läuft er nur auf einer Site, deren Inhaberschaft du mit einem DNS-Eintrag oder einem Meta-Tag bewiesen hast. Er ist in jedem Tarif enthalten, auch im Free-Tarif: In Free startest du ihn selbst oder wöchentlich; ab Pro läuft er jeden Tag.
Schalte diesen Monitor auf Autopilot.
Für immer kostenlos auf einer Website — 100 Läufe im Monat, von dir gestartet oder wöchentlich, ohne Karte. Pro lässt deine Monitore nach jedem Update von selbst neu laufen.