Monitorización de vulnerabilidades del CMS para Drupal, Joomla, PrestaShop y Magento.
Relvato lee qué CMS usa tu sitio y cuánto de su versión se ve desde fuera, y la cruza con las vulnerabilidades conocidas del núcleo y con las fechas de fin de soporte. No hay nada que instalar en el sitio.
- ✓Qué CMS usa el sitio: Drupal, Joomla, PrestaShop o Magento
- ✓Cuánto de su versión se ve desde fuera: la versión exacta, solo la versión principal o nada
- ✓Versión exacta: cada vulnerabilidad conocida del núcleo que la afecta, con la versión que la corrige
- ✓Solo la versión principal (Drupal 8 y posteriores muestran solo «Drupal 10», Magento muestra «2.4»): los avisos del último año para esa rama y la versión en la que deberías estar
- ✓Versiones sin soporte, como Drupal 7, Joomla 3 y 4 o Magento 1, siempre señaladas
- ✓Un bloqueo del firewall se indica como «no se pudo ejecutar», nunca como un resultado limpio
Un núcleo de CMS con un fallo publicado es de lo primero que buscan los atacantes, y una versión que ha llegado al fin de su soporte ya no recibe ninguna corrección de seguridad: Drupal 7, Joomla 3 y 4 y Magento 1 están en ese caso. Sin un plugin, nada en el sitio te lo dice. Relvato mira desde fuera y dice solo lo que de verdad ve: cada aviso con su corrección cuando se ve la versión exacta, y la versión en la que deberías estar cuando solo se ve la versión principal. ¿Usas WordPress? Usa la monitorización de vulnerabilidades: lee tus plugins, temas y el propio WordPress desde dentro.
- Lee tu página de inicio como la carga el navegador de un visitante, buscando las señales que deja cada CMS: su etiqueta generator, sus cabeceras de respuesta, las rutas de sus scripts y estilos.
- Pide como mucho un archivo público que viene con el CMS, y solo cuando mostraría más de la versión: /administrator/manifests/files/joomla.xml en Joomla, /CHANGELOG.txt en Drupal 7 o /magento_version en Magento. Solo peticiones de lectura, nada más.
- Cruza la versión con las vulnerabilidades conocidas del núcleo de OSV.dev, la NVD y el Joomla! Security Centre, y con las fechas de fin de soporte de endoflife.date. Una versión exacta se cruza aviso por aviso; si solo se ve la versión principal, recibes la versión en la que deberías estar; si no se ve ninguna, las últimas versiones.
Fuente de datosOSV.dev (GitHub Advisory Database, CC BY 4.0, and the Drupal Security Team's database), NVD (National Vulnerability Database), Joomla! Security Centre, endoflife.date
¿En qué sitios funciona?
En sitios Drupal, Joomla, PrestaShop y Magento (Adobe Commerce), desde fuera, sin instalar nada. En un sitio que no es ninguno de los cuatro, indica que no aplica. Los sitios WordPress tienen su propio monitor de vulnerabilidades, que lee plugins, temas y el propio WordPress desde dentro, así que este no se ofrece ahí.
¿Cubre mis módulos y extensiones?
No. Los módulos de Drupal, las extensiones de Joomla, los módulos de PrestaShop y las extensiones de Magento no muestran su versión desde fuera, así que este monitor cubre solo el núcleo del CMS. Mantén tus extensiones al día desde la administración de tu CMS.
¿Por qué dice «asegúrate de estar en» en vez de «vulnerable»?
Porque a menudo solo se ve la versión principal. Drupal 8 y posteriores muestran solo «Drupal 10» en la página, y /magento_version de Magento muestra solo «2.4». Con eso, Relvato no puede distinguir una versión 10.x antigua de la más reciente, así que nunca dice que el sitio es vulnerable. Da en cambio un aviso, por ejemplo: «3 avisos del último año afectan a algunas versiones 10.x: asegúrate de estar en la 10.6.20 o posterior». Cuando se ve la versión exacta (el archivo de manifiesto de Joomla, el CHANGELOG.txt de Drupal 7), cada aviso que la afecta se indica como un problema, con la versión que lo corrige. Cuando no se ve ninguna versión, como en PrestaShop 1.7 y posteriores, recibes un recordatorio con las últimas versiones, sin afirmar nada.
¿Y las versiones que han llegado al fin de su soporte?
Se señalan siempre que se vea la versión o la rama, porque ya no reciben correcciones de seguridad: Drupal 7, Joomla 3 y 4, Magento 1, con la versión a la que actualizar. Las fechas de fin de soporte vienen de endoflife.date; la de Magento 1 (30 de junio de 2020) está incluida. PrestaShop no está en endoflife.date, así que Relvato no afirma nada sobre su fin de soporte.
¿Y si mi firewall bloquea a Relvato?
Si la página de inicio responde con un bloqueo (HTTP 401, 403 o 429) o una página de protección contra bots, la ejecución se indica como «no se pudo ejecutar», nunca como limpia. Si solo se rechaza el archivo del CMS, Relvato se basa en lo que mostró la página de inicio. Para dejar pasar a Relvato, permite sus peticiones en tu firewall.
¿De dónde salen los datos de vulnerabilidades?
De OSV.dev (la GitHub Advisory Database y la base de datos del Drupal Security Team), la NVD y el Joomla! Security Centre, unidos donde describen el mismo aviso y actualizados cada día. Las fechas de fin de soporte vienen de endoflife.date. Cada hallazgo enlaza a su aviso. Aviso de la NVD (en el original): «This product uses the NVD API but is not endorsed or certified by the NVD.»
¿Tengo que demostrar que el sitio es mío, y cada cuánto se ejecuta?
Sí: enumera fallos conocidos del software de un sitio, así que solo se ejecuta en un sitio cuya propiedad has demostrado, con un registro DNS o una etiqueta meta. Está en todos los planes, Free incluido: en Free lo ejecutas tú o cada semana; desde Pro se ejecuta cada día.
Pon este monitor en piloto automático.
Gratis para siempre en un sitio — 100 ejecuciones al mes, lanzadas por ti o cada semana, sin tarjeta. Pro vuelve a ejecutar tus monitores solo tras cada actualización.