Kritieke kwetsbaarheden in modified eCommerce Shopsoftware – Beveiligingsupdate van 12 november 2026
Beheerders van de modified eCommerce Shopsoftware moeten nu handelen: voor de uitgebrachte shopversies is een uitgebreide beveiligingsupdate beschikbaar gesteld. Ook oudere installaties zijn getroffen. Wie zijn webshop blijft runnen zonder de bijbehorende correcties, stelt zichzelf bloot aan vermijdbare veiligheidsrisico's.
De beveiligingspatch van 12 november 2026 dicht meerdere kwetsbaarheden in de shopsoftware. Dit betreft in het bijzonder onvoldoende beschermde uitvoer van klant- en bestelgegevens, verbeteringen in de bescherming tegen Cross-Site Scripting (XSS), evenals het beveiligen van exportbestanden en administratieve functies.
Onder bepaalde omstandigheden kunnen dergelijke kwetsbaarheden ertoe leiden dat gemanipuleerde inhoud wordt uitgevoerd in de browser van een ingelogde shopbeheerder of dat ongewenste bestandsbewerkingen mogelijk worden. Wij raden daarom ten zeerste aan om de beveiligingscorrecties op korte termijn te laten doorvoeren.
Ons advies
Controleer onmiddellijk uw gebruikte modified-shopversie en laat de bijbehorende beveiligingspatch installeren. Voorafgaand aan de installatie moeten bestaande shopbestanden worden geback-uped en individueel aangepaste bestanden zorgvuldig worden vergeleken. Een actuele PHP-stand op zich verhelpt deze kwetsbaarheden van de shopsoftware niet.
Welke beveiligingsgaten worden gedicht?
De patch bestaat niet uit één enkele kleine wijziging. Het bundelt correcties voor verschillende beveilingsrelevante gebieden. De volgende punten zijn bijzonder belangrijk:
| Betrokken gebied | Mogelijk risico | Beschermingsmaatregel |
|---|---|---|
| Klant- en bestelgegevens | Geïnjecteerde inhoud kan in bepaalde weergaven als actieve code worden geïnterpreteerd (Stored XSS). | Veilige uitvoer van namen, adressen, opmerkingen en overige klantgegevens. |
| XSS-filter en IP-bescherming | Gemanipuleerde invoer en doorgestuurde IP-informatie kunnen eerdere beveiligingsmechanismen omzeilen of beïnvloeden. | Verbeterde herkenning van actieve inhoud en betrouwbare proxyconfiguratie. |
| Exportfuncties | Ongeoorloofde bestandsnamen, padvermeldingen of bestandskoppelingen kunnen leiden tot ongewenste schrijfhandelingen. | Striktere controle van exportbestandsnamen, bestandsextensies en bestandsdoelen. |
| Administratieve bestandsbeheerder | In bepaalde situaties kunnen van buitenaf geactiveerde aanvragen bestandsbewerkingen initiëren. | Extra CSRF-tokencontroles voor betreffende bestandsbeheerderfuncties. |
Waarom is de XSS-problematiek bijzonder ernstig?
Bij een zogenaamde Stored-XSS-aanval wordt gemanipuleerde inhoud eerst opgeslagen, bijvoorbeeld in een klantveld of een bestelopmerking. Als een medewerker later een betrokken beheerweergave opent, kan de browser deze inhoud onder ongunstige omstandigheden interpreteren als uitvoerbare code.
Omdat dergelijke inhoud binnen een reeds ingelogde beheerderssessie kan worden weergegeven, gaan de mogelijke gevolgen verder dan een foutieve weergave: onbevoegde acties in het shopbeheergedeelte of toegang tot gevoelige informatie zijn denkbaar. Dit betekent niet dat elke getroffen shop reeds is aangevallen. Het maakt echter wel duidelijk waarom de correcties niet moeten worden uitgesteld.
Ook reeds opgeslagen klant- of bestelgegevens kunnen achteraf problematisch zijn als een onbeschermde weergave deze toont. De beveiligingscorrecties richten zich daarom niet alleen op nieuwe invoer, maar ook op de weergave daarvan.
Welke modified-shopversies zijn getroffen?
Het geleverde patchpakket bevat versieconforme correcties voor de uitgebrachte shopgeneraties 1.06 tot en met 3.3.0. Een oudere installatie is dus niet automatisch minder getroffen dan een nieuwere shop. Doorslaggevend is of de bijbehorende beveiligingsfix reeds is geïnstalleerd.
| Shopgeneratie | Patch beschikbaar | Opmerking |
|---|---|---|
| modified 1.06 | Ja | Al gedeeltelijke beschermingsdekking; extra controle extra belangrijk. |
| modified 2.0.x | Ja | Gebruik patchbestanden die exact bij de geïnstalleerde versie passen. |
| modified 3.0.x tot 3.2.x | Ja | Eigen aanpassingen en uitbreidingen vergelijken voor het vervangen van bestanden. |
| modified 3.3.0 | Ja | Ook voor deze shopversie zijn beveiligingscorrecties vereist. |
Waarom de patch niet zomaar blind hoeft te worden geüpload
Bij veel shops zijn originele bestanden in de loop der tijd gewijzigd door module-updates, templates of individuele programmering. Als dergelijke bestanden ongecontroleerd worden vervangen door de bestanden van een beveiligingspatch, kunnen reeds geïnstalleerde functies verloren gaan of aanpassingen worden overschreven.
De juiste werkwijze is daarom om de beveiligingswijzigingen te vergelijken met de bestaande bestandsstatus, noodzakelijke functies samen te voegen en het resultaat te controleren in een testomgeving. Bijzonder belangrijk hierbij zijn het bestelproces, betaalmethoden, exportmodules, het beheergedeelte en individueel aangepaste templates.
Voeg beveiligingswijzigingen samen met individuele aanpassingen en module-updates.
Maak voor de installatie een volledige back-up van shopbestanden en de database. Voor databaseback-ups kunt u onze gratis MITS Cron Database Backups gebruiken. Shopbestanden moeten daarnaast apart worden geback-uped.
Controleer uitbreidingen op compatibiliteit en eigen beveiligingsrelevante uitvoer.
Controles op checksums, malware en bestandsrechten kunnen opvallende wijzigingen zichtbaar maken.
Wat shopbeheerders nu moeten doen
- Geïnstalleerde modified-shopversie achterhalen
- Voor de update een volledige back-up maken van bestanden en database
- Bijpassende beveiligingsbestanden vergelijken met bestaande shopaanpassingen
- Geïnstalleerde modules, exportfuncties en eigen beheerpagina's controleren
- De bijgewerkte shop testen, in het bijzonder het bestelproces, betaalmethoden en e-mailverzending
- Bij opmerkelijkheden logboeken, bestandsveranderingen en gebruikerstoegang onderzoeken
Belangrijk: een beveiligingsupdate vervangt geen beveiligingscontrole
Een doorgevoerde patch dicht de daarmee verholpen kwetsbaarheden, maar kan een mogelijke eerdere aanval niet ongedaan maken. Bij concrete verdenking van een compromittering moeten daarom ook logboeken, beheerdersrechten en mogelijke schadelijke bestanden worden onderzocht. Een onopvallende malware-scan alleen bewijst niet dat een shop onaangetast is.
Ondersteuning bij beveiligingsupdates voor modified eCommerce shops
Runt u een modified-webshop en weet u niet of de actuele beveiligingspatch al is geïnstalleerd? Of zijn er in uw shop extra modules, een individueel template of eigen wijzigingen aan core-bestanden aanwezig?
Wij ondersteunen u graag bij de vakkundige installatie van de beveiligingsupdate. Op verzoek controleren wij uw shopversie, maken we een back-up van de bestaande bestandsstatus en voegen we de noodzakelijke beveiligingscorrecties samen met uw bestaande aanpassingen. Vervolgens controleren we de betreffende functies, zodat uw shop betrouwbaar blijft werken.
U kunt eenvoudig contact met ons opnemen of direct de opdracht geven voor de installatie van de beveiligingsupdate.
Beveiligingsupdate voor uw modified-shop nog niet geïnstalleerd?
Laat de beveiligingsgaten op korte termijn dichten. Wij nemen de controle, de samenvoeging van individuele aanpassingen en de vakkundige installatie van de patch voor onze rekening.
Vraag nu beveiligingsupdate aan