När tusentals webbservrar använder samma mjukvara finns det alltid en risk för att ett säkerhetsfel öppnar upp många hemsidor för samma brist. Nu spekuleras det kring två separata händelser relaterade till den populära forumplattformen Vbulletin som kan innebära en stor risk för forumanvändare jorden runt.
I måndags släppte Foxit Software, företaget bakom forummjukvaran Vbulletin, en säkerhetsuppdatering som påstods fixa ett nyligen upptäckt säkerhetsproblem i mjukvaran. Uppdateringen släpptes bara ett fåtal timmar efter att företaget också bekräftade att deras Vbulletin-baserade utvecklarforum hade blivit utsatt för en attack som kan ha givit en tredje part tillgång till Foxit Softwares kund-IDn och krypterade lösenord för användare av deras forum. De två händelserna har inte nödvändigtvis någoting med varandra att göra men vissa tror att det kan finnas en koppling som kan riskera breda säkerhetsproblem för alla Vbulletin-forum.
Inget svar från skaparna
Flera publikationer har försökt kontakta Foxit Software för att få ett förtydligande om huruvida de två händelserna har något med varandra att göra eller inte. Företaget har inte svarat på några frågor och det har inte gått ut med någon egen information som gäller en eventuell koppling mellan de två händelserna. Företagets tysthet har fått både spekulationer att flöda. I brist på fakta är det dock svårt att bekräfta någon teori om vad som har hänt.
Byt lösenord
Det är alltså fullt möjligt att de två händelserna bara är sammanträffanden. Det är alltså möjligt att säkerhetsproblemen är begränsade till Foxit Softwares eget forum. En sak är i alla fall säker: alla användare av Vbulletins utvecklarforum bör byta sina lösenord på sajten så snart som möjligt. Det finns en risk att många fler användare av andra forum kan tvingas göra samma sak inom kort men i nuläget kan vi inte veta säkert vad säkerhetsuppdateringen fixade och därmed inte bekräfta om det var ett så kallat Zero-Day-brist som kan ha varit en risk för många fler forum än bara den enskilda utvecklarens.
Källa: Vbulletin, Vbulletin (2) via Arstechnica
