Voor mijn webhosting bedrijf beantwoord ik via de helpdesk regelmatig vragen over CMS systemen. Daarbij loop je ook regelmatig tegen vreemde situaties aan, maar wat de ontwikkelaars van Joomla gedacht hebben tijdens de ontwikkeling van de FTP layer is mij volslagen onduidelijk.
Joomla is al een CMS met de meeste beveiligingslekken en wordt het vaakst gehackt. Daarbij komt de hacker binnen en krijgt vaak daarbij volledige toegang tot het account. Met de introductie van de FTP layer wil Joomla problemen omzeilen met rechten, maar vergeet daarbij wel te vermelden dat deze FTP gegevens in klare tekst in het configuratie bestand worden gezet.
Gevolg hiervan: als de Joomla installatie gehackt wordt heeft de hacker ook meteen de beschikking over je FTP login gegevens. Vaak zijn deze gegevens gelijk aan de SSH login gegevens en de login gegevens voor het controle paneel van het eventuele webhosting bedrijf waar je je website hebt onder gebracht. Oftewel: de hacker kan overal bij, inclusief de domeinregistratie gegevens.
Als je dus niet oppast en de hacker is een beetje handig, dan ben je uiteindelijk zelfs je domein kwijt. Gebruik de FTP layer van Joomla dus niet. Het gebruik hiervan is ook vaak niet nodig. Zeker niet als de PHP scripts door de webserver uitgevoerd worden onder de eigen user.