PHP2Shell sätter press på företag: "Handlingskraft snarare än oro"

Två kritiska sårbarheter i PHP har fått säkerhetsuppdateringar samtidigt som exploateringsförsök har observerats redan före den offentliga publiceringen. För företag gäller det nu att snabbt identifiera och åtgärda berörda system. Men händelsen visar också behovet av mer automatiserade arbetssätt för att kunna agera snabbare när nästa kritiska sårbarhet upptäcks.

PHP uppger att sårbarheterna kan möjliggöra fjärrkörning av kod utan autentisering och uppmanar användare att uppdatera omedelbart. Läs PHP:s officiella säkerhetsinformation.

Datadog Security Labs hänvisar samtidigt till observerade exploateringsförsök redan den 17 oktober, fyra dagar innan sårbarheterna offentliggjordes och säkerhetsuppdateringarna släpptes. Läs Datadog Security Labs analys.

Högt aktivitetsläge

På itm8 pågår nu ett intensivt arbete med att säkerställa att berörda system uppdateras och åtgärdas.

"Vi ser för närvarande ett högt aktivitetsläge där stort fokus ligger på att säkerställa att berörda system uppdateras och åtgärdas i snabb takt. Exponeringen är global och mycket omfattande, vilket understryker vikten av ett skyndsamt agerande."

Thomas Öberg pekar samtidigt på att själva uppdateringsarbetet i vissa fall kan vara beroende av externa aktörer.

"För vissa kunder kan uppdateringsarbetet påverkas av prestanda eller kapacitet hos externa hostingleverantörer, men vi har i nuläget inte fått några indikationer på att detta utgör ett problem."

Det innebär inte att en organisation med en sårbar miljö automatiskt har utsatts för ett intrång. Men eftersom det finns rapporter om exploateringsförsök är det viktigt att snabbt skapa sig en bild av exponeringen och säkerställa att rättningen verkligen är på plats. Datadog Security Labs rekommenderar bland annat inventering av PHP-version, paket- eller imagekälla och ansvarig för respektive deployment, följt av uppdatering och, där det behövs, ombyggnad och driftsättning av container-images samt omstart eller utbyte av workers.

Handlingskraft snarare än oro

PHP är tydliga med att en säkerhetsuppdatering är den kompletta lösningen. Tillfälliga åtgärder kan minska exponeringen mot vissa attackvägar, men gör inte en sårbar installation säker.

För Öberg är budskapet därför att organisationer ska fokusera på handling, inte oro:

"Situationen bör mötas med handlingskraft snarare än oro. Fokus bör ligga på att åtgärda den aktuella sårbarheten och samtidigt dra lärdomar för framtiden genom att etablera automatiserade processer och AI-stödda arbetsflöden som kan hantera liknande händelser snabbare och mer effektivt."

Nästa säkerhetshändelse kommer inte att vänta

PHP2Shell aktualiserar därmed en större fråga för IT-ledningar än den enskilda patchen.

Hur snabbt kan organisationen gå från information om en ny kritisk sårbarhet till att veta vilka system som berörs, vem som ansvarar för dem och om åtgärden faktiskt är genomförd?

Den organisation som behöver börja den kartläggningen manuellt varje gång riskerar att förlora värdefull tid.

itm8:s slutsats är därför att arbetet efter PHP2Shell inte bör sluta när den sista berörda miljön är uppdaterad. Händelsen bör också användas för att identifiera vilka delar av identifiering, prioritering och åtgärdsarbete som kan automatiseras inför nästa kritiska sårbarhet.