Check Point-CISO: PHP2Shell zeigt, dass die Lehren aus Log4Shell nun im KI-Tempo gelten

Eine bekannte Herausforderung mit kürzerem Zeitfenster

Nach Angaben des Autors weckte die Offenlegung von PHP2Shell Erinnerungen an Log4Shell. Vor fünf Jahren habe sich damals gezeigt, wie schwierig es sein kann, auf eine kritische Schwachstelle in Software zu reagieren, die in unzähligen Anwendungen und Diensten steckt. Die technischen Details unterschieden sich, schreibt er, doch der Bedarf sei derselbe: schnell zu verstehen, wo man angreifbar ist, und zu handeln.

Die PHP2Shell-Schwachstellen betreffen die PHP-Laufzeitumgebung selbst und nicht zwingend die darauf aufbauenden Anwendungen. Check Point Research meldet PHP2Shell-bezogene Aktivitäten, die 10 % der Organisationen weltweit betreffen, in Europa sogar 14 %.

Der Beitrag argumentiert, dass KI das Tempo verändert. PHP2Shell wurde vor der geplanten koordinierten Offenlegung öffentlich, und selbst ohne sämtliche technischen Details bot die Veröffentlichung Angreifern einen Ansatzpunkt. KI kann helfen, betroffenen Code zu analysieren, die Schwachstelle zu identifizieren und mögliche Exploits zu entwickeln, wofür früher aufwendige manuelle Untersuchungen nötig waren. Automatisierte Plattformen können anschließend aus dem Internet erreichbare Systeme scannen und in großem Maßstab Angriffe versuchen. Der Autor rechnet mit weiteren derartigen Vorfällen, je zugänglicher die KI-gestützte Schwachstellensuche wird.

Wie Check Point reagiert hat

Das Unternehmen gibt an, vom ersten Moment der Offenlegung an mehrere Maßnahmen parallel durchgeführt zu haben. Es habe erfasst, wo in seiner Umgebung PHP läuft, und potenziell gefährdete Systeme identifiziert. Statt auf Patches zu warten, habe es den Zugriff auf bestimmte Dienste eingeschränkt und geprüft, ob andere über geeignete Schutzmaßnahmen verfügen. Zudem habe es seine SaaS-Anbieter zu deren Betroffenheit und Behebungsplänen kontaktiert.

Das Patchen gemeinsam mit den Systemverantwortlichen läuft noch und wird Zeit brauchen. Der Autor betont, dass Sofortmaßnahmen „uns nur Zeit verschaffen“ und die zugrunde liegenden Fehler behoben werden müssen.

Check Point setzt nach eigenen Angaben eigene Produkte zum Schutz der Infrastruktur ein, hat überprüft, dass die relevanten Produkte nicht anfällig waren, und in den ersten Stunden Gegenmaßnahmen umgesetzt. Innerhalb weniger Stunden nach der Benachrichtigung hätten die Produktteams neue IPS-Schutzfunktionen für die betroffenen Sicherheitsprodukte bereitgestellt, die intern ausgerollt und Kunden zur Verfügung gestellt worden seien. Das Unternehmen veröffentlichte außerdem Sicherheitshinweise und technische Anleitungen.

Vier Fähigkeiten, die der CISO hervorhebt

• Die eigene Infrastruktur und ihre Verantwortlichen kennen. Ein Inventar muss über Anwendungen und Server hinausgehen und Technologien, Abhängigkeiten und Verantwortliche umfassen. Continuous Threat Exposure Management (CTEM) hilft Teams, Gefährdungen zu erkennen, zu priorisieren und zu validieren.
• Schwachstellen finden, bevor Angreifer es tun. Beim agentischen Scannen erkunden KI-Agenten Umgebungen und untersuchen Angriffspfade, als Ergänzung zum klassischen Scannen. Der Beitrag betont, dass solche Agenten klare Grenzen brauchen, besonders im Produktivbetrieb.
• Schutzmaßnahmen einsetzen, sobald sie verfügbar sind. IPS, WAF, Segmentierung und andere Kontrollen können die Gefährdung verringern, während Patches vorbereitet werden, sofern sie richtig konfiguriert und aktuell gehalten werden.
• Die Infrastruktur patchbar machen. Altsysteme, komplexe Abhängigkeiten und technische Schulden können aus einem Update ein Großprojekt machen. Deshalb müssen Modernisierung, Automatisierung, Tests und klare Zuständigkeiten kontinuierlich gefördert werden.

Was das für Sicherheitsteams bedeutet

Der Autor sagt, es sei noch nicht bekannt, ob PHP2Shell an die Auswirkungen von Log4Shell heranreichen wird. Sein Kernpunkt: Die Vorbereitung muss Wissen in Handeln übersetzen. Dazu gehört zu wissen, was in der Umgebung läuft, wem es gehört, welche Schwachstellen am meisten zählen und wie schnell Gegenmaßnahmen und dauerhafte Fixes ausgerollt werden können.

Für Organisationen legt der Beitrag nahe, Gefährdungsübersicht, Zuständigkeiten und Patch-Kapazitäten vor der nächsten kritischen Offenlegung aufzubauen, denn, so der Autor, KI beschleunigt sowohl die Entdeckung von Schwachstellen als auch deren Ausnutzung.