حتی بعد از PHP2Shell، شعاع انفجار بیشتر از امتیاز CVSS اهمیت دارد

در اینجا یک پیش‌بینی وجود دارد: ما در شرف یک فصل درخشان برای شرکت‌های امنیتی برنامه‌های کاربردی هستیم. PHP2Shell در شرف تبدیل شدن به قوی‌ترین استدلال بودجه است که فروشندگان امنیت برنامه‌های امنیتی در سال‌های اخیر داشته‌اند. هوش مصنوعی به محققان کمک کرد تا دو آسیب‌پذیری اجرای کد از راه دور را در زبان پشت 69 درصد وب بیابند، مهاجمان قبل از ارسال وصله آن را هدف قرار دادند، و خود برنامه می‌نویسد: باگ‌های بیشتری را پیدا کنید و سریع‌تر آنها را برطرف کنید.

شرکت ها باید در این ایده تجدید نظر کنند. تیم‌های امنیتی نمی‌توانند با سرعت دستگاه وصله کنند، اما می‌توانند با تمرکز بر هویت به‌عنوان هواپیمای کنترل، آنچه را که مهاجم می‌تواند پس از بهره‌برداری به دست آورد، کاهش دهند.

فراتر از بهره برداری اولیه، شدت حادثه نهایی به شدت به حساب های سرویس، کلیدهای API، نقش های ابری، و توکن هایی بستگی دارد که حجم کار به خطر افتاده می تواند استفاده کند و به چه چیزی می تواند دسترسی داشته باشد.

اول، ما باید بفهمیم که در حال حاضر بهره برداری چقدر سریعتر است. دو نقص پشت PHP2Shell از سال 2012 در کد PHP وجود داشت. محققان کالیف و ویز آنها را در ماه آگوست با کمک مدل‌های OpenAI و گوگل پیدا کردند و آنها را به طور مشترک با OpenAI فاش کردند.

آمازون در 17 اکتبر، چهار روز قبل از افشای اطلاعات، شاهد یک تلاش برای بهره برداری بود. PHP این وصله را در 21 اکتبر ارسال کرد و watchTowr در همان روز شاهد تلاش‌های بهره‌برداری در طبیعت بود. Cloudflare مشاهده کرد که ترافیک حملات به سرعت پس از افشا افزایش می یابد، و در 26 اکتبر، CISA هر دو نقص را به لیست آسیب پذیری های شناخته شده خود اضافه کرد.

در حال حاضر بهره برداری اغلب قبل از افشای اطلاعات شروع می شود. متأسفانه، همه چیز در سمت اصلاح به سرعت پیش نمی رود. DBIR 2026 Verizon بیان می کند که میانگین زمان رفع آسیب پذیری مورد سوء استفاده شناخته شده 43 روز است. طبق گفته Qualys، میانگین زمان اصلاح ۲۱.۲ روز است و ۶۳ درصد از آسیب‌پذیری‌های بحرانی هنوز پس از یک هفته باز هستند. در حالی که هر روز حدود 195 CVE جدید منتشر می شود.

پاکسازی PHP2Shell بیشتر از بقیه زمان می برد. پی اچ پی در داخل لوازم خانگی و پنل های کنترل میزبانی ارسال می شود که مشتریان نمی توانند خودشان آن را وصله کنند. علاوه بر این، نسخه های 8.1 و بالاتر هیچ بیلد رسمی ندارند.

تا 27 اکتبر، Censys تعداد 32.5 میلیون سرویس PHP را که با اینترنت روبرو هستند، شمارش کرده است که هنوز نسخه‌های بالقوه آسیب‌پذیر را اجرا می‌کنند، و بیش از 60 میلیون سرویس دیگر که اصلا نسخه‌ای را گزارش نمی‌کنند.

به هر حال که به آن نگاه کنید، سرعت اصلاح در آینده قابل پیش‌بینی کندتر از سرعت بهره‌برداری خواهد بود، حتی زمانی که وصله‌سازی به خودی خود از جریان‌های کاری مبتنی بر هوش مصنوعی سود زیادی می‌برد.

نمایندگان اکنون در سراسر سیستم های شما با دسترسی هایی که هیچ کس بررسی نکرده است عمل می کنند.

امنیت عامل هوش مصنوعی Token Security هر عاملی را پیدا می‌کند، آن را به مالک پیوند می‌دهد و کاری را که می‌تواند انجام دهد محدود می‌کند. نظم مبتنی بر هویت برای کنترل هرج و مرج هوش مصنوعی عامل شما

با افزایش شکاف بهره برداری، وسوسه انگیز است که هر آنچه می توانید برای جلوگیری از جزر و مد سرمایه گذاری کنید. اما حتی اگر یک اسکن مبتنی بر هوش مصنوعی فردا 2000 آسیب‌پذیری جدید در روز صفر را در محیط شما پیدا کند، این منجر به یک وضعیت امنیتی قوی‌تر نمی‌شود.

به شما یک لیست می دهد. وصله کردن برخی موارد آسان است، در حالی که برخی دیگر به زمان بیشتری نسبت به تیم شما نیاز دارند.

برای شاخه های PHP پشتیبانی شده، راه حل مستقیم ساده بود: نسخه به روز شده را نصب کنید. دولت‌ها و شرکت‌ها همچنان سایت‌های خود را آفلاین می‌کردند، در حالی که منتظر آن بودند.

در اینجا یک راه خوش بینانه دیگر برای نگاه کردن به آن وجود دارد. آسیب‌پذیری‌ها منجر به اکسپلویت‌ها و سوءاستفاده‌ها منجر به حملات می‌شوند، اما در یک زمینه سازمانی، تأثیر یک حمله با توجه به اینکه هویت‌های در معرض خطر تا چه حد می‌توانند برسند تعیین می‌شود. یک پوسته در یک سرور PHP به مهاجم اجازه می دهد به هر آنچه که سرور می تواند بخواند، از متغیرهای محیطی گرفته تا کلیدهای ابری در فایل های پیکربندی، دسترسی داشته باشد.

PHP2Shell همچنین می‌تواند حافظه کارگر از جمله رمزهای عبور، نشانه‌ها و کلیدهای API را نشت کند. مهاجمی که کد را روی یک میزبان اجرا می کند، دری را به یک راهرو باز می کند، اما اشیاء با ارزش واقعی معمولا در اتاق های قفل شده هستند.

و کنترل‌هایی که حرکت جانبی را محدود می‌کنند به پیروزی در مسابقه با کشف بستگی ندارند. یافتن آسیب‌پذیری‌ها یک فرآیند پایان باز است و محدود کردن دسترسی به حساب سرویس یک کار قابل اندازه‌گیری است.

این رویکرد محدودیت هایی دارد. اگر آسیب‌پذیری در IdP یا مدیر مخفی باشد، قابلیت‌های حرکت جانبی تعبیه شده است. اگر در پایگاه داده یا در ارائه‌دهنده ذخیره‌سازی باشد، مهاجم از قبل در جایی است که می‌خواهد باشد.

بنابراین، با منابع محدود، وسوسه‌انگیز است که در درجه اول آسیب‌پذیری باقی بمانید: آنچه را که توصیه‌ها و اسکنرها پیدا کرده‌اند فهرست کنید، آن‌ها را تریاژ کنید، از بالا کار کنید. اما فهرست‌نویسی هفته‌ها طول می‌کشد، و رفع فوری‌ترین یافته‌ها حتی بیشتر طول می‌کشد. شرط اینجاست که قابل بهره برداری ترین حفره ها در سیستم های اصلی شما همان سوراخ هایی هستند که ابتدا آنها را می بندید.

این شرط بندی، شدت آسیب پذیری (امتیاز CVSS) را در شعاع انفجار اولویت می دهد. مهاجمان به دنبال مستقیم ترین مسیر نیستند. آنها به دنبال ساده ترین راه هستند. گرفتن یک اعتبار فاش شده و حرکت با آن آسان تر از مجموعه ای از صفر روز برای دسترسی مستقیم به یک پایگاه داده است.

سرفصل های دیگر اکتبر این مسیر را نشان می دهد. در LiteLLM، مهاجمان از یک کلید اصلی که در یک مخزن عمومی در معرض دید قرار گرفته بود برای بازیابی توکن مالک سازمان GitHub بدون محدوده از یک پلتفرم عامل داخلی استفاده کردند. این هویت به آن‌ها اجازه می‌دهد دو توکن نگهدارنده دیگر را بدزدند، جریان کار انتشار را بر هم بزنند، و مصنوعات سرقت اعتبار را منتشر کنند.

شما نمی توانید قبل از ورود مهاجمان در مسابقه وصله کردن هر سرور پیروز شوید، اما می توانید تعیین کنید که یک سرور در معرض خطر برای آنها چه ارزشی دارد. هر عامل هوش مصنوعی و هویت غیر انسانی را کشف و موجودی کنید و با ایمن سازی مواردی که بیشترین دسترسی را دارند شروع کنید.

یک مالک اختصاص دهید، به هدف و نیت دسترسی داشته باشید، اعتبارنامه‌های غیرفعال را حذف کنید و چرخه حیات هویت را به طور مداوم اداره کنید. برای عوامل هوش مصنوعی، جلوتر بروید و به قصد دسترسی بدهید. این همان معنایی است که باید هویت را به عنوان سطح کنترل در نظر گرفت.

وصله تعیین می کند که چقدر سریع یک سوراخ را ببندید. هویت تعیین می‌کند که وقتی شما نمی‌توانید، مهاجم چقدر به دست می‌آورد.

برای مشاهده اطلاعات بیشتر از Token Security، یک نسخه نمایشی فنی با تیم ما رزرو کنید.