L'accélération du cycle de PHP2Shell par l'IA oblige les CISO à réduire le temps entre la détection d'une faille et la protection de l'infrastructure, selon Alex Spokoiny, directeur de la Sécurité et de la Confiance chez Check Point Software Technologies. L'exécutif a souligné que l'automatisation peut raccourcir l'étape d'analyse, le développement des attaques et la localisation des cibles exposées, avec une dynamique rappelant celle de Log4Shell.
Check Point Research a enregistré une activité liée à PHP2Shell dans 10 % des organisations mondiales et 14 % des européennes. Pour Spokoiny, cette échelle illustre l'urgence de connaître les composants qui soutiennent les applications et les services d'entreprise lorsqu'une vulnérabilité affecte une technologie à large utilisation.
L'exécutif a placé la capacité de mettre à jour les systèmes au même niveau que la détection des failles. Les environnements hérités, les dépendances complexes et la dette technique peuvent transformer une correction de sécurité en un processus prolongé impliquant des équipes d'infrastructure et d'applications.
PHP2Shell est devenu public avant la divulgation coordonnée prévue, selon a expliqué Spokoiny. En se référant à cette séquence, il a affirmé : « Ce qui nécessitait auparavant une recherche manuelle approfondie peut désormais être réalisé beaucoup plus rapidement ».
Identifier les applications visibles ne suffit pas
Spokoiny a averti que l'identification des applications utilisées par une entreprise ne suffit pas pour déterminer son niveau d'exposition. PHP alimente une partie du web et les vulnérabilités associées à PHP2Shell touchent l'environnement d'exécution du langage, pas nécessairement chaque application créée sur celui-ci.
L'analyse doit couvrir l'infrastructure sous-jacente, les dépendances logicielles, l'emplacement d'exécution des composants et le responsable de leur maintenance. Ce même critère s'étend aux applications SaaS et aux services gérés par des tiers, dont les fournisseurs doivent informer s'ils sont affectés et quelles mesures ils prennent.
Pour organiser cette tâche, l'exécutif a mis l'accent sur un inventaire des actifs incluant les technologies, les dépendances et les responsables, au-delà d'une simple liste de serveurs ou d'applications. Il a également mentionné la gestion continue de l'exposition aux menaces, connue sous le nom de CTEM, comme un mécanisme pour identifier, prioriser et valider en continu les faiblesses accessibles ayant les conséquences les plus graves.
L'IA, selon Spokoiny, peut aider à analyser le code affecté, localiser la faiblesse et développer des méthodes d'exploitation potentielles une fois qu'une vulnérabilité est connue, même si les détails techniques sont limités. Les plateformes automatisées peuvent ensuite examiner les systèmes connectés à Internet, trouver des cibles vulnérables et tenter des attaques à grande échelle.
Check Point a déployé des protections tout en avançant avec les correctifs
Après la divulgation de PHP2Shell, Check Point a entamé en parallèle le cartographiage des environnements utilisant PHP, l’identification des systèmes potentiellement exposés et la restriction de l’accès à certains services. L’entreprise a vérifié que d’autres systèmes disposaient des protections appropriées et a contacté ses fournisseurs de SaaS pour connaître leurs plans d’atténuation.
Spokoiny a expliqué que l’organisation n’a pas attendu la disponibilité des correctifs pour appliquer des mesures initiales. «Les mesures d’atténuation immédiates sont essentielles, mais elles ne nous donnent qu’un répit », a-t-il déclaré en décrivant le travail avec les propriétaires de systèmes pour appliquer les correctifs nécessaires.
Les équipes produit de l’entreprise ont mis en place de nouvelles protections IPS sur les produits de sécurité concernés durant les premières heures suivant la notification. Check Point a appliqué ces contrôles sur sa propre infrastructure, les a mis à disposition de ses clients et a publié des avis de sécurité et des guides techniques.
L’exécutif a souligné que les correctifs restent nécessaires, bien qu’ils prennent du temps, tandis que les systèmes IPS, les WAF, la segmentation et d’autres contrôles peuvent réduire l’exposition pendant la correction de la vulnérabilité sous-jacente. Ces protections doivent être configurées, mises à jour et déployées sur l’infrastructure et les services correspondants.
La coordination entre équipes définit la vitesse de réponse
La priorité, selon Spokoiny, est que l’identification de l’exposition, la réduction immédiate du risque, le déploiement des protections et la préparation de solutions permanentes avancent simultanément. « Ces activités ne peuvent pas attendre les unes les autres », a-t-il affirmé.
L’utilisation d’agents d’IA pour examiner les environnements et enquêter sur les possibles vecteurs d’attaque peut compléter le scan traditionnel des vulnérabilités. Spokoiny a précisé que ces outils nécessitent des limites claires, surtout dans les environnements de production.
La modernisation, l’automatisation, les tests et une attribution définie des responsabilités font partie d’une infrastructure mise à jour, selon le directeur de la Sécurité et de la Confiance. « La capacité de mettre en œuvre rapidement des mises à jour de sécurité est aussi importante que celle d’identifier les vulnérabilités », a-t-il soutenu.
Spokoiny a indiqué qu’il n’est pas encore connu si PHP2Shell aura un impact comparable à celui de Log4Shell. « Nous ne pouvons pas contrôler quand la prochaine vulnérabilité critique sera découverte ou divulguée, mais nous pouvons contrôler notre préparation à y répondre », a-t-il conclu.