Cloudflare CEO Says php2shell Is Just the Beginning: AI Finding Vulnerabilities Will Bring Years of Security Crisis
Cloudflare CEO Matthew Prince told Reuters that the recently disclosed php2shell and Broccoli2Shell vulnerabilities are just the beginning, because more and more people are using AI to find security vulnerabilities; he expects the coming years to feel like the sky is falling every week. Cloudflare was one of the first companies to detect and block php2shell attacks, and Prince said he knows of a series of severe vulnerabilities in other critical software components but did not disclose the project names. VulnCheck's Patrick Garrity and secuvera's Tobias Glemser also agree that the interval between vulnerability discovery and exploitation is steadily shrinking, with the latter advocating continuous maintenance of software.
Why read this
AI score 60
The Cloudflare CEO judges that AI-driven vulnerability discovery will cause severe vulnerabilities like php2shell to keep appearing at high frequency over the coming years, and offers industry observations on the shrinking window from discovery to attack.
Topics
Body
close notice
This article is also available in English.
It was translated with technical assistance and editorially reviewed before publication.
.
Die in den letzten Tagen veröffentlichten Sicherheitslücken php2shell und Broccoli2Shell sind laut Matthew Prince, CEO von Cloudflare, nur der Anfang. „Ich glaube, wir werden ein paar Jahre erleben, in denen es sich jede Woche so anfühlen wird, als würde der Himmel einstürzen“, sagte er in der vergangenen Woche der Nachrichtenagentur Reuters. Der Grund: Immer mehr Menschen suchen mithilfe von KI nach Sicherheitslücken.
Weiterlesen nach der Anzeige
Cloudflare, das unter anderem mit seinem Reverse-Proxy-Netz und einer Web Application Firewall (WAF) die Webseiten seiner Kunden schützt, war eines der ersten Unternehmen, die Angriffe mit php2shell erkannten und abwehrten. An den Patches für die Lücke, die aus der Ferne eine vollständige Übernahme von fremden Systemen ermöglichte, wurde monatelang gearbeitet. Große Player in der Security-Szene wie Cloudflare werden bei solchen Prozessen oft früh einbezogen.
Schon jetzt sind offenbar mehrere Lücken bekannt, die sich so ähnlich wie php2shell auswirken könnten. Cloudflare kenne „eine Reihe weiterer schwerwiegender Schwachstellen, die in anderen kritischen Softwarekomponenten vorhanden sind“, sagte Prince im Gespräch mit Reuters. Die Namen von betroffenen Projekten nannte er dabei natürlich nicht.
Zeit zwischen Entdeckung und Angriff wird kürzer
Prince, der mit Security sein Geld verdient, ist mit solchen Beobachtungen nicht alleine. Auch Patrick Garrity von VulnCheck, das aktiv unter anderem mit eigenen Honeypots nach Angriffen sucht, meint, es werde „noch deutlich mehr Feuerwehreinsätze für alles geben, was dem Internet ausgesetzt ist“. Mit Prince einig ist er sich auch darin, dass die Zeit zwischen der Entdeckung von Lücken und Angriffen über diese immer kürzer wird.
Weiterlesen nach der Anzeige
Dieser Meinung ist auch Tobias Glemser von der deutschen secuvera GmbH, der in einem Kommentar für heise online auch Auswege aus dem Dilemma aufzeigt. Vor allem eine kontinuierliche Wartung von jeglicher Software hält er für erforderlich. Gerade bei PHP waren viele teils Jahrzehnte alte Installationen im Einsatz, wie sich in der vergangenen Woche erneut zeigte.
(nie)