Cloudflare CEO 称 php2shell 只是开始，AI 找漏洞将带来数年安全危机
Cloudflare: Jahrelang Sicherheitsprobleme wie bei php2shell | heise online
Cloudflare CEO Matthew Prince 对路透社表示，近日公开的 php2shell 和 Broccoli2Shell 漏洞只是开始，原因是越来越多人用 AI 寻找安全漏洞，他预计未来几年每周都像天要塌下来一样。Cloudflare 是最早检测并拦截 php2shell 攻击的公司之一，Prince 称还知道其他关键软件组件中存在一系列严重漏洞，但未透露项目名称。VulnCheck 的 Patrick Garrity 与 secuvera 的 Tobias Glemser 也认同漏洞被发现到遭攻击的间隔正不断缩短，后者主张对软件进行持续维护。
推荐理由
AI 评分 60
Cloudflare CEO 判断 AI 找漏洞会让类似 php2shell 的严重漏洞在未来数年持续高频出现，并给出发现到攻击窗口缩短的行业观察。
主题
正文
close notice
This article is also available in English.
It was translated with technical assistance and editorially reviewed before publication.
.
Die in den letzten Tagen veröffentlichten Sicherheitslücken php2shell und Broccoli2Shell sind laut Matthew Prince, CEO von Cloudflare, nur der Anfang. „Ich glaube, wir werden ein paar Jahre erleben, in denen es sich jede Woche so anfühlen wird, als würde der Himmel einstürzen“, sagte er in der vergangenen Woche der Nachrichtenagentur Reuters. Der Grund: Immer mehr Menschen suchen mithilfe von KI nach Sicherheitslücken.
Weiterlesen nach der Anzeige
Cloudflare, das unter anderem mit seinem Reverse-Proxy-Netz und einer Web Application Firewall (WAF) die Webseiten seiner Kunden schützt, war eines der ersten Unternehmen, die Angriffe mit php2shell erkannten und abwehrten. An den Patches für die Lücke, die aus der Ferne eine vollständige Übernahme von fremden Systemen ermöglichte, wurde monatelang gearbeitet. Große Player in der Security-Szene wie Cloudflare werden bei solchen Prozessen oft früh einbezogen.
Schon jetzt sind offenbar mehrere Lücken bekannt, die sich so ähnlich wie php2shell auswirken könnten. Cloudflare kenne „eine Reihe weiterer schwerwiegender Schwachstellen, die in anderen kritischen Softwarekomponenten vorhanden sind“, sagte Prince im Gespräch mit Reuters. Die Namen von betroffenen Projekten nannte er dabei natürlich nicht.
Zeit zwischen Entdeckung und Angriff wird kürzer
Prince, der mit Security sein Geld verdient, ist mit solchen Beobachtungen nicht alleine. Auch Patrick Garrity von VulnCheck, das aktiv unter anderem mit eigenen Honeypots nach Angriffen sucht, meint, es werde „noch deutlich mehr Feuerwehreinsätze für alles geben, was dem Internet ausgesetzt ist“. Mit Prince einig ist er sich auch darin, dass die Zeit zwischen der Entdeckung von Lücken und Angriffen über diese immer kürzer wird.
Weiterlesen nach der Anzeige
Dieser Meinung ist auch Tobias Glemser von der deutschen secuvera GmbH, der in einem Kommentar für heise online auch Auswege aus dem Dilemma aufzeigt. Vor allem eine kontinuierliche Wartung von jeglicher Software hält er für erforderlich. Gerade bei PHP waren viele teils Jahrzehnte alte Installationen im Einsatz, wie sich in der vergangenen Woche erneut zeigte.
(nie)