În ultima săptămână din octombrie, trei soluții folosite de milioane de companii au avut breșe critice, deja folosite de atacatori. PHP este limbajul pe care rulează cam 70% din site urile lumii, de la WordPress până la magazinul online de la colțul străzii. Cisco și Ivanti sunt echipamentele de securitate prin care angajații se conectează de acasă la rețeaua firmei.
Pentru o firmă obișnuită, asta înseamnă site-uri preluate de atacatori, angajați care nu mai pot lucra de acasă și parole furate. Iar timpul în care trebuie să reacționeze s-a redus la o zi.
Ce s-a întâmplat
Pe 26 octombrie, agenția americană de securitate cibernetică CISA a pus breșa PHP2Shell pe lista celor exploatate activ. Pe 29 octombrie s-a confirmat că atacatorii o combină cu o a doua breșă, Fragnesia, pentru control total asupra serverului, iar pe firewall-urile Palo Alto au urmat atacuri cu ransomware. Un site poate fi preluat cu o singură cerere, fără parolă.
Pe 28 octombrie, Cisco a anunțat o breșă în echipamentele ASA și FTD, exploatată deja. Un atacator, fără parolă, poate reporni la nesfârșit echipamentul care ține conexiunea VPN a firmei. Angajații care lucrează de la distanță rămân blocați.
Pe 30 octombrie, CISA a adăugat pe aceeași listă încă două breșe din echipamentele Ivanti Connect Secure. Împreună, dau acces total fără parolă și fură parolele de domeniu ale companiei. Firmele care au instalat doar prima actualizare au rămas vulnerabile.
De ce acum
În 2021, între momentul în care o breșă devenea publică și primul atac trecea aproape un an. În 2026, trece puțin peste o zi, arată Zero Day Clock, un indicator al companiei de securitate Sysdig. Pentru 2027, estimarea este de doar o oră!
Motivul este inteligența artificială. Breșele din PHP existau în cod de zeci de ani, dar erau prea complicate de exploatat pentru un om. Modelele AI au coborât bariera aceea până jos. Tot în octombrie, un agent AI a găsit în 3 ore și 49 de minute patru breșe necunoscute într un program care controlează echipamente industriale de zeci de ani, una cu scor de criticitate 9,8 din 10.
Companiile nu țin pasul. Din cele 167 de milioane de instalări PHP numărate de Qualys, în primele 12 ore după publicarea actualizării au fost reparate 0,1%.
„Testul de securitate se face o dată pe an, pentru că așa cere legea. Un an de liniște cumpărat cu o săptămână de verificare. Până acum, cumva, a mers. A mers pentru că atacatorii aveau și ei aceleași limite ca noi: timp, oameni, răbdare. Limitele acelea tocmai au dispărut datorită AI-ului”, spune Ciprian Pocovnicu, fondator TRU Solutions, companie specializată în securitate și confidențialitate online.
Ce poate face o companie
Ai pune un paznic cu lanternă în fața unui hoț cu drone și vedere pe timp de noapte? Cam asta este un test de securitate pe an, făcut manual, în fața unui atacator care caută automat cu AI, zi și noapte. Măsurile sunt simple:
să știe ce are: lista serverelor, a aplicațiilor și a echipamentelor conectate la internet, inclusiv cele uitate. Un firewall este tot un calculator cu software în el; să actualizeze în zile, nu în luni. Când timpul până la atac este o zi, un ciclu de actualizare de un trimestru înseamnă trei luni cu ușa deschisă;
să separe rețeaua: serverele și echipamentele critice nu stau în aceeași rețea cu laptopurile din birou;
să testeze lunar de breșe atât sistemele externe, cât și rețeaua internă. Majoritatea atacurilor vin din interior, de la o stație de lucru compromisă;
să monitorizeze infrastructura și sistemele informatice 24/7/365. Atacul automat nu așteaptă programul de lucru;
dacă site-ul este la un furnizor de găzduire, să ceară în scris confirmarea că a fost actualizat. Majoritatea site-urilor din România sunt în situația asta.
Pentru companiile care intră sub legea NIS2, lista de mai sus este obligatorie. Nivelul de risc și măsurile cerute se pot verifica gratuit cu calculatorul NIS2 de pe tru.ro. Gestionarea breșelor este o măsură cerută de OUG 155/2024, iar un incident semnificativ se notifică la DNSC în 24 de ore. Un VPN care cade în mod repetat poate fi un astfel de incident. Prima amendă a venit pe 29 septembrie, de 50.000 de lei, pentru un termen de notificare ratat.
