PHP-Sicherheitslücke: Unternehmen nutzen oft Software, von der sie nichts wissen.
Die PHP-Sicherheitslücke macht erneut deutlich, wie wichtig es für Unternehmen ist, Schwachstellen schnell zu erkennen, zu wissen, wo sie liegen, und zu verstehen, wie man darauf reagiert. Das haben wir auch schon vor ein paar Jahren bei den Log4Shell- und React2Shell-Schwachstellen gesehen, die erhebliche Auswirkungen hatten.
Zusammenfassung (TL; DR):
- Die aktuelle PHP-Sicherheitslücke zeigt erneut, dass vielen Unternehmen der vollständige Überblick über die in ihren Umgebungen laufende Software und deren indirekte Abhängigkeiten fehlt.
- Angesichts immer kürzerer Zeitspannen bis zur Ausnutzung von Schwachstellen durch Angreifer ist diese mangelnde Transparenz ein extremes Sicherheitsrisiko.
- Um sich zu schützen, müssen Organisationen dringend ein umfassendes Schwachstellenmanagement, die Überwachung ihrer externen Angriffsfläche sowie eine detaillierte Software-Stückliste (SBOM) einführen.
Es fehlt der Überblick
Erneut zeigt sich, dass viele Unternehmen immer noch keinen vollständigen Überblick darüber haben, was in ihren Umgebungen läuft. Doch diese Transparenz ist entscheidend, besonders jetzt, wo auch Künstliche Intelligenz ins Spiel kommt. Die Zeitspanne zwischen der Entdeckung einer Schwachstelle und ihrer Ausnutzung durch Angreifer wird immer kürzer. Unternehmen müssen dringend ihre Denkweise ändern. Heutzutage kann man es sich aber nicht leisten, nicht zu wissen, was in der eigenen Umgebung läuft oder wo die größten technologischen Abhängigkeiten liegen.
Deshalb sollte jedes Unternehmen die folgenden drei Dinge umgesetzt haben:
- Erstens ein Vulnerability Management Programme: Welche Software läuft, wo läuft sie und welche Version wird verwendet?
- Zweitens ein External Attack Software Management: Wie sieht die Organisation von außen aus? Welche Legacy-Systeme werden vielleicht übersehen?
- Drittens eine Software Bill of Materials: Haben wir eine Bestandsaufnahme aller Software und all ihrer internen Komponenten?
Unternehmen nutzen oft Software, von der sie nichts wissen, auch durch indirekte Abhängigkeiten. Der heutige Tag erinnert daran, dass es hier keine Kompromisse geben kann: Sie müssen hier jederzeit den Überblick behalten.
Häufige Fragen (FAQ)
Viele Unternehmen haben keinen vollständigen Überblick über ihre IT-Umgebungen und nutzen oft Software sowie indirekte Abhängigkeiten, von denen sie gar nichts wissen.
Die Zeitspanne zwischen der Entdeckung einer Sicherheitslücke und ihrer aktiven Ausnutzung durch Angreifer wird immer kürzer, was auch durch den Einsatz von Künstlicher Intelligenz verschärft wird.
Ein Schwachstellenmanagement (Vulnerability Management Programme), die Überwachung der externen Angriffsfläche (External Attack Surface Management) und eine lückenlose Software-Stückliste (Software Bill of Materials).
