Det är naturligtvis rätt fokus just nu. Men jag är inte säker på att det är det mest intressanta med den här händelsen.
När sårbarheten Log4Shell slog till i slutet av 2021 handlade mycket om att få ut säkerhetsuppdateringar så snabbt som möjligt. Men den stora utmaningen var ofta inte själva uppdateringen, utan att ta reda på var den sårbara programvaran faktiskt användes. Många organisationer hade bra koll på sina egna system, men betydligt sämre koll på köpta lösningar, molntjänster och system från externa leverantörer. Faktum är att jag fortfarande stöter på Log4Shell hos kunder, trots att den blev publik för snart fem år sedan.
Det är samma tanke som återkommer när jag följer rapporteringen om PHP-sårbarheterna. När jag tidigare i dag svarade på läsarfrågor i chatten på en av landets största kvällstidningar handlade många frågor inte om sårbarheten i sig, utan om hur man vet om man är drabbad. Ett webbhotell kan ha uppdaterat PHP, men kunder kan fortfarande köra en äldre version som valdes för flera år sedan och sedan glömts bort.
Samtidigt finns det en annan sak som gör den här händelsen ovanlig. Enligt forskare som analyserat sårbarheterna kan en av de bakomliggande bristerna ha funnits i PHP-koden sedan 2004 och först nu identifierats med hjälp av AI. Om det stämmer har ett allvarligt problem kunnat ligga dolt i en av internets mest använda teknologier i över tjugo år.
Vi har länge utgått från att teknik som används och granskas av miljontals människor gradvis blir säkrare. I de flesta fall är det också sant. Men den här händelsen påminner om att det fortfarande kan finnas problem som ingen har hittat. Nu gör AI det möjligt att upptäcka sådant som tidigare varit mycket svårt att se, vilket är goda nyheter för säkerhetsarbetet. Samtidigt kommer samma teknik också att göra det lättare för angripare att hitta nya svagheter.
Därför tror jag att den viktigaste lärdomen från den här veckans larm handlar om överblick. När en kritisk sårbarhet blir offentlig behöver organisationer snabbt kunna svara på om de är påverkade, vilka system som berörs och vilka leverantörer som måste kontaktas. Erfarenheten från Log4Shell visar att det arbetet ofta tar betydligt längre tid än själva patchningen.
När AI börjar hitta sårbarheter som legat gömda i årtionden blir detta arbete ännu viktigare.
