Kort sagt: BSI's advarselsniveau orange er det næsthøjeste af fire niveauer. Det betyder: It-trusselssituationen er forretningskritisk, og normaldriften kan blive massivt forstyrret. For PHP2Shell har BSI givet dette niveau 3 og anbefaler en øjeblikkelig opdatering eller, hvis det ikke er muligt, midlertidigt at tage berørte webservere af nettet. For virksomheder betyder orange: Emnet hører i dag hjemme på ledelsens bord.
Hvad vurderingen betyder for beslutningstagere
Mange direktører har hørt om „advarselsniveau orange“ i nyhederne uden at vide, hvordan de skal placere det. Er det en alarm for alle eller et emne for it-afdelingen? Det korte svar: Orange er det niveau, hvor BSI antager, at berørte uden hurtig handling risikerer alvorlige forstyrrelser af deres forretning.
Ifølge hessenschau talte BSI ved PHP2Shell om et enestående trusselspotentiale. Det regnede med hurtig, omfattende udnyttelse. Bekræftede vellykkede angreb i bredden var på tidspunktet for advarslen ifølge BSI ikke kendt. Begge dele hører sammen: Det høje niveau beskriver risikoen, ikke en allerede indtrådt skade.
BSI-advarselsniveau orange og de tre andre niveauer
BSI placerer sine cybersikkerhedsadvarsler på en skala fra 1 til 4. Tabellen nedenfor gengiver betydningen i sammendrag:
| Niveau | Farve | Betydning (i sammendrag) |
|---|---|---|
| 1 | Grå | it-trusselssituation uden væsentlige påfaldende forhold |
| 2 | Gul | forstærket observation af påfaldende forhold, normaldrift tidvis forstyrret |
| 3 | Orange | forretningskritisk situation, massiv forstyrrelse af normaldriften |
| 4 | Rød | ekstremt kritisk situation, normaldrift kan i mange områder ikke længere opretholdes |
Niveauet siger noget om situationen som helhed, ikke om den enkelte server hos jer. En fuldt patchet og kontrolleret webserver er også ved orange i en god position. En upatchet server med PHP 8.1 og mod_php er udsat, selv ved et lavere niveau.
Sådan bruger I skalaen internt
Mange virksomheder har egne beredskabsniveauer, f.eks. i beredskabshåndbogen eller som led i styring af informationssikkerhed. Det kan betale sig at knytte BSI-niveauerne fast dertil. En enkel regel kan lyde: Ved gul undersøger it inden for den normale drift. Ved orange informeres ledelsen samme dag, en ansvarlig udpeges, og status for alle berørte systemer opgøres skriftligt. Ved rød træder krisestaben sammen.
Sådan bliver en nyhed til en indøvet reaktion. Den, der har fastlagt tilknytningen på forhånd, behøver ikke i en alvorlig situation at diskutere, om situationen er „alvorlig nok“. Ved PHP2Shell ville denne regel have betydet: allerede den 21. oktober opgørelse af beholdningen, patchplan og beslutning om nedlukninger.
Advarslerne offentliggør BSI selv på sit website, og de opdateres dér, når der kommer ny viden. Det kan betale sig at læse den til enhver tid aktuelle version, for anbefalinger og vurderinger kan ændre sig under en situations forløb.
Hvorfor PHP2Shell er orange og ikke rød
Til sammenligning inddrages ofte Log4Shell. For sårbarheden i Java-biblioteket Log4j udråbte BSI i december 2021 niveau rød, ifølge datidens rapporter bl.a. fordi sårbarheden var trivielt udnyttelig, og kompromitteringer allerede var kendt. I januar 2022 blev advarslen ifølge Forbundsdagen nedgraderet til gul.
Den nøjagtige begrundelse for orange ved PHP2Shell kender kun BSI. Synlige forskelle er situationen vedrørende bekræftede angreb og det forhold, at der findes en opdatering til alle understøttede PHP-grene. En udførlig sammenstilling giver indlægget PHP2Shell og Log4Shell. Orange er ikke en afblæsning. Anbefalingen om at tage servere af nettet, hvis det er nødvendigt, er en tydelig melding fra en myndighed.
Advarselsniveauet kan ændre sig, i begge retninger. Afgørende er den aktuelle status på BSI's website, ikke en avisartikel fra dagen før.
Hvad orange ikke betyder
Tre misforståelser møder vi for tiden ofte:
- „Orange betyder, at vi er hacket.“ Nej. Niveauet beskriver trusselssituationen, ikke et fund på jeres systemer.
- „Orange gælder kun for myndigheder.“ Nej. Advarslerne henvender sig til alle driftsansvarlige for berørte systemer, også små virksomheder.
- „Hvis vi har Cloudflare eller en WAF, berører orange os ikke.“ Nej. Beskyttelsesregler sænker risikoen, men erstatter ikke PHP-opdateringen.
Om der af advarslen følger juridiske pligter, f.eks. som led i NIS2, afhænger af jeres branche og størrelse. Det er ikke juridisk rådgivning; afklar enkeltheder med jeres juridiske rådgiver eller jeres databeskyttelsesrådgiver.
Omsæt vurderingen til beslutninger
Et advarselsniveau er kun så meget værd som de beslutninger, der følger af det. Til PHP2Shell anbefaler vi virksomheder denne rækkefølge:
- Afklar berørthed: Hvilke servere og websites kører med PHP, og hvem driver dem?
- Dokumentér patchstatus: rettet version 8.5.12, 8.4.27, 8.3.36 eller 8.2.35, eller en backport bekræftet af udbyderen.
- Sørg for genstart: Alle PHP-processer skal være genstartet.
- Hvis det ikke straks er muligt: Indsæt midlertidige foranstaltninger, eller tag serveren midlertidigt af nettet, som BSI anbefaler. Mulighederne beskriver Akutte foranstaltninger uden patch.
- Undersøg for spor, og sikr logs: fra og med den 20. oktober.
- Dokumentér beslutninger: hvem der besluttede hvad hvornår og på hvilket grundlag.
Netop det sidste punkt undervurderes. Den, der ved en officiel advarsel på niveau orange har handlet efterprøveligt, står bedre over for forsikringsselskaber, kunder og tilsynsmyndigheder. Baggrund giver siden om ledelsens ansvar.
Hvordan hjælper PHP SOS konkret?
- Situationen for jeres virksomhed: Vi omsætter BSI's vurdering til en liste over jeres berørte systemer med prioritet.
- Gennemførelse af anbefalingen: Vi patcher, genstarter eller indsætter midlertidige foranstaltninger, indtil opdateringen er mulig.
- Dokumentation: I modtager en dokumentation af, hvad der skete hvornår på hvilken server.
- Observation: Hvis BSI ændrer vurderingen, eller der kommer nye meddelelser, vurderer vi dem for jeres systemer.
Mere herom under PHP2Shell-akuthjælp.
Konklusion
Advarselsniveau orange er BSI's næsthøjeste niveau og velbegrundet for PHP2Shell. Det kræver ikke panik, men en beslutning samme dag: patche, genstarte, undersøge eller midlertidigt lukke ned. Den, der dokumenterer det, har læst advarslen rigtigt.
Ofte stillede spørgsmål
Hvor mange advarselsniveauer har BSI?
BSI's cybersikkerhedsadvarsler bruger fire niveauer: 1 / grå, 2 / gul, 3 / orange og 4 / rød. Orange er det næsthøjeste niveau og beskriver en forretningskritisk it-trusselssituation med massiv forstyrrelse af normaldriften.
Er advarselsniveau orange en pligt til at handle?
Selve advarslen er en faglig vurdering med handlingsanbefalinger. Hvilke pligter der heraf følger for jeres virksomhed, f.eks. af NIS2, kontrakter eller forsikringsbetingelser, afhænger af det enkelte tilfælde. Afklar det med jeres juridiske rådgiver; dette er ikke juridisk rådgivning.
Hvorfor er PHP2Shell ikke niveau rød?
Grundene til en vurdering fastlægger BSI selv. Påfaldende er en forskel til Log4Shell, som fik rød i 2021: Dér var kompromitteringer ifølge datidens rapporter allerede kendt. Ved PHP2Shell var bekræftede vellykkede angreb i bredden ifølge BSI indledningsvis ikke kendt.
Kan advarselsniveauet ændre sig?
Ja. BSI tilpasser vurderinger til situationen, både opad og nedad. Log4Shell blev f.eks. ifølge Forbundsdagen nedgraderet fra rød til gul i januar 2022. Kontrollér den aktuelle status direkte hos BSI.