In breve: l'allerta arancione del BSI (Bundesamt für Sicherheit in der Informationstechnik, l'Ufficio federale tedesco per la sicurezza informatica) è il secondo di quattro livelli. Significa: la situazione di minaccia IT è critica per il business, l'esercizio ordinario può essere gravemente compromesso. Per PHP2Shell il BSI ha assegnato questo livello 3 e raccomanda l'aggiornamento immediato o, se non è possibile, di scollegare temporaneamente dalla rete i server web interessati. Per le aziende arancione significa: il tema oggi appartiene al tavolo della direzione.
Che cosa significa la classificazione per chi decide
Molti amministratori hanno sentito parlare di «allerta arancione» nelle notizie senza sapere come collocarla. È un allarme per tutti o un tema per il reparto IT? La risposta breve: l'arancione è il livello in cui il BSI ritiene che chi è colpito, senza un'azione rapida, rischi serie interruzioni della propria attività.
Secondo hessenschau, per PHP2Shell il BSI ha parlato di un potenziale di minaccia eccezionale. Contava su uno sfruttamento rapido e su vasta scala. Attacchi riusciti su larga scala confermati non erano noti, secondo il BSI, al momento dell'allerta. Le due cose vanno insieme: il livello elevato descrive il rischio, non un danno già avvenuto.
L'allerta arancione del BSI e gli altri tre livelli
Il BSI classifica le proprie allerte di cybersicurezza su una scala da 1 a 4. La tabella seguente riporta il significato in modo fedele al senso:
| Livello | Colore | Significato (in sintesi) |
|---|---|---|
| 1 | Grigio | situazione di minaccia IT senza anomalie rilevanti |
| 2 | Giallo | maggiore osservazione di anomalie, esercizio ordinario a tratti compromesso |
| 3 | Arancione | situazione critica per il business, grave compromissione dell'esercizio ordinario |
| 4 | Rosso | situazione estremamente critica, esercizio ordinario non più sostenibile in molti ambiti |
Il livello dice qualcosa sulla situazione complessiva, non sul Suo singolo server. Un server web completamente aggiornato e verificato è in buona posizione anche con l'arancione. Un server senza patch con PHP 8.1 e mod_php è a rischio anche con un livello più basso.
Come usare la scala all'interno dell'azienda
Molte aziende hanno livelli di emergenza propri, ad esempio nel manuale di emergenza o nell'ambito di un sistema di gestione della sicurezza delle informazioni. Vale la pena associarvi stabilmente i livelli del BSI. Una regola semplice può essere: con il giallo l'IT verifica nell'ambito dell'attività normale. Con l'arancione la direzione viene informata lo stesso giorno, viene nominato un responsabile e lo stato di tutti i sistemi interessati viene rilevato per iscritto. Con il rosso si riunisce l'unità di crisi.
Così da una notizia nasce una reazione allenata. Chi ha stabilito l'associazione in anticipo non deve discutere, nel caso concreto, se la situazione sia «abbastanza grave». Con PHP2Shell questa regola avrebbe significato: già il 21 ottobre inventario, piano di patch e decisione sugli spegnimenti.
Le allerte stesse vengono pubblicate dal BSI sul proprio sito web, dove vengono aggiornate anche in caso di nuove informazioni. Vale la pena leggere la versione più recente, perché raccomandazioni e valutazioni possono cambiare nel corso di una situazione.
Perché PHP2Shell è arancione e non rosso
Come confronto si cita spesso Log4Shell. Per la vulnerabilità nella libreria Java Log4j il BSI proclamò nel dicembre 2021 il livello rosso, secondo i rapporti di allora tra l'altro perché la vulnerabilità era sfruttabile in modo banale e si conoscevano già compromissioni. Nel gennaio 2022 l'allerta fu, secondo il Bundestag, declassata a giallo.
La motivazione esatta dell'arancione per PHP2Shell la conosce solo il BSI. Differenze riconoscibili sono la situazione degli attacchi confermati e il fatto che per tutti i rami PHP supportati sia disponibile un aggiornamento. Un confronto dettagliato è nell'articolo PHP2Shell e Log4Shell. L'arancione non è comunque un cessato allarme. La raccomandazione di scollegare i server dalla rete, se necessario, è per un'autorità un'indicazione netta.
Il livello di allerta può cambiare, in entrambe le direzioni. Fa fede lo stato attuale sul sito web del BSI, non un articolo di giornale del giorno prima.
Che cosa l'arancione non significa
Tre equivoci li incontriamo spesso in questo periodo:
- «Arancione significa che siamo stati violati.» No. Il livello descrive la situazione di minaccia, non un riscontro sui Suoi sistemi.
- «L'arancione vale solo per le autorità.» No. Le allerte si rivolgono a tutti i gestori dei sistemi interessati, anche alle piccole aziende.
- «Se abbiamo Cloudflare o un WAF, l'arancione non ci riguarda.» No. Le regole di protezione riducono il rischio, ma non sostituiscono l'aggiornamento di PHP.
Se dall'allerta derivino obblighi giuridici, ad esempio nell'ambito di NIS2, dipende dal Suo settore e dalle dimensioni. Questa non è consulenza legale; chiarisca i dettagli con la Sua consulenza legale o con il responsabile della protezione dei dati.
Tradurre la classificazione in decisioni
Un livello di allerta vale tanto quanto le decisioni che ne conseguono. Per PHP2Shell consigliamo alle aziende questa sequenza:
- Chiarire il coinvolgimento: quali server e siti web girano con PHP, chi li gestisce?
- Documentare lo stato della patch: versione corretta 8.5.12, 8.4.27, 8.3.36 o 8.2.35, oppure un backport confermato dal fornitore.
- Assicurare il riavvio: tutti i processi PHP devono essere stati riavviati.
- Se non è subito possibile: applicare misure transitorie o scollegare temporaneamente il server dalla rete, come raccomanda il BSI. Le opzioni sono descritte in Misure immediate senza patch.
- Cercare tracce e conservare i log: dal 20 ottobre.
- Documentare le decisioni: chi ha deciso che cosa, quando e su quale base.
Proprio l'ultimo punto è sottovalutato. Chi di fronte a un'allerta ufficiale di livello arancione ha agito in modo comprensibile si trova in posizione migliore verso assicuratori, clienti e organi di vigilanza. Approfondimenti si trovano nella pagina sulla responsabilità della direzione.
Come aiuta concretamente PHP SOS?
- Quadro per la Sua azienda: traduciamo la classificazione del BSI in un elenco dei Suoi sistemi interessati, con priorità.
- Attuazione della raccomandazione: applichiamo la patch, riavviamo o attiviamo misure transitorie finché l'aggiornamento non è possibile.
- Prova: riceve una documentazione di che cosa è accaduto, quando e su quale server.
- Osservazione: se il BSI modifica la classificazione o arrivano nuove segnalazioni, le valutiamo per i Suoi sistemi.
Maggiori informazioni nel pronto intervento PHP2Shell.
Conclusione
L'allerta arancione è il secondo livello più alto del BSI e, per PHP2Shell, ben motivata. Non richiede panico, ma una decisione lo stesso giorno: applicare la patch, riavviare, verificare o spegnere temporaneamente. Chi lo documenta ha letto bene l'allerta.
Domande frequenti
Quanti livelli di allerta ha il BSI?
Le allerte di cybersicurezza del BSI usano quattro livelli: 1 / grigio, 2 / giallo, 3 / arancione e 4 / rosso. L'arancione è il secondo livello più alto e descrive una situazione di minaccia IT critica per il business, con grave compromissione dell'esercizio ordinario.
L'allerta arancione è un obbligo di agire?
L'allerta stessa è una valutazione tecnica con raccomandazioni operative. Quali obblighi ne derivino per la Sua azienda, ad esempio da NIS2, contratti o condizioni assicurative, dipende dal singolo caso. Lo chiarisca con la Sua consulenza legale; questa non è consulenza legale.
Perché PHP2Shell non è al livello rosso?
I motivi di una classificazione li stabilisce il BSI stesso. Colpisce una differenza rispetto a Log4Shell, che nel 2021 ricevette il rosso: lì, secondo i rapporti di allora, erano già note delle compromissioni. Per PHP2Shell, secondo il BSI, attacchi riusciti su larga scala confermati inizialmente non erano noti.
L'allerta può cambiare?
Sì. Il BSI adegua le classificazioni alla situazione, verso l'alto come verso il basso. Log4Shell, ad esempio, secondo il Bundestag è stata declassata da rosso a giallo nel gennaio 2022. Verifichi lo stato attuale direttamente presso il BSI.